CA yı yeniden oluşturmadan VPN istemcisi eklemek

Bir dizüstü bilgisayar daha için bir sertifika daha gerekiyor, ancak arama sonuçlarındaki ilk eğitim PKI dizinini silen bir komutla başlıyor. O komut ilk kuruluma aittir, kayda değil, ve çalıştırmak size CA yı, verme geçmişini ve eski vericiye güvenen her istemci profilini kaybettirir. Karar daha dar: vericinin hâlâ kullanılabilir bir durumu var mı ve yeni cihaz kayıt politikanıza uyuyor mu? Üç koşul bunu belirler ve yalnızca biri yeniden oluşturmayı haklı çıkarır.

Yeniden oluşturma gerçekte neyi yok eder

Bir PKI yı yeniden başlatmak dizini boş bir yapıyla değiştirir: yeni CA anahtarı ve sertifikası, boş verme veritabanı ve yeni seri numarası sayacı. İstemciler kendiliğinden takip etmez; profilleri eski CA yı sabitler, bu yüzden her cihaz yeniden kaydolmalı, ulaşılamayanlar ise elle.

Daha sessiz kayıp muhasebedir. İptal, hangi seri numaralarını kime verdiğinizi bilmeye bağlıdır. Dizini silin, hâlâ imzalayabilirsiniz ama kalan sertifikalardan hangilerini iptal etmek istediğinizi güvenle söyleyemezsiniz. Vericinin durumu olmayan sertifikalar içeren bir CA dizini, sistemin yanlış yarısını geri yükleyen bir yedektir.

CA nın özel anahtarını çalışan sunucunun yanına kopyalamak, reddetmeniz gereken diğer kısa yoldur: çevrimdışı kalması gereken imza otoritesini güvenilmeyen trafiğe sahip bir ana makinede başka bir dosyaya dönüştürür.

Birinci koşul: vericinin durumu hâlâ erişilebilir mi

Karar vermeden önce sunucunun gerçekten güvendiği dizini bulun. Sunucunun CA olarak sunduğu sertifikayı PKI dizinindekilerle parmak iziyle karşılaştırın, dosya adıyla değil:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Parmak izleri eşleşirse kayıt artımlıdır ve hiçbir şeyi yeniden oluşturmayın. Farklıysa sunucunun güvenmediği bir CA ile imzalıyorsunuz: sertifika temiz kurulur ve el sıkışmada başarısız olur, bu hata saatlerce istemci hatası olarak yanlış teşhis edilir.

Sonra verme durumunu arayın: dizin dosyası, seri sayacı ve CRL numarası dosyası. Dizin yoksa ama anahtar duruyorsa verebilirsiniz, ancak iptallerin kaydı sorununu devralırsınız. Bunu değişiklik kaydına yazın, çünkü bir sonraki iptal isteği bunu ortaya çıkaracaktır.

İkinci koşul: yeni özel anahtar kimde

Bu, kullanıcıların hissettiği karardır, bu yüzden açıkça verin. İstemcide üretilip istek olarak gönderilen anahtar, özel yarıyı ilk komuttan itibaren cihazda tutar ve yönetici ona asla dokunmaz. Sunucuda üretilen anahtar araçları olmayan cihazlar için daha kolaydır, ancak yöneticiyi her anahtarın bekçisi yapar ve sunucu ihlalinin etkisini genişletir.

Mevcut bir CA ya karşı Easy-RSA 3 ile isteği içe aktarmak ve imzalamak iki komuttur:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Sertifika türünü bilerek seçin. İstemci yerine sunucu sertifikası olarak imzalanan istek, iyi görünen ama karşı tarafın reddettiği bir dosya üretir ve hata mesajı nedenini nadiren söyler. openssl ca ile imzalarsanız aynı seçim geçtiğiniz uzantılarda yaşar, varsayılan bölümde değil.

Üçüncü koşul: sunucu sertifikadan fazlasına ihtiyaç duyuyor mu

Sertifika kimlik doğrulamalı sıradan bir OpenVPN sunucusu için sertifika kaydın kendisidir: ortak ad istemci kimliği olur ve her istemci dizini, itilen yol veya statik adres o ada bağlıdır. Sertifikayı ekleyip yapılandırmayı unutursanız tünel bağlanır ama gereken yollar hiç görünmez.

Platformlar bunu değiştirir. OpenVPN Access Server kendi kullanıcı veritabanını tutar, bu yüzden imzalı sertifika bir hesap değildir; hesap var olmalı ve izinli olmalıdır. Diğer ağ geçitleri bir kimlik dizgesini gruba eşler. Tek bir cihazın kaydı genellikle iki sisteme dokunur ve sertifika yalnızca ilkidir.

Artımlı yordam ve yeniden oluşturmanın doğru olduğu durum

Bir cihazı zarar vermeden ekleyen sıra: vericiyi parmak iziyle doğrulayın, PKI dizininin taze yedeğini alın, istemci rolü için isteği içe aktarıp imzalayın, sertifikayı zinciriyle onaylı kanaldan teslim edin ve kullanıcı bağlanmadan önce doğrulayın:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Amaç satırı SSL client göstermelidir. Verme işleminden sonra CA yedeğini güncelleyerek bitirin, çünkü yeni seri numarası kaydedilmeden alınan bir yedek, az önce eklediğiniz cihazı içermeyen bir durumu geri yükler.

Yeniden oluşturma üç durumda doğrudur: CA anahtarı ele geçirilmişse, verme durumu kurtarılamaz biçimde kaybolmuşsa veya anahtar algoritmasını ya da sertifika politikasını bilerek değiştiriyorsanız. Üçü de her istemci için yeniden kayıt planı gerektiren projelerdir, tek cihazlık bir isteğin adımları değil. Hiçbiri geçerli değilse artımlı kaydedin ve vericiyi rahat bırakın.