OpenVPN hamkorlari uchun mavjud korporativ CAdan foydalaning

OpenVPN ichida hech narsa sertifikat Easy-RSA'dan kelishini talab qilmaydi, va allaqachon tashkiliy PKIga ega park odatda ikkinchisini qurmasligi kerak. Haqiqiy ish vosita tanlash emas, balki chiqarilgan identifikatsiyalar nimani anglatishini, tunnel qaysi hamkorlarni qabul qilishini va yangilanish hamda bekor qilish tekshiruvchiga qanday yetib borishini hal qilishdir. Quyidagi besh qadamni tartib bilan bajaring, chunki keyingi qadam birinchisida qabul qilingan rol qarorini tuzata olmaydi.

Bitta umumiy identifikatsiya o'rniga ikkita rol chiqaring

Har bir hamkor o'z sertifikati va unga mos maxfiy kalitiga muhtoj. PKI jamoasidan server foydalanishiga ega server identifikatsiyasi va mijoz foydalanishiga ega alohida mijoz identifikatsiyalarini so'rang, shunda tunnel qo'l berib ko'rishish paytida ikkalasini ajrata oladi.

Muddat bosimi ostida paydo bo'ladigan qisqa yo'llarga qarshi turing. Veb-server kalitini noutbuklarga ko'chirish rol tekshiruvi tayanadigan farqni o'chiradi, va VPN oxirgi nuqtasiga o'rnatilgan CA imzo kaliti bitta buzilgan xostni buzilgan ierarxiyaga aylantiradi. PKCS12 paketi oxirgi nuqta kalitini va uning zanjirini tashishi mumkin, lekin u hech qachon o'sha identifikatsiyani boshqa rolda qayta ishlatishga ruxsat bermaydi.

Har tomonda ishonch kirishlarini ulang

Mijoz va server har biriga ishonch ankeri, o'z identifikatsiyasi va aniq rol kutish kerak. Uchalasini ko'rsatadigan mijoz parchasi shunday ko'rinadi.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Server tomoni buni remote-cert-tls client va o'z sertifikati bilan aks ettiradi, va aynan shu mijoz sertifikatining server sifatida qabul qilinishini to'xtatadi. Ism tekshiruvi rol tekshiruvidan alohida qaror. Brauzer uslubidagi xost nomi mosligini taxmin qilish o'rniga qaysi maydon taqqoslanishini ko'rish uchun joylashtirilgan konfiguratsiyani o'qing. Ikkala tomon ham qaysi chiqaruvchiga ishonishlarini aniq aytishi kerak, chunki park bo'ylab umumiy fayl yo'li umumiy siyosat bilan bir xil narsa emas.

Ishonchni kengaytirmasdan oraliq sertifikatlarni yetkazing

Ikki tomon bitta chiqarish zanjirini bo'lishishi shart emas. Hamkor oraliq bilan imzolangan sertifikatni taqdim etganda, tekshiruvchi tomonga o'sha oraliq mavjud bo'lishi kerak, va OpenVPN ishonch ankeri kirishini mahalliy taqdim etilgan zanjirni to'ldirish uchun ishlatiladigan qo'shimcha sertifikatlardan ajratadi. OpenVPN 2.6 TLS parametrlari ma'lumotnomasi ikkalasini ham hujjatlashtiradi.

Oraliq CA o'z-o'zidan muammo emas, lekin ishonch to'plamiga tashlangan keng korporativ ildiz muammo. Anker qanchalik keng bo'lsa, zanjir sinovidan shunchalik ko'p sertifikat o'tadi, va rol tekshiruvi buni vakolatli xodimlar ro'yxatiga aylantirmaydi. Ierarxiya ruxsat bergan joyda ankerni VPN identifikatsiyalariga haqiqatan imzo chekadigan chiqaruvchigacha toraytiring. Agar ruxsat bermasa, keng ankerni yashirin qoldirish o'rniga ataylab qabul qilingan xavf sifatida hujjatlashtiring.

PKI jamoasi bilan yangilanish va bekor qilishning VPN tekshiruvchilariga qanday yetib borishini, qaysi chiqaruvchilar muhimligini va ro'yxatni kim e'lon qilishini kelishib oling. Sertifikatga joylashtirilgan CRL tarqatish nuqtasi ko'rsatma, kimdir uni olgani isboti emas.

Bekor qilish haqiqatan qanday kelishini hal qiling

crl-verify tekshiruvchini fayl yoki oxirgi nuqtaga murojaat qilishga majbur qiladi, va bu tartib egasi hamda yangilash yo'lini talab qiladi. Joylashtirish paytida bir marta ko'chirilgan ro'yxat sertifikat birinchi marta bekor qilinganda sizni himoya qilishni indamay to'xtatadi.

Kutilayotgan tarqalish vaqtini yozib qo'ying va bekor qilishga tayyor bo'lgan sertifikat bilan sinab ko'ring. Agar ro'yxatni VPN xostda yangilab bo'lmasa, alternativa qisqaroq amal qilish muddati va haqiqatan ishlaydigan yangilash jarayoni, URL borligi sababli bekor qilish ishlaydi degan taxmin emas.

Haqiqiy mijoz bilan qabulni isbotlang

Ruxsat berilishi kerak bo'lgan mijozni ulang va jurnalda kelishilgan sertifikat tafsilotlarini tasdiqlang. So'ngra muvaffaqiyatsiz bo'lishi kerak bo'lgan holatlarni sinab ko'ring: server sifatida taqdim etilgan mijoz sertifikati, ishonch ankeridan tashqaridagi chiqaruvchining sertifikati va ortiqcha bo'lsa bekor qilingan sertifikat.

Qabul qilingan chiqaruvchini, rol tekshiruvini va bekor qilish manbasini profil yoniga yozib qo'ying. O'sha yozuv o'tgan oyda ishlagan qurilma ulanishni to'xtatganda keyingi muhandisga kerak bo'ladi, va u korporativ CA umumiy maqsadli ishonch axlatxonasi sifatida emas, hujjatlashtirilgan qabul chegarasi ichida ishlatilayotganining isbotidir.