Je, unahitaji Easy-RSA kwa OpenVPN? Inategemea nani anamiliki CA

Mafunzo yanasema usakinishe Easy-RSA kabla ya kuweka OpenVPN, kwa hivyo watu hudhani kwamba zote mbili ni kifurushi kimoja. Sivyo. Easy-RSA ni chombo cha usimamizi wa PKI kinachoendesha OpenSSL; OpenVPN ni handaki. Kimoja huamua nani aaminiwe, kingine husogeza pakiti.

Ulinganisho unao umuhimu si chombo kipi ni bora. Ni nani anamiliki mtoaji katika shirika lako.

Easy-RSA ni nini hasa

Mradi unajieleza kama chombo cha usimamizi wa PKI ya X.509, huku OpenSSL ikifanya kazi ya usimbaji fiche. Hiyo inamaanisha inafunika uundaji wa funguo, maombi ya vyeti, sera ya kusaini na kufuta kwenye muundo wa folda unaorudiwa. Haiongezi tabaka la usimbaji fiche kwenye handaki lililopo, na haifanyi RSA iwe na nguvu zaidi kuliko funguo hiyo hiyo iliyoundwa na chombo kingine hodari. Kinachofanya ni kufanya mtiririko wa kazi uweze kukaguliwa.

Hiyo ni faida ya kweli, lakini ni ya kiutendaji na si ya usimbaji fiche.

Fuatilia kompyuta mpito moja katika usajili

Kompyuta mpito mpya huzalisha funguo yake mwenyewe na kuwasilisha ombi la cheti, kwa hivyo funguo ya faragha haiondoki kamwe kwenye kifaa. Kisha mtoaji husaini ombi hilo kwa aina inayochagua viendelezi sahihi kwa jukumu la mteja. Katika Easy-RSA hiyo ni ./easyrsa sign-req client laptop-a.

Mwendeshaji bado anapaswa kuamua kwamba mtu huyu anastahili ufikiaji. Hakuna chombo cha kusaini kinachotokana na haki kutoka kwa jina la kawaida.

Cheti kilichosainiwa hurudi kwa kifaa kinachoshikilia funguo inayolingana, na usambazaji wa VPN hutoa kwa faragha imani ya seva, ukaguzi wa utambulisho, sera ya mtandao na mahitaji ya akaunti. Faili katika folda ya matokeo ya mtoaji haithibitishi lolote la hayo. Ni makubaliano ya mkono yaliyokamilika tu yanayofanya hivyo.

Fuatilia kompyuta hiyo hiyo inapotoka

Kuondoa ndio mahali ambapo uchaguzi wa mtoaji unaonekana kweli. Mtiririko wa kazi unaotumika hutambua cheti, hurekodi kufuta na huzalisha kile mifumo inayotegemea inahitaji ili kukikataa. Easy-RSA hutenganisha ./easyrsa revoke laptop-a na ./easyrsa gen-crl, na hatua ya pili ndiyo ambayo watu huisahau. Kuzalisha CRL kwa mtoaji hakuisambazi kwa mkaguzi wowote wa VPN.

Usambazaji, tabia ya kupakia upya na kile kinachotokea kwa vikao vilivyoanzishwa tayari ni maamuzi ya usambazaji, si vipengele vya chombo.

Pengo hilo ni hoja ya kivitendo kwa mtiririko wa kazi ulioimarika badala ya lundo la amri za openssl za papo hapo. Sehemu ngumu ya kuendesha mtoaji si cheti cha kwanza. Ni kuweka kumbukumbu za utoaji, nakala rudufu, uhuishaji na uondoaji zikiwa na uwiano wakati vifaa vinapokuja na kwenda.

Wakati mtoaji tayari yupo

Ikiwa shirika lako tayari linaendesha huduma ya vyeti iliyoidhinishwa, jisajili kupitia hiyo. Kusimamisha CA ya pili kwa sababu mafunzo yalikuwa na amri za Easy-RSA huleta kazi ya usambazaji wa imani, kazi ya nakala rudufu na kitu kingine cha kufuta kwa usahihi.

Mtoaji wa ndani ni ahadi ya kuendesha CA, si kisanduku cha kuteua katika mwongozo wa usanidi.

Wakati Easy-RSA ni chaguo sahihi

Kwa usambazaji mdogo wa faragha unaohitaji mtoaji wake mwenyewe, Easy-RSA hutoa mtiririko wa kazi ulioelekezwa bila kukusanya kila operesheni kwa mkono. mwongozo wa asili wa Easy-RSA unashughulikia hatua za ombi, kusaini, kufuta na CRL kwa mpangilio. Weka nyenzo za kusaini za CA kwa mmiliki wake aliyeteuliwa; wateja wanahitaji vitambulisho vyao wenyewe na imani ya umma inayofaa, kamwe si nakala ya funguo ya kusaini.

Muundo wa OpenVPN unaotegemea PIN ni mpangilio mwingine halali wa imani, si PKI iliyovunjika inayosubiri matengenezo. Na kuingia kwenye akaunti hakuondoi hitaji la kuthibitisha seva chini ya itifaki yoyote uliyochagua.

Jibu maswali manne kabla ya kuchagua: nani anaidhinisha utambulisho mpya, funguo yake ya faragha inaishi wapi, cheti kinafikaje kwa mteja, na utambulisho uliostaafu unaacha vipi kukubaliwa.