OpenVPN eşleri için mevcut kurumsal CA'nızı kullanın

OpenVPN içinde hiçbir şey sertifikanın Easy-RSA'dan gelmesini gerektirmez, ve kurumsal PKI'sı zaten olan bir filo genellikle ikincisini kurmamalıdır. Gerçek iş, araç seçmek değil, verilen kimliklerin ne anlama geldiğine, tünelin hangi eşleri kabul ettiğine ve yenileme ile iptalin doğrulayıcıya nasıl ulaştığına karar vermektir. Aşağıdaki beş adımı sırayla izleyin, çünkü sonraki bir adım ilkinde alınan rol kararını onaramaz.

Tek paylaşılan kimlik yerine iki rol verin

Her eş kendi sertifikasına ve buna uyan özel anahtara ihtiyaç duyar. PKI ekibinden sunucu kullanımı taşıyan bir sunucu kimliği ve istemci kullanımı taşıyan ayrı istemci kimlikleri isteyin, böylece tünel el sıkışma sırasında ikisini ayırt edebilsin.

Son tarih baskısı altında ortaya çıkan kısa yollara direnin. Bir web sunucusunun anahtarının dizüstü bilgisayarlara kopyalanması rol denetiminin dayandığı ayrımı siler, ve bir VPN uç noktasına kurulan CA imzalama anahtarı ele geçirilmiş tek bir ana bilgisayarı ele geçirilmiş bir hiyerarşiye dönüştürür. Bir PKCS12 paketi bir uç nokta anahtarını ve zincirini taşıyabilir, ancak o kimliği başka bir rolde yeniden kullanma iznini asla vermez.

Güven girişlerini her tarafta bağlayın

İstemci ve sunucu her biri bir güven çapasına, kendi kimliğine ve açık bir rol beklentisine ihtiyaç duyar. Üçünü de belirten bir istemci parçası şöyle görünür.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Sunucu tarafı bunu remote-cert-tls client ve kendi sertifikasıyla yansıtır, ve bir istemci sertifikasının sunucu olarak kabul edilmesini engelleyen tam olarak budur. Ad denetimi rol denetiminden ayrı bir karardır. Tarayıcı tarzı bir ana bilgisayar adı eşleşmesi varsaymak yerine hangi alanın karşılaştırıldığını görmek için dağıtılmış yapılandırmayı okuyun. Her iki taraf da hangi verene güvendiklerini açıkça belirtmelidir, çünkü filo genelinde paylaşılan bir dosya yolu paylaşılan bir politikayla aynı şey değildir.

Güveni genişletmeden ara sertifikaları teslim edin

İki taraf tek bir verme zincirini paylaşmak zorunda değildir. Bir eş ara bir sertifika tarafından imzalanmış bir sertifika sunduğunda, doğrulayan tarafın o ara sertifikaya erişilebilir olarak ihtiyacı vardır, ve OpenVPN, güven çapası girişini yerel olarak sunulan bir zinciri tamamlamak için kullanılan ek sertifikalardan ayırır. OpenVPN 2.6 TLS seçenekleri başvurusu her ikisini de belgeler.

Ara CA kendi başına bir sorun değildir, ancak güven paketine atılan geniş bir kurumsal kök sorundur. Çapa ne kadar genişse, zincir testini o kadar çok sertifika geçer, ve rol denetimi bunu yetkili personel listesine dönüştürmez. Hiyerarşinin izin verdiği yerde çapayı gerçekten VPN kimliklerini imzalayan verene kadar daraltın. İzin vermiyorsa, daha geniş çapayı örtük bırakmak yerine bilerek kabul edilmiş bir risk olarak belgeleyin.

Yenileme ve iptalin VPN doğrulayıcılarına nasıl ulaştığı, hangi verenlerin önemli olduğu ve listeyi kimin yayımladığı konusunda PKI ekibiyle anlaşın. Bir sertifikaya gömülü CRL dağıtım noktası bir talimattır, bir şeyin onu aldığının kanıtı değildir.

İptalin gerçekte nasıl geldiğine karar verin

crl-verify doğrulayıcıyı bir dosyaya veya uç noktaya başvurmaya yönlendirir, ve bu düzenlemenin bir sahibi ve bir yenileme yolu olması gerekir. Dağıtım sırasında bir kez kopyalanan bir liste, bir sertifika ilk kez iptal edildiğinde sizi sessizce korumayı bırakır.

Beklenen yayılma süresini yazın ve iptal etmeye razı olduğunuz bir sertifikayla test edin. Liste VPN ana bilgisayarında yenilenemiyorsa, alternatif daha kısa bir geçerlilik süresi artı gerçekten çalışan bir yenileme sürecidir, bir URL var diye iptalin çalıştığı varsayımı değil.

Kabulü gerçek bir istemciyle kanıtlayın

İzin verilmesi gereken bir istemciyi bağlayın ve günlükte müzakere edilen sertifika ayrıntılarını doğrulayın. Ardından başarısız olması gereken durumları deneyin: sunucu olarak sunulan bir istemci sertifikası, güven çapasının dışındaki bir verenden sertifika ve fazladan varsa iptal edilmiş bir sertifika.

Kabul edilen vereni, rol denetimini ve iptal kaynağını profilin yanına kaydedin. O kayıt, geçen ay çalışan bir cihaz bağlanmayı bıraktığında bir sonraki mühendisin ihtiyaç duyduğu şeydir, ve kurumsal CA'nın genel amaçlı bir güven çöplüğü olarak değil belgelenmiş bir kabul sınırı içinde kullanıldığının kanıtıdır.