OpenVPN சகாக்களுக்கு உங்கள் தற்போதைய நிறுவன CA-ஐப் பயன்படுத்துங்கள்

OpenVPN இல் எதுவும் சான்றிதழ் Easy-RSA-இல் இருந்து வர வேண்டும் என்று கோரவில்லை, மேலும் ஏற்கனவே நிறுவன PKI உள்ள குழுமம் பொதுவாக இரண்டாவதை உருவாக்கக்கூடாது. உண்மையான வேலை ஒரு கருவியைத் தேர்ந்தெடுப்பது அல்ல, மாறாக வழங்கப்பட்ட அடையாளங்களின் பொருள் என்ன, சுரங்கப்பாதை எந்த சகாக்களை ஏற்கிறது, புதுப்பித்தல் மற்றும் ரத்து சரிபார்ப்பவரை எவ்வாறு அடைகிறது என்பதை முடிவு செய்வதாகும். கீழே உள்ள ஐந்து படிகளை வரிசையாக முடிக்கவும், ஏனெனில் பிந்தைய படி முதலில் எடுக்கப்பட்ட பாத்திர முடிவை சரிசெய்ய முடியாது.

ஒரு பகிரப்பட்ட அடையாளத்திற்கு பதிலாக இரண்டு பாத்திரங்களை வழங்குங்கள்

ஒவ்வொரு சகாவுக்கும் அதன் சொந்த சான்றிதழும் அதற்குப் பொருந்தும் தனிப்பட்ட விசையும் தேவை. PKI குழுவிடம் சேவையக பயன்பாட்டுடன் கூடிய சேவையக அடையாளத்தையும் வாடிக்கையாளர் பயன்பாட்டுடன் கூடிய தனித்தனி வாடிக்கையாளர் அடையாளங்களையும் கேளுங்கள், கைக்குலுக்கலின் போது சுரங்கப்பாதை இரண்டையும் வேறுபடுத்திக் காண.

காலக்கெடு அழுத்தத்தின் கீழ் தோன்றும் குறுக்குவழிகளை எதிர்த்து நில்லுங்கள். வலை சேவையகத்தின் விசையை மடிக்கணினிகளில் நகலெடுப்பது பாத்திர சரிபார்ப்பு சார்ந்திருக்கும் வேறுபாட்டை அழிக்கிறது, மேலும் VPN இறுதிப் புள்ளியில் நிறுவப்பட்ட CA கையொப்ப விசை ஒரு சமரசமான புரவலனை சமரசமான படிநிலையாக மாற்றுகிறது. PKCS12 தொகுப்பு இறுதிப் புள்ளி விசையையும் அதன் சங்கிலியையும் சுமக்க முடியும், ஆனால் அந்த அடையாளத்தை மற்றொரு பாத்திரத்தில் மீண்டும் பயன்படுத்த ஒருபோதும் அனுமதி அளிக்காது.

ஒவ்வொரு பக்கத்திலும் நம்பிக்கை உள்ளீடுகளை இணையுங்கள்

வாடிக்கையாளருக்கும் சேவையகத்திற்கும் ஒவ்வொன்றுக்கும் நம்பிக்கை நங்கூரம், சொந்த அடையாளம் மற்றும் தெளிவான பாத்திர எதிர்பார்ப்பு தேவை. மூன்றையும் குறிப்பிடும் வாடிக்கையாளர் துண்டு இப்படித் தெரிகிறது.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

சேவையகப் பக்கம் remote-cert-tls client மற்றும் அதன் சொந்த சான்றிதழுடன் அதைப் பிரதிபலிக்கிறது, இதுவே வாடிக்கையாளர் சான்றிதழ் சேவையகமாக ஏற்கப்படுவதைத் தடுக்கிறது. பெயர் சரிபார்ப்பு பாத்திர சரிபார்ப்பிலிருந்து தனி முடிவு. உலாவி பாணி புரவலன் பெயர் பொருத்தத்தை ஊகிப்பதற்குப் பதிலாக எந்தப் புலம் ஒப்பிடப்படுகிறது என்பதைக் காண அமைக்கப்பட்ட உள்ளமைவைப் படியுங்கள். இரு பக்கங்களும் எந்த வழங்குநரை நம்புகின்றன என்பதைத் தெளிவாகக் கூற வேண்டும், ஏனெனில் குழுமம் முழுவதும் பகிரப்பட்ட கோப்பு பாதை பகிரப்பட்ட கொள்கைக்கு சமமானதல்ல.

நம்பிக்கையை விரிவாக்காமல் இடைநிலைச் சான்றிதழ்களை வழங்குங்கள்

இரு பக்கங்களும் ஒரே வழங்கல் சங்கிலியைப் பகிர வேண்டியதில்லை. ஒரு சகா இடைநிலையால் கையொப்பமிடப்பட்ட சான்றிதழை வழங்கும்போது, சரிபார்க்கும் பக்கம் அந்த இடைநிலை கிடைப்பதாக இருக்க வேண்டும், மேலும் உள்ளூரில் வழங்கப்பட்ட சங்கிலியை முடிக்கப் பயன்படும் கூடுதல் சான்றிதழ்களிலிருந்து OpenVPN நம்பிக்கை நங்கூர உள்ளீட்டை வேறுபடுத்துகிறது. OpenVPN 2.6 இன் TLS விருப்பக் குறிப்பு இரண்டையும் ஆவணப்படுத்துகிறது.

