Kailangan Mo Ba ng Easy-RSA para sa OpenVPN? Depende Kung Sino ang May-ari ng CA

Sinasabi ng isang tutorial na i-install ang Easy-RSA bago i-set up ang OpenVPN, kaya inaakala ng mga tao na isang pakete ang dalawa. Hindi. Ang Easy-RSA ay utility ng pamamahala ng PKI na nagpapatakbo ng OpenSSL; ang OpenVPN ay ang tunnel. Ang isa ay nagpapasya kung sino ang pagkakatiwalaan, ang isa ay naglilipat ng packet.

Ang mahalagang paghahambing ay hindi kung aling tool ang mas mahusay. Kundi kung sino ang may-ari ng issuer sa iyong organisasyon.

Ano ba talaga ang Easy-RSA

Inilalarawan ng proyekto ang sarili nito bilang utility ng pamamahala ng PKI X.509, kung saan ang OpenSSL ang gumagawa ng kriptograpikong trabaho. Ibig sabihin, binabalot nito ang pagbuo ng key, mga kahilingan ng sertipiko, patakaran sa pagpirma at pagbawi sa isang nauulit na layout ng direktoryo. Hindi ito nagdadagdag ng layer ng pag-encrypt sa isang naitatag na tunnel, at hindi nito ginagawang mas malakas ang RSA kaysa sa parehong key na ginawa ng isa pang karampatang tool. Ang ginagawa nito ay gawing masusuri ang daloy ng trabaho.

Iyon ay tunay na pakinabang, ngunit pang-operasyon at hindi kriptograpiko.

Sundan ang isang laptop sa pagpapatala

Ang bagong laptop ay gumagawa ng sarili nitong key at nagsusumite ng kahilingan ng sertipiko, kaya hindi kailanman lumalabas ang pribadong key sa device. Pipirmahan ng issuer ang kahilingang iyon gamit ang isang uri na pumipili ng tamang extension para sa papel ng kliyente. Sa Easy-RSA iyon ay ./easyrsa sign-req client laptop-a.

Kailangan pa ring magpasya ng operator na karapat-dapat ang taong ito sa access. Walang tool sa pagpirma ang naghihinuha ng karapatan mula sa karaniwang pangalan.

Ang pinirmahang sertipiko ay bumabalik sa device na may hawak ng katugmang key, at ang deployment ng VPN ay hiwalay na nagbibigay ng tiwala sa server, mga pagsusuri ng pagkakakilanlan, patakaran ng network at mga kinakailangan sa account. Ang isang file sa output directory ng issuer ay walang pinatutunayan sa mga iyon. Isang natapos na handshake lamang ang gumagawa niyon.

Sundan ang parehong laptop sa paglabas

Ang pag-alis ang lugar kung saan tunay na makikita ang pagpili ng issuer. Ang magamit na daloy ng trabaho ay tumutukoy sa sertipiko, nagtatala ng pagbawi at gumagawa ng kailangan ng mga sistemang umaasa rito upang tanggihan ito. Hinihiwalay ng Easy-RSA ang ./easyrsa revoke laptop-a sa ./easyrsa gen-crl, at ang ikalawang hakbang ang nakakalimutan ng mga tao. Ang pagbuo ng CRL sa issuer ay hindi ito naghahatid sa anumang verifier ng VPN.

Ang distribusyon, pag-uugali sa muling pag-load at kung ano ang nangyayari sa mga session na naitatag na ay mga desisyon sa deployment, hindi mga tampok ng tool.

Ang agwat na iyon ang praktikal na argumento para sa naitatag na daloy ng trabaho kaysa sa bunton ng ad hoc na utos ng openssl. Ang mahirap na bahagi ng pagpapatakbo ng issuer ay hindi ang unang sertipiko. Ito ay ang pagpapanatiling magkakaugnay ng mga talaan ng paglabas, backup, pag-renew at pag-alis habang dumarating at umaalis ang mga device.

Kapag may issuer na

Kung ang iyong organisasyon ay nagpapatakbo na ng aprubadong serbisyo ng sertipiko, magpatala sa pamamagitan nito. Ang pagtatayo ng pangalawang CA dahil may mga utos ng Easy-RSA ang tutorial ay lumilikha ng trabaho sa distribusyon ng tiwala, trabaho sa backup at isa pang bagay na dapat bawiin nang tama.

Ang lokal na issuer ay isang pangako na magpatakbo ng CA, hindi isang checkbox sa gabay sa pag-setup.

Kailan ang Easy-RSA ang tamang pasya

Para sa maliit na pribadong deployment na tunay na nangangailangan ng sariling issuer, nagbibigay ang Easy-RSA ng nakatuong daloy ng trabaho nang hindi kinakailangang tipunin ang bawat operasyon nang manu-mano. Ang orihinal na gabay sa Easy-RSA ay sumasaklaw sa mga hakbang ng kahilingan, pagpirma, pagbawi at CRL sa ayos. Itago ang materyal sa pagpirma ng CA sa itinalagang may-ari nito; kailangan ng mga kliyente ang sarili nilang kredensyal at ang kaugnay na pampublikong tiwala, hindi kailanman kopya ng key sa pagpirma.

Ang disenyong OpenVPN na nakabatay sa PIN ay isa pang lehitimong kaayusan ng tiwala, hindi isang sirang PKI na naghihintay ng pagkukumpuni. At hindi inaalis ng pag-log in sa account ang pangangailangang patunayan ang server sa ilalim ng anumang protocol na pinili mo.

Sagutin ang apat na tanong bago pumili: sino ang nag-aapruba ng bagong pagkakakilanlan, saan nakatira ang pribadong key nito, paano nararating ng sertipiko ang kliyente at paano nito hihinto ang pagtanggap sa isang retiradong pagkakakilanlan.