Tumia CA ya biashara uliyonayo kwa wenza wa OpenVPN

Hakuna kitu ndani ya OpenVPN kinachohitaji cheti kitoke kwa Easy-RSA, na kundi lililo na PKI ya shirika tayari kwa kawaida halipaswi kujenga lingine la pili. Kazi halisi si kuchagua chombo, bali kuamua utambulisho uliotolewa unamaanisha nini, wenza gani handaki inakubali, na jinsi uboreshaji na ubatilishaji unafikia mthibitishaji. Pitia hatua tano hapa chini kwa mpangilio, kwa sababu hatua ya baadaye haiwezi kurekebisha uamuzi wa jukumu uliofanywa katika ya kwanza.

Toa majukumu mawili badala ya utambulisho mmoja unaoshirikiwa

Kila mwenza anahitaji cheti chake na ufunguo wa faragha unaolingana. Omba timu ya PKI utambulisho wa seva wenye matumizi ya seva na utambulisho tofauti wa wateja wenye matumizi ya mteja, ili handaki iweze kuwatofautisha wakati wa kupeana mkono.

Pinga njia za mkato zinazojitokeza chini ya shinikizo la muda. Ufunguo wa seva ya wavuti ulionakiliwa kwenye kompyuta za mkononi hufuta tofauti ambayo ukaguzi wa jukumu unategemea, na ufunguo wa kusaini wa CA uliosakinishwa kwenye kituo cha mwisho cha VPN hubadilisha mwenyeji mmoja aliyeathirika kuwa uongozi ulioathirika. Kifurushi cha PKCS12 kinaweza kubeba ufunguo wa kituo cha mwisho na mnyororo wake, lakini hakitoi kamwe ruhusa ya kutumia tena utambulisho huo katika jukumu lingine.

Unganisha pembejeo za uaminifu kwa kila upande

Mteja na seva kila mmoja anahitaji nanga ya uaminifu, utambulisho wake mwenyewe na matarajio ya jukumu lililo wazi. Kipande cha mteja kinachotaja yote matatu kinaonekana hivi.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Upande wa seva unaakisi hilo kwa remote-cert-tls client na cheti chake, na hii ndiyo inayozuia cheti cha mteja kukubaliwa kama seva. Ukaguzi wa jina ni uamuzi tofauti na ukaguzi wa jukumu. Soma usanidi uliosambazwa ili kuona sehemu ipi inalinganishwa badala ya kudhani ulinganifu wa jina la mwenyeji kwa mtindo wa kivinjari. Pande zote mbili zinapaswa pia kuwa wazi kuhusu mtoaji gani wanamuamini, kwa sababu njia ya faili inayoshirikiwa katika kundi lote si kitu kimoja na sera inayoshirikiwa.

Wasilisha vyeti vya kati bila kupanua uaminifu

Pande mbili hazihitaji kushiriki mnyororo mmoja wa utoaji. Mwenza anapowasilisha cheti kilichosainiwa na cha kati, upande unaothibitisha unahitaji hicho cha kati kipatikane, na OpenVPN inatofautisha pembejeo ya nanga ya uaminifu na vyeti vya ziada vinavyotumika kukamilisha mnyororo uliowasilishwa ndani. Rejeleo la chaguo za TLS la OpenVPN 2.6 linaandika zote mbili.

CA ya kati si tatizo yenyewe, lakini mzizi mpana wa biashara uliotupwa kwenye kifurushi cha uaminifu ni tatizo. Kadiri nanga ilivyo pana, ndivyo vyeti zaidi vinavyofaulu jaribio la mnyororo, na ukaguzi wa jukumu haufanyi hilo kuwa orodha ya wafanyakazi waliidhinishwa. Punguza nanga hadi kwa mtoaji anayesaini kwa kweli utambulisho wa VPN pale uongozi unaruhusu. Ikiwa hauruhusu, andika nanga pana kama hatari iliyokubaliwa kwa makusudi badala ya kuiacha ikiwa dhahiri.

Kubaliana na timu ya PKI jinsi uboreshaji na ubatilishaji unafikia wathibitishaji wa VPN, ikiwa ni pamoja na watoaji gani ni muhimu na nani huchapisha orodha. Sehemu ya usambazaji ya CRL iliyopachikwa kwenye cheti ni maagizo, si uthibitisho kwamba kitu kiliichukua.

Amua jinsi ubatilishaji unafika kwa kweli

crl-verify hufanya mthibitishaji kushauriana na faili au kituo cha mwisho, na mpango huo unahitaji mmiliki na njia ya kusasisha. Orodha iliyonakiliwa mara moja wakati wa usambazaji huacha kwa utulivu kukulinda mara ya kwanza cheti kinapobatilishwa.

Andika muda wa uenezi unaotarajiwa na ujaribu kwa cheti ulicho tayari kubatilisha. Ikiwa orodha haiwezi kusasishwa kwenye mwenyeji wa VPN, mbadala ni kipindi kifupi cha uhalali pamoja na mchakato wa uboreshaji unaoendesha kweli, si dhana kwamba ubatilishaji unafanya kazi kwa sababu URL ipo.

Thibitisha ukubalaji kwa mteja halisi

Unganisha mteja anayepaswa kuruhusiwa na uthibitisha maelezo ya cheti yaliyojadiliwa kwenye kumbukumbu. Kisha jaribu kesi zinazopaswa kushindwa: cheti cha mteja kilichowasilishwa kama seva, cheti kutoka kwa mtoaji nje ya nanga ya uaminifu, na cheti kilichobatilishwa ikiwa unacho cha ziada.

Rekodi mtoaji aliyekubaliwa, ukaguzi wa jukumu na chanzo cha ubatilishaji kando ya wasifu. Rekodi hiyo ndiyo injinia anayefuata anahitaji wakati kifaa kilichofanya kazi mwezi uliopita kinaacha kuunganisha, na pia ni uthibitisho kwamba CA ya biashara inatumika ndani ya mpaka wa ukubalaji ulioandikwa badala ya kama dampo la uaminifu la matumizi ya jumla.