இடைநிலை CA தானாக ஒரு சிக்கல் அல்ல, ஆனால் நம்பிக்கைத் தொகுப்பில் போடப்பட்ட பரந்த நிறுவன வேர் சிக்கல். நங்கூரம் எவ்வளவு பரந்ததோ, அவ்வளவு சான்றிதழ்கள் சங்கிலி சோதனையைக் கடக்கும், மேலும் பாத்திர சரிபார்ப்பு அதை அதிகாரம் பெற்ற பணியாளர் பட்டியலாக மாற்றாது. படிநிலை அனுமதிக்கும் இடத்தில் VPN அடையாளங்களில் உண்மையில் கையொப்பமிடும் வழங்குநருக்கு நங்கூரத்தைக் குறுகலாக்குங்கள். அனுமதிக்கவில்லை என்றால், பரந்த நங்கூரத்தை மறைமுகமாக விட்டுவிடாமல் வேண்டுமென்றே ஏற்றுக்கொள்ளப்பட்ட ஆபத்தாக ஆவணப்படுத்துங்கள்.

புதுப்பித்தலும் ரத்தும் VPN சரிபார்ப்பாளர்களை எவ்வாறு அடைகின்றன, எந்த வழங்குநர்கள் முக்கியம் மற்றும் பட்டியலை யார் வெளியிடுகிறார்கள் என்பதை உள்ளடக்கி PKI குழுவுடன் ஒப்புக்கொள்ளுங்கள். சான்றிதழில் உட்பொதிக்கப்பட்ட CRL விநியோகப் புள்ளி ஒரு அறிவுறுத்தல், ஏதோ அதைப் பெற்றது என்பதற்கான சான்று அல்ல.

ரத்து உண்மையில் எவ்வாறு வருகிறது என்பதை முடிவு செய்யுங்கள்

crl-verify சரிபார்ப்பவரை ஒரு கோப்பு அல்லது இறுதிப் புள்ளியை ஆலோசிக்கச் செய்கிறது, அந்த ஏற்பாட்டிற்கு உரிமையாளரும் புதுப்பிப்புப் பாதையும் தேவை. வரிசைப்படுத்தலின் போது ஒருமுறை நகலெடுக்கப்பட்ட பட்டியல் ஒரு சான்றிதழ் முதன்முதலில் ரத்து செய்யப்படும்போது அமைதியாக உங்களைப் பாதுகாப்பதை நிறுத்துகிறது.

எதிர்பார்க்கப்படும் பரவல் நேரத்தை எழுதி, ரத்து செய்ய நீங்கள் தயாராக உள்ள சான்றிதழுடன் சோதியுங்கள். VPN புரவலனில் பட்டியலைப் புதுப்பிக்க முடியவில்லை என்றால், மாற்று என்பது குறுகிய செல்லுபடி காலமும் உண்மையில் இயங்கும் புதுப்பித்தல் செயல்முறையுமே, URL உள்ளதால் ரத்து வேலை செய்கிறது என்ற ஊகம் அல்ல.

உண்மையான வாடிக்கையாளருடன் ஏற்றுக்கொள்ளலை நிரூபியுங்கள்

அனுமதிக்கப்பட வேண்டிய வாடிக்கையாளரை இணைத்து பதிவில் பேச்சுவார்த்தை செய்யப்பட்ட சான்றிதழ் விவரங்களை உறுதிப்படுத்துங்கள். பின்னர் தோல்வியடைய வேண்டிய நிகழ்வுகளை முயற்சியுங்கள்: சேவையகமாக வழங்கப்பட்ட வாடிக்கையாளர் சான்றிதழ், நம்பிக்கை நங்கூரத்திற்கு வெளியே உள்ள வழங்குநரின் சான்றிதழ், மற்றும் கூடுதலாக இருந்தால் ரத்து செய்யப்பட்ட சான்றிதழ்.

ஏற்றுக்கொள்ளப்பட்ட வழங்குநர், பாத்திர சரிபார்ப்பு மற்றும் ரத்தின் மூலத்தை சுயவிவரத்திற்கு அருகில் பதிவு செய்யுங்கள். கடந்த மாதம் வேலை செய்த சாதனம் இணைப்பதை நிறுத்தும்போது அடுத்த பொறியாளருக்குத் தேவையானது அந்தப் பதிவே, மேலும் நிறுவன CA பொதுப் பயன்பாட்டு நம்பிக்கைக் குப்பையாக அல்லாமல் ஆவணப்படுத்தப்பட்ட ஏற்றுக்கொள்ளல் எல்லைக்குள் பயன்படுத்தப்படுகிறது என்பதற்கான சான்றும் அதுவே.