CA ni qayta qurmasdan VPN mijozi qo’shish

Yana bitta noutbuk uchun yana bitta sertifikat kerak, lekin qidiruv natijalaridagi birinchi darslik PKI katalogini o’chiradigan buyruq bilan boshlanadi. Bu buyruq birinchi sozlashga tegishli, ro’yxatga olishga emas, va uni bajarish sizni CA, chiqarish tarixi va eski emitentga ishongan har bir mijoz profiliдан judo qiladi. Qaror torroq: emitentda hali ham yaroqli holat bormi va yangi qurilma sizning ro’yxat siyosatingizga mos keladimi? Uch shart buni hal qiladi va faqat bittasi qayta qurishni oqlaydi.

Qayta qurish aslida nimani yo’q qiladi

PKI ni qayta ishga tushirish katalogni bo’sh struktura bilan almashtiradi: yangi CA kaliti va sertifikati, bo’sh chiqarish bazasi va yangi tartib raqam hisoblagichi. Mijozlar o’z-o’zidan ergashmaydi; ularning profillari eski CA ni qadaydi, shuning uchun har bir qurilma qayta ro’yxatdan o’tishi kerak, yetib bo’lmaydiganlari esa qo’lda.

Eng sokin yo’qotish bu hisob. Bekor qilish qaysi tartib raqamlarini kimga chiqarganingizni bilishga bog’liq. Indeksni tozalang, hali ham imzolashingiz mumkin, lekin qolgan sertifikatlardan qaysilarini bekor qilmoqchi bo’lganingizni ishonch bilan ayta olmaysiz. Emitent holati yo’q CA katalogi tizimning noto’g’ri yarmini tiklaydigan zaxira nusxadir.

CA ning maxfiy kalitini ishlab turgan server yoniga ko chirish rad etish kerak bo’lgan yana bir qisqa yo ldir: u tarmoqdan tashqarida turishi kerak bo’lgan imzo organini ishonchsiz trafikli xostdagi yana bir faylga aylantiradi.

Birinchi shart: emitent holati hali yetib boradimi

Qaror qabul qilishdan oldin server haqiqatan ishonadigan katalogni toping. Server CA sifatida taqdim etadigan sertifikatni PKI katalogidagisi bilan barmoq izi bo yicha solishtiring, fayl nomi bo yicha emas:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Izlar mos kelsa, ro’yxat qo’shimcha bo’ladi va hech narsani qayta qurmang. Agar farq qilsa, server ishonmaydigan CA bilan imzolayapsiz: sertifikat toza o’rnatiladi, lekin qo’l berishda muvaffaqiyatsiz bo’ladi va bu xato soatlab mijoz nuqsoni deb noto’g’ri tashxis qilinadi.

Keyin chiqarish holatini qidiring: indeks fayli, tartib hisoblagichi va CRL raqami fayli. Indeks yo’q bo’lib kalit qolsa, chiqarishingiz mumkin, lekin bekor qilishlarni qayd etish muammosini meros olasiz. Buni o’zgarishlar jurnaliga yozing, chunki keyingi bekor qilish so’rovi uni ochib beradi.

Ikkinchi shart: yangi maxfiy kalit kimda

Bu foydalanuvchilar sezadigan qaror, shuning uchun aniq qabul qiling. Mijozda yaratilgan va so’rov sifatida yuborilgan kalit maxfiy yarmini birinchi buyruqdan boshlab qurilmada saqlaydi va administrator unga hech qachon tegmaydi. Serverda yaratilgan kalit asbobsiz qurilmalar uchun osonroq, lekin administratorni har bir kalitning qo’riqchisiga aylantiradi va server buzilishining ta’sirini kengaytiradi.

Mavjud CA ga qarshi Easy-RSA 3 bilan so’rovni import qilish va imzolash ikki buyruq:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Sertifikat turini ataylab tanlang. Mijoz o’rniga server sertifikati sifatida imzolangan so’rov yaxshi ko’rinadigan, lekin ikkinchi tomon rad etadigan fayl beradi va xato xabari sababini kamdan-kam aytadi. openssl ca bilan imzolasangiz, xuddi shu tanlov siz beradigan kengaytmalarda bo’ladi, standart bo limda emas.

Uchinchi shart: serverga sertifikatdan ko’proq kerakmi

Sertifikat autentifikatsiyasi bo’lgan oddiy OpenVPN serveri uchun sertifikat ro’yxatning o’zi: umumiy nom mijoz identifikatsiyasiga aylanadi va har qanday katalog, surilgan marshrut yoki statik manzil shu nomga bog lanadi. Sertifikatni qo’shib konfiguratsiyani unutsangiz, tunnel ulanadi, lekin kerakli marshrutlar ko rinmaydi.

Platformalar buni o’zgartirikdi. OpenVPN Access Server o’z foydalanuvchi bazasini saqlaydi, shuning uchun imzolangan sertifikat hisob emas; hisob mavjud va ruxsat etilgan bo lishi kerak. Boshqa shlyuzlar identifikatsiya satrini guruhga bog laydi. Bitta qurilmani ro’yxatdan o’tkazish odatda ikki tizimga tegadi va sertifikat faqat birinchisi.

Qo shimcha tartib va qayta qurish qachon to’g’ri

Zararsiz bitta qurilma qo’shadigan ketma-ketlik: emitentni barmoq izi bilan tasdiqlang, PKI katalogining yangi zaxirasini oling, mijoz roli uchun so’rovni import qilib imzolang, sertifikatni zanjiri bilan tasdiqlangan kanal orqali yetkazing, so’ngra foydalanuvchi ulanishidan oldin tekshiring:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Maqsad satrida SSL client ko rinishi kerak. Chiqarishdan keyin CA zaxirasini yangilab tugating, chunki yangi tartib raqami qayd etilishidan oldin olingan zaxira hozir qo’shilgan qurilmasiz holatni tiklaydi.

Qayta qurish uch holatda to’g’ri: CA kaliti buzilgan, chiqarish holati qaytarib bo’lmaydigan tarzda yo’qolgan yoki kalit algoritmi yoki sertifikat siyosatini ataylab o’zgartiryapsiz. Uchtasi ham har bir mijozni qayta ro’yxatdan o’tkazish rejasini talab qiladigan loyihalar, bitta qurilma so’rovining bosqichlari emas. Hech biri tegishli bo lmasa, qo’shimcha ro’yxatdan o’tkazing.