Dùng CA doanh nghiệp hiện có của bạn cho các peer OpenVPN

Không có gì trong OpenVPN đòi hỏi chứng chỉ phải đến từ Easy-RSA, và một đội thiết bị đã có PKI tổ chức thường không nên xây dựng cái thứ hai. Công việc thực sự không phải là chọn công cụ mà là quyết định ý nghĩa của các danh tính được cấp, tunnel chấp nhận những peer nào và việc gia hạn cùng thu hồi đến được trình xác minh như thế nào. Hãy đi qua năm bước dưới đây theo thứ tự, vì một bước sau không thể sửa chữa quyết định về vai trò đã đưa ra ở bước đầu.

Phát hành hai vai trò thay vì một danh tính dùng chung

Mỗi peer cần chứng chỉ riêng và khóa riêng tương ứng. Hãy yêu cầu nhóm PKI cấp một danh tính máy chủ mang mục đích sử dụng máy chủ và các danh tính máy khách riêng biệt mang mục đích sử dụng máy khách, để tunnel có thể phân biệt hai loại khi bắt tay.

Hãy chống lại những lối tắt xuất hiện dưới áp lực thời hạn. Việc sao chép khóa của máy chủ web vào máy tính xách tay xóa đi sự khác biệt mà kiểm tra vai trò dựa vào, và một khóa ký CA được cài trên điểm cuối VPN biến một máy chủ bị xâm phạm thành một hệ thống phân cấp bị xâm phạm. Một gói PKCS12 có thể mang khóa điểm cuối và chuỗi của nó, nhưng nó không bao giờ cấp quyền dùng lại danh tính đó trong một vai trò khác.

Kết nối các đầu vào tin cậy ở mỗi phía

Máy khách và máy chủ mỗi bên cần một neo tin cậy, danh tính riêng và kỳ vọng vai trò rõ ràng. Một đoạn cấu hình máy khách nêu cả ba trông như thế này.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Phía máy chủ phản ánh điều đó bằng remote-cert-tls client và chứng chỉ riêng, và đây chính là thứ ngăn một chứng chỉ máy khách bị chấp nhận như máy chủ. Kiểm tra tên là một quyết định tách biệt khỏi kiểm tra vai trò. Hãy đọc cấu hình đã triển khai để xem trường nào được so sánh thay vì giả định sự khớp tên máy chủ kiểu trình duyệt. Cả hai phía cũng nên nói rõ họ tin tưởng nhà phát hành nào, vì một đường dẫn tệp dùng chung trong toàn bộ đội thiết bị không giống một chính sách dùng chung.

Giao chứng chỉ trung gian mà không mở rộng tin cậy

Hai phía không nhất thiết phải chia sẻ một chuỗi phát hành. Khi một peer trình bày chứng chỉ được ký bởi chứng chỉ trung gian, phía xác minh cần chứng chỉ trung gian đó sẵn có, và OpenVPN phân biệt đầu vào neo tin cậy với các chứng chỉ bổ sung được dùng để hoàn tất một chuỗi được trình bày cục bộ. Tài liệu tham chiếu tùy chọn TLS của OpenVPN 2.6 ghi lại cả hai.

CA trung gian tự nó không phải là vấn đề, nhưng một gốc doanh nghiệp rộng bị ném vào gói tin cậy thì có. Neo càng rộng thì càng nhiều chứng chỉ vượt qua bài kiểm tra chuỗi, và kiểm tra vai trò không biến điều đó thành danh sách nhân viên được ủy quyền. Thu hẹp neo đến nhà phát hành thực sự ký các danh tính VPN ở nơi hệ thống phân cấp cho phép. Nếu không cho phép, hãy ghi lại neo rộng hơn như một rủi ro được chấp nhận có chủ đích thay vì để nó ngầm định.

Thống nhất với nhóm PKI về cách gia hạn và thu hồi đến được các trình xác minh VPN, bao gồm nhà phát hành nào quan trọng và ai công bố danh sách. Một điểm phân phối CRL được nhúng trong chứng chỉ là một chỉ dẫn, không phải bằng chứng rằng có thứ gì đã tải nó.

Quyết định cách thu hồi thực sự đến

crl-verify khiến trình xác minh tra cứu một tệp hoặc điểm cuối, và cách sắp xếp đó cần một người sở hữu và một đường làm mới. Một danh sách được sao chép một lần trong quá trình triển khai sẽ âm thầm ngừng bảo vệ bạn lần đầu tiên một chứng chỉ bị thu hồi.

Ghi lại thời gian lan truyền dự kiến và kiểm tra nó bằng một chứng chỉ mà bạn sẵn sàng thu hồi. Nếu danh sách không thể được làm mới trên máy chủ VPN, giải pháp thay thế là thời hạn hiệu lực ngắn hơn cộng với quy trình gia hạn thực sự chạy, chứ không phải giả định rằng thