OpenVPN için Easy-RSA'ya İhtiyacınız Var mı? CA'nın Kime Ait Olduğuna Bağlı

Bir öğretici, OpenVPN kurmadan önce Easy-RSA'yı yüklemenizi söyler, bu yüzden insanlar ikisinin tek paket olduğunu sanır. Değildir. Easy-RSA, OpenSSL'i yöneten bir PKI yönetim aracıdır; OpenVPN ise tüneldir. Biri kime güvenileceğine karar verir, diğeri paketleri taşır.

Önemli olan karşılaştırma hangi aracın daha iyi olduğu değil. Kuruluşunuzda vericinin kime ait olduğudur.

Easy-RSA aslında nedir

Proje kendini X.509 PKI yönetim aracı olarak tanımlar; kriptografik işi OpenSSL yapar. Bu, anahtar üretimini, sertifika taleplerini, imzalama politikasını ve iptali tekrarlanabilir bir dizin yapısında sardığı anlamına gelir. Var olan bir tünele şifreleme katmanı eklemez ve RSA'yı başka bir yetkin aracın ürettiği aynı anahtardan daha güçlü yapmaz. Yaptığı şey iş akışını denetlenebilir kılmaktır.

Bu gerçek bir fayda, ama operasyonel bir fayda, kriptografik değil.

Bir dizüstü bilgisayarı kayıt sürecinde izleyin

Yeni dizüstü bilgisayar kendi anahtarını üretir ve bir sertifika talebi gönderir, böylece özel anahtar cihazdan hiç ayrılmaz. Verici daha sonra bu talebi istemci rolü için doğru uzantıları seçen bir türle imzalar. Easy-RSA'da bu şudur: ./easyrsa sign-req client laptop-a.

Operatör yine de bu kişinin erişimi hak ettiğine karar vermelidir. Hiçbir imzalama aracı ortak bir addan yetki çıkarmaz.

İmzalanan sertifika geri eşleşen anahtarı tutan cihaza döner ve VPN dağıtımı sunucu güvenini, kimlik kontrollerini, ağ politikasını ve hesap gereksinimlerini ayrıca sağlar. Vericinin çıktı dizinindeki bir dosya bunların hiçbirini kanıtlamaz. Bunu yalnızca tamamlanmış bir el sıkışma yapar.

Aynı dizüstü bilgisayarı çıkışta izleyin

Verici seçiminin gerçekten göründüğü yer kaldırmadır. Kullanılabilir bir iş akışı sertifikayı tanımlar, iptali kaydeder ve ona güvenen sistemlerin onu reddetmek için ihtiyaç duyduğunu üretir. Easy-RSA şunları ayırır: ./easyrsa revoke laptop-a ve ./easyrsa gen-crl, ve ikinci adım insanların unuttuğu adımdır. Vericide CRL üretmek onu hiçbir VPN doğrulayıcısına iletmez.

Dağıtım, yeniden yükleme davranışı ve hâlihazırda kurulmuş oturumlara ne olduğu dağıtım kararlarıdır, araç özellikleri değildir.

Bu boşluk, yerleşik bir iş akışının ad hoc openssl komutları yığınına karşı pratik argümanıdır. Verici yürütmenin zor kısmı ilk sertifika değildir. Cihazlar gelip giderken verme kayıtlarını, yedekleri, yenilemeleri ve kaldırmaları tutarlı tutmaktır.

Verici zaten varsa

Kuruluşunuz zaten onaylı bir sertifika hizmeti yürütüyorsa oradan kaydolun. Bir öğreticide Easy-RSA komutları olduğu için ikinci bir CA kurmak güven dağıtımı işi, yedekleme işi ve doğru şekilde iptal edilmesi gereken ikinci bir şey yaratır.

Yerel verici bir CA yürütme taahhüdüdür, kurulum kılavuzundaki bir onay kutusu değildir.

Easy-RSA ne zaman doğru seçimdir

Gerçekten kendi vericisine ihtiyaç duyan küçük özel bir dağıtım için Easy-RSA, her işlemi elle birleştirmeden odaklı bir iş akışı verir. özgün Easy-RSA kılavuzu talep, imzalama, iptal ve CRL adımlarını sırayla kapsar. CA imzalama malzemesini belirlenmiş sahibinde tutun; istemciler kendi kimlik bilgilerine ve ilgili genel güvene ihtiyaç duyar, asla imzalama anahtarının kopyasına değil.

PIN tabanlı OpenVPN tasarımı bir başka meşru güven düzenlemesidir, onarım bekleyen bozuk bir PKI değildir. Ve hesap girişi, seçtiğiniz hangi protokol altında olursa olsun sunucunun kimliğini doğrulama ihtiyacını ortadan kaldırmaz.

Seçmeden önce dört soruyu yanıtlayın: yeni kimliği kim onaylar, özel anahtarı nerede yaşar, sertifika istemciye nasıl ulaşır ve emekli bir kimlik nasıl kabul edilmemeye başlar.