OpenVPN సహచరుల కోసం మీ ప్రస్తుత ఎంటర్‌ప్రైజ్ CAని ఉపయోగించండి

OpenVPN లో ఏదీ సర్టిఫికెట్ Easy-RSA నుండి రావాలని కోరదు, మరియు ఇప్పటికే సంస్థాగత PKI ఉన్న ఫ్లీట్ సాధారణంగా రెండవదాన్ని నిర్మించకూడదు. నిజమైన పని సాధనాన్ని ఎంచుకోవడం కాదు, జారీ చేసిన గుర్తింపుల అర్థం ఏమిటి, టన్నెల్ ఏ సహచరులను అంగీకరిస్తుంది, మరియు పునరుద్ధరణ మరియు రద్దు ధృవీకర్తకు ఎలా చేరుతాయి అని నిర్ణయించడం. క్రింది ఐదు దశలను క్రమంగా పూర్తి చేయండి, ఎందుకంటే తరువాతి దశ మొదటిదానిలో తీసుకున్న పాత్ర నిర్ణయాన్ని సరిచేయలేదు.

ఒక భాగస్వామ్య గుర్తింపు బదులు రెండు పాత్రలను జారీ చేయండి

ప్రతి సహచరుడికి దాని సొంత సర్టిఫికెట్ మరియు సరిపోలే ప్రైవేట్ కీ అవసరం. PKI బృందాన్ని సర్వర్ వినియోగంతో కూడిన సర్వర్ గుర్తింపు మరియు క్లయింట్ వినియోగంతో కూడిన వేర్వేరు క్లయింట్ గుర్తింపులను అడగండి, తద్వారా టన్నెల్ చేతులు కలిపే సమయంలో రెండింటినీ వేరు చేయగలదు.

గడువు ఒత్తిడిలో కనిపించే షార్ట్‌కట్‌లను ఎదిరించండి. వెబ్ సర్వర్ కీని ల్యాప్‌టాప్‌లకు కాపీ చేయడం పాత్ర తనిఖీ ఆధారపడే భేదాన్ని తుడిచివేస్తుంది, మరియు VPN ఎండ్‌పాయింట్‌పై ఇన్‌స్టాల్ చేసిన CA సంతకం కీ ఒక రాజీకి గురైన హోస్ట్‌ను రాజీకి గురైన సోపానక్రమంగా మారుస్తుంది. PKCS12 బండిల్ ఎండ్‌పాయింట్ కీని మరియు దాని గొలుసును మోయగలదు, కానీ ఆ గుర్తింపును మరొక పాత్రలో మళ్లీ ఉపయోగించడానికి ఎప్పటికీ అనుమతి ఇవ్వదు.

ప్రతి వైపు విశ్వాస ఇన్‌పుట్‌లను కనెక్ట్ చేయండి

క్లయింట్ మరియు సర్వర్ ప్రతి ఒక్కటి విశ్వాస యాంకర్, తమ సొంత గుర్తింపు మరియు స్పష్టమైన పాత్ర అంచనాను కలిగి ఉండాలి. మూడింటినీ పేర్కొనే క్లయింట్ శకలం ఇలా కనిపిస్తుంది.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

సర్వర్ వైపు remote-cert-tls client మరియు దాని సొంత సర్టిఫికెట్‌తో దాన్ని ప్రతిబింబిస్తుంది, మరియు ఇదే క్లయింట్ సర్టిఫికెట్ సర్వర్‌గా అంగీకరించబడకుండా నిరోధిస్తుంది. పేరు తనిఖీ పాత్ర తనిఖీ నుండి వేరైన నిర్ణయం. బ్రౌజర్ శైలి హోస్ట్‌నేమ్ సరిపోలికను ఊహించడం బదులు ఏ ఫీల్డ్ పోల్చబడుతుందో చూడటానికి అమలు చేసిన కాన్ఫిగరేషన్‌ను చదవండి. రెండు వైపులా ఏ జారీచేసేవారిని విశ్వసిస్తున్నారో స్పష్టంగా చెప్పాలి, ఎందుకంటే ఫ్లీట్ అంతటా భాగస్వామ్య ఫైల్ మార్గం భాగస్వామ్య విధానానికి సమానం కాదు.

విశ్వాసాన్ని విస్తరించకుండా మధ్యవర్తి సర్టిఫికెట్‌లను పంపండి

రెండు వైపులా ఒకే జారీ గొలుసును పంచుకోవాల్సిన అవసరం లేదు. సహచరుడు మధ్యవర్తి సంతకం చేసిన సర్టిఫికెట్‌ను సమర్పించినప్పుడు, ధృవీకరించే వైపుకు ఆ మధ్యవర్తి అందుబాటులో ఉండాలి, మరియు స్థానికంగా సమర్పించిన గొలుసును పూర్తి చేయడానికి ఉపయోగించే అదనపు సర్టిఫికెట్‌ల నుండి OpenVPN విశ్వాస యాంకర్ ఇన్‌పుట్‌ను వేరు చేస్తుంది. OpenVPN 2.6 యొక్క TLS ఎంపికల సూచిక రెండింటినీ నమోదు చేస్తుంది.

మధ్యవర్తి CA తనంతట తానే సమస్య కాదు, కానీ విశ్వాస బండిల్‌లోకి విసిరిన విస్తృత సంస్థ మూలం సమస్య. యాంకర్ ఎంత విస్తృతమో, అంత ఎక్కువ సర్టిఫికెట్‌లు గొలుసు పరీక్షలో ఉత్తీర్ణత పొందుతాయి, మరియు పాత్ర తనిఖీ దాన్ని అధికారం ఉన్న సిబ్బంది జాబితాగా మార్చదు. సోపానక్రమం అనుమతించిన చోట VPN గుర్తింపులపై నిజంగా సంతకం చేసే జారీచేసేవారికి యాంకర్‌ను సంకోచించండి. అనుమతించకపోతే, విస్తృత యాంకర్‌ను అంతర్లీనంగా వదిలేయడం బదులు ఉద్దేశపూర్వకంగా అంగీకరించిన ప్రమాదంగా నమోదు చేయండి.

పునరుద్ధరణ మరియు రద్దు VPN ధృవీకర్తలను ఎలా చేరుతాయి, ఏ జారీచేసేవారు ముఖ్యం మరియు జాబితాను ఎవరు ప్రచురిస్తారు అనేది సహా PKI బృందంతో అంగీకరించండి. సర్టిఫికెట్‌లో పొందుపరిచిన CRL పంపిణీ బిందువు ఒక సూచన, ఏదో దాన్ని తెచ్చిందని రుజువు కాదు.

రద్దు నిజంగా ఎలా వస్తుందో నిర్ణయించండి

crl-verify ధృవీకర్తను ఫైల్ లేదా ఎండ్‌పాయింట్‌ను సంప్రదించేలా చేస్తుంది, మరియు ఆ ఏర్పాటుకు యజమాని మరియు రిఫ్రెష్ మార్గం అవసరం. అమలు సమయంలో ఒకసారి కాపీ చేసిన జాబితా సర్టిఫికెట్ మొదటిసారి రద్దు చేయబడినప్పుడు నిశ్శబ్దంగా మీ రక్షణను ఆపేస్తుంది.

ఆశించిన వ్యాప్తి సమయాన్ని రాయండి మరియు రద్దు చేయడానికి మీరు సిద్ధంగా ఉన్న సర్టిఫికెట్‌తో పరీక్షించండి. VPN హోస్ట్‌పై జాబితాను రిఫ్రెష్ చేయలేకపోతే, ప్రత్యామ్నాయం చిన్న చెల్లుబాటు కాలం మరియు నిజంగా నడిచే పునరుద్ధరణ ప్రక్రియే, URL ఉందని రద్దు పనిచేస్తుందనే ఊహ కాదు.

నిజమైన క్లయింట్‌తో అంగీకారాన్ని నిరూపించండి

అనుమతించబడాల్సిన క్లయింట్‌ను కనెక్ట్ చేసి లాగ్‌లో చర్చించిన సర్టిఫికెట్ వివరాలను నిర్ధారించండి. తర్వాత విఫలమవాల్సిన సందర్భాలను ప్రయత్నించండి: సర్వర్‌గా సమర్పించిన క్లయింట్ సర్టిఫికెట్, విశ్వాస యాంకర్ వెలుపలి జారీచేసేవారి సర్టిఫికెట్, మరియు అదనంగా ఉంటే రద్దు చేసిన సర్టిఫికెట్.

అంగీకరించిన జారీచేసేవారు, పాత్ర తనిఖీ మరియు రద్దు మూలాన్ని ప్రొఫైల్ పక్కన నమోదు చేయండి. గత నెల పనిచేసిన పరికరం కనెక్ట్ అవడం ఆపినప్పుడు తదుపరి ఇంజనీర్‌కు అవసరమైనది ఆ నమోదే, మరియు ఎంటర్‌ప్రైజ్ CA సాధారణ ప్రయోజన విశ్వాస డంప్‌గా కాకుండా నమోదిత అంగీకార పరిమితిలో ఉపయోగించబడుతోందని రుజువు కూడా అదే.