ต้องใช้ Easy-RSA กับ OpenVPN หรือไม่? ขึ้นอยู่กับว่าใครเป็นเจ้าของ CA

บทแนะนำบอกให้ติดตั้ง Easy-RSA ก่อนตั้งค่า OpenVPN ผู้คนจึงคิดว่าทั้งสองเป็นชุดเดียวกัน ไม่ใช่ Easy-RSA เป็นเครื่องมือจัดการ PKI ที่ขับ OpenSSL ส่วน OpenVPN คืออุโมงค์ ตัวหนึ่งตัดสินใจว่าใครควรได้รับความไว้วางใจ อีกตัวย้ายแพ็กเก็ต

การเปรียบเทียบที่สำคัญไม่ใช่ว่าเครื่องมือไหนดีกว่า แต่เป็นว่าใครเป็นเจ้าของผู้ออกใบรับรองในองค์กรของคุณ

Easy-RSA คืออะไรกันแน่

โครงการนี้อธิบายตัวเองว่าเป็นเครื่องมือจัดการ PKI แบบ X.509 โดยมี OpenSSL ทำงานด้านการเข้ารหัส หมายความว่ามันห่อหุ้มการสร้างคีย์ คำขอใบรับรอง นโยบายการลงนาม และการเพิกถอนไว้ในโครงสร้างไดเรกทอรีที่ทำซ้ำได้ มันไม่ได้เพิ่มชั้นการเข้ารหัสให้อุโมงค์ที่มีอยู่ และไม่ได้ทำให้ RSA แข็งแกร่งกว่าคีย์เดียวกันที่สร้างโดยเครื่องมือที่มีความสามารถอื่น สิ่งที่มันทำคือทำให้ขั้นตอนการทำงานตรวจสอบได้

นั่นเป็นประโยชน์จริง แต่เป็นประโยชน์ด้านการปฏิบัติงาน ไม่ใช่ด้านการเข้ารหัส

ติดตามแล็ปท็อปหนึ่งเครื่องตลอดการลงทะเบียน

แล็ปท็อปใหม่สร้างคีย์ของตัวเองและส่งคำขอใบรับรอง ดังนั้น คีย์ส่วนตัวจึงไม่เคยออกจากอุปกรณ์ จากนั้นผู้ออกใบรับรองลงนามคำขอนั้นด้วยชนิดที่เลือกส่วนขยายที่ถูกต้องสำหรับบทบาทไคลเอนต์ ใน Easy-RSA นั่นคือ ./easyrsa sign-req client laptop-a.

ผู้ปฏิบัติงานยังต้องตัดสินใจว่าบุคคลนี้สมควรได้รับสิทธิ์เข้าถึง ไม่มีเครื่องมือลงนามใดอนุมานสิทธิ์จากชื่อทั่วไป

ใบรับรองที่ลงนามแล้วจะกลับไปยัง อุปกรณ์ที่ถือคีย์ที่ตรงกัน และการติดตั้ง VPN จะจัดหาความไว้วางใจของเซิร์ฟเวอร์ การตรวจสอบตัวตน นโยบายเครือข่าย และข้อกำหนดบัญชีแยกต่างหาก ไฟล์ในไดเรกทอรีเอาต์พุตของผู้ออกใบรับรองไม่ได้พิสูจน์สิ่งใดเลย มีเพียงการจับมือที่เสร็จสมบูรณ์เท่านั้นที่ทำได้

ติดตามแล็ปท็อปเครื่องเดิมตอนออก

การถอนคือจุดที่การเลือกผู้ออกใบรับรองปรากฏชัดจริง ขั้นตอนการทำงานที่ใช้งานได้จะระบุใบรับรอง บันทึกการเพิกถอน และสร้างสิ่งที่ระบบที่พึ่งพาต้องการเพื่อปฏิเสธมัน Easy-RSA แยก ./easyrsa revoke laptop-a ออกจาก ./easyrsa gen-crl และขั้นที่สองคือขั้นที่ผู้คนลืม การสร้าง CRL ที่ผู้ออกใบรับรองไม่ได้ส่งมอบให้ผู้ตรวจสอบ VPN รายใดเลย

การกระจาย พฤติกรรมการโหลดซ้ำ และสิ่งที่เกิดขึ้นกับเซสชันที่สร้างไว้แล้วเป็นการตัดสินใจด้านการติดตั้ง ไม่ใช่คุณสมบัติของเครื่องมือ

ช่องว่างนั้นคือข้อโต้แย้งเชิงปฏิบัติสำหรับขั้นตอนการทำงานที่มั่นคง เทียบกับกองคำสั่ง openssl แบบเฉพาะกิจ ส่วนที่ยากของการดูแลผู้ออกใบรับรองไม่ใช่ใบรับรองแรก แต่คือการรักษาบันทึกการออก การสำรองข้อมูล การต่ออายุ และการถอนให้สอดคล้องกันเมื่ออุปกรณ์เข้ามาและจากไป

เมื่อมีผู้ออกใบรับรองอยู่แล้ว

หากองค์กรของคุณให้บริการใบรับรองที่ได้รับอนุมัติอยู่แล้ว ให้ลงทะเบียนผ่านบริการนั้น การตั้ง CA ที่สองเพราะบทแนะนำมีคำสั่ง Easy-RSA สร้างงานด้านการกระจายความไว้วางใจ งานด้านการสำรองข้อมูล และอีกสิ่งหนึ่งที่ต้องเพิกถอนอย่างถูกต้อง

ผู้ออกใบรับรองภายในคือพันธสัญญาที่จะดูแล CA ไม่ใช่ช่องทำเครื่องหมายในคู่มือติดตั้ง

เมื่อใดที่ Easy-RSA เป็นตัวเลือกที่ถูกต้อง

สำหรับการติดตั้งส่วนตัวขนาดเล็กที่ต้องการผู้ออกใบรับรองของตัวเองจริง ๆ Easy-RSA ให้ขั้นตอนการทำงานที่มุ่งเน้นโดยไม่ต้องประกอบทุกการดำเนินการด้วยมือ คู่มือ Easy-RSA ต้นฉบับ ครอบคลุมขั้นตอนคำขอ ลงนาม เพิกถอน และ CRL ตามลำดับ เก็บวัสดุลงนามของ CA ไว้กับเจ้าของที่กำหนด ไคลเอนต์ต้องการข้อมูลรับรองของตัวเองและความไว้วางใจสาธารณะที่เกี่ยวข้อง ไม่ใช่สำเนาคีย์ลงนามเลย

การออกแบบ OpenVPN ที่ใช้ PIN เป็นการจัดวางความไว้วางใจที่ชอบด้วยกฎหมายอีกแบบ ไม่ใช่ PKI ที่เสียรอการซ่อม และการเข้าสู่ระบบบัญชีไม่ได้ขจัดความจำเป็นในการพิสูจน์ตัวตนเซิร์ฟเวอร์ภายใต้โปรโตคอลที่คุณเลือก

ตอบสี่คำถามก่อนเลือก ใครอนุมัติตัวตนใหม่ คีย์ส่วนตัวอยู่ที่ไหน ใบรับรองไปถึงไคลเอนต์ได้อย่างไร และตัวตนที่ปลดเกษียณหยุดได้รับการยอมรับได้อย่างไร