Bạn có cần Easy-RSA cho OpenVPN? Điều đó phụ thuộc vào ai sở hữu CA

Một hướng dẫn nói rằng hãy cài Easy-RSA trước khi thiết lập OpenVPN, nên mọi người cho rằng hai thứ đi cùng một gói. Không phải vậy. Easy-RSA là tiện ích quản lý PKI điều khiển OpenSSL; OpenVPN là đường hầm. Một bên quyết định ai đáng tin, bên kia di chuyển các gói tin.

Phép so sánh quan trọng không phải là công cụ nào tốt hơn. Mà là ai sở hữu tổ chức phát hành trong doanh nghiệp của bạn.

Easy-RSA thực sự là gì

Dự án tự mô tả mình là tiện ích quản lý PKI X.509, với OpenSSL đảm nhận phần mật mã. Điều đó có nghĩa là nó bao bọc việc tạo khóa, yêu cầu chứng chỉ, chính sách ký và thu hồi vào một bố cục thư mục có thể lặp lại. Nó không thêm một lớp mã hóa vào đường hầm đã có, và không làm RSA mạnh hơn cùng khóa đó do một công cụ đủ năng lực khác tạo ra. Điều nó làm là khiến quy trình làm việc có thể kiểm toán.

Đó là lợi ích thực sự, nhưng là lợi ích vận hành chứ không phải mật mã.

Theo dõi một máy tính xách tay qua quá trình đăng ký

Máy tính xách tay mới tạo khóa riêng và gửi yêu cầu chứng chỉ, nên khóa riêng không bao giờ rời khỏi thiết bị. Tổ chức phát hành sau đó ký yêu cầu đó bằng một loại chọn đúng phần mở rộng cho vai trò máy khách. Trong Easy-RSA đó là ./easyrsa sign-req client laptop-a.

Người vận hành vẫn phải quyết định rằng người này xứng đáng được truy cập. Không công cụ ký nào suy ra quyền từ một tên chung.

Chứng chỉ đã ký quay về thiết bị giữ khóa tương ứng, và việc triển khai VPN cung cấp riêng sự tin cậy của máy chủ, kiểm tra danh tính, chính sách mạng và yêu cầu tài khoản. Một tệp trong thư mục đầu ra của tổ chức phát hành không chứng minh được điều nào trong số đó. Chỉ một cái bắt tay hoàn tất mới làm được.

Theo dõi cùng máy tính đó khi rời đi

Việc gỡ bỏ là nơi lựa chọn tổ chức phát hành thực sự lộ ra. Một quy trình dùng được sẽ xác định chứng chỉ, ghi nhận việc thu hồi và tạo ra thứ mà các hệ thống phụ thuộc cần để từ chối nó. Easy-RSA tách ./easyrsa revoke laptop-a khỏi ./easyrsa gen-crl, và bước thứ hai là bước người ta quên. Việc tạo CRL tại tổ chức phát hành không chuyển nó đến bất kỳ trình xác minh VPN nào.

Phân phối, hành vi khi tải lại và điều gì xảy ra với các phiên đã thiết lập là quyết định triển khai, không phải tính năng của công cụ.

Khoảng trống đó là lập luận thực tiễn cho một quy trình đã ổn định thay vì một đống lệnh openssl tùy hứng. Phần khó của việc vận hành tổ chức phát hành không phải chứng chỉ đầu tiên. Mà là giữ cho hồ sơ cấp phát, bản sao lưu, gia hạn và gỡ bỏ nhất quán khi thiết bị đến và đi.

Khi đã có tổ chức phát hành

Nếu doanh nghiệp của bạn đã vận hành một dịch vụ chứng chỉ được phê duyệt, hãy đăng ký qua đó. Dựng CA thứ hai chỉ vì một hướng dẫn có lệnh Easy-RSA sẽ tạo ra công việc phân phối tin cậy, công việc sao lưu và thêm một thứ nữa phải thu hồi cho đúng.

Tổ chức phát hành cục bộ là một cam kết vận hành CA, không phải một ô đánh dấu trong hướng dẫn thiết lập.

Khi nào Easy-RSA là lựa chọn đúng

Với một triển khai riêng nhỏ thực sự cần tổ chức phát hành của riêng mình, Easy-RSA cho một quy trình tập trung mà không phải lắp ráp từng thao tác bằng tay. hướng dẫn Easy-RSA gốc bao quát các bước yêu cầu, ký, thu hồi và CRL theo thứ tự. Hãy giữ tài liệu ký của CA ở người sở hữu được chỉ định; máy khách cần thông tin đăng nhập của riêng họ và sự tin cậy công khai liên quan, không bao giờ là bản sao của khóa ký.

Thiết kế OpenVPN dựa trên PIN là một cách sắp xếp tin cậy hợp lệ khác, không phải một PKI hỏng đang chờ sửa. Và việc đăng nhập tài khoản không loại bỏ nhu cầu xác thực máy chủ theo bất kỳ giao thức nào bạn đã chọn.

Hãy trả lời bốn câu hỏi trước khi chọn: ai phê duyệt danh tính mới, khóa riêng của nó sống ở đâu, chứng chỉ đến được máy khách bằng cách nào và một danh tính đã nghỉ hưu thôi được chấp nhận ra sao.