Чи потрібен вам Easy-RSA для OpenVPN? Залежить від того, кому належить CA

У посібнику сказано встановити Easy-RSA перед налаштуванням OpenVPN, тому люди вважають, що ці двоє йдуть у комплекті. Це не так. Easy-RSA — утиліта керування PKI, яка керує OpenSSL; OpenVPN — це тунель. Одна вирішує, кому довіряти, інший переміщує пакети.

Важливе порівняння не в тому, який інструмент кращий. А в тому, кому належить видавець у вашій організації.

Що насправді являє собою Easy-RSA

Проєкт описує себе як утиліту керування PKI X.509, де криптографічну роботу виконує OpenSSL. Це означає, що вона пакує генерацію ключів, запити на сертифікати, політику підпису та відкликання в повторювану структуру каталогів. Вона не додає шар шифрування до вже наявного тунелю і не робить RSA сильнішим за той самий ключ, створений іншим компетентним інструментом. Що вона робить — це робить робочий процес придатним до перевірки.

Це реальна перевага, але операційна, а не криптографічна.

Простежте за одним ноутбуком під час реєстрації

Новий ноутбук створює власний ключ і подає запит на сертифікат, тому закритий ключ ніколи не залишає пристрій. Далі видавець підписує цей запит типом, який вибирає потрібні розширення для ролі клієнта. У Easy-RSA це ./easyrsa sign-req client laptop-a.

Оператор усе одно має вирішити, що ця людина заслуговує на доступ. Жоден інструмент підпису не виводить право із загального імені.

Підписаний сертифікат повертається на пристрій, який зберігає відповідний ключ, а розгортання VPN окремо забезпечує довіру до сервера, перевірки особи, мережеву політику та вимоги до облікового запису. Файл у вихідному каталозі видавця нічого з цього не доводить. Це робить лише завершене рукостискання.

Простежте за тим самим ноутбуком на виході

Саме під час вилучення вибір видавця справді видно. Робочий процес, який можна використовувати, визначає сертифікат, фіксує відкликання і створює те, що потрібно системам, які на нього покладаються, щоб його відхилити. Easy-RSA розділяє ./easyrsa revoke laptop-a і ./easyrsa gen-crl, і другий крок — той, який люди забувають. Генерація CRL у видавця не доставляє його жодному перевіряльнику VPN.

Розповсюдження, поведінка під час перезавантаження і те, що відбувається з уже встановленими сеансами, — це рішення щодо розгортання, а не функції інструмента.

Ця прогалина — практичний аргумент на користь усталеного робочого процесу проти купи разових команд openssl. Складна частина роботи видавця — не перший сертифікат. А узгодженість записів про видачу, резервних копій, поновлень і вилучень, поки пристрої приходять і йдуть.

Коли видавець уже існує

Якщо ваша організація вже веде затверджену службу сертифікатів, реєструйтеся через неї. Зведення другого CA лише тому, що в посібнику були команди Easy-RSA, створює роботу з розповсюдження довіри, роботу з резервними копіями і ще один об'єкт, який треба правильно відкликати.

Локальний видавець — це зобов'язання керувати CA, а не галочка в посібнику з налаштування.

Коли Easy-RSA — правильний вибір

Для невеликого приватного розгортання, якому справді потрібен власний видавець, Easy-RSA дає зосереджений робочий процес без ручного складання кожної операції. початковий посібник Easy-RSA послідовно описує кроки запиту, підпису, відкликання та CRL. Тримайте матеріал підпису CA у призначеного власника; клієнтам потрібні власні облікові дані та відповідна публічна довіра, а не копія ключа підпису.

Схема OpenVPN на основі PIN — це інша законна модель довіри, а не зламана PKI, що чекає ремонту. І вхід в обліковий запис не усуває потреби автентифікувати сервер за обраним вами протоколом.

Дайте відповідь на чотири питання перед вибором: хто затверджує нову особу, де живе її закритий ключ, як сертифікат потрапляє до клієнта і як виведена з експлуатації особа перестає прийматися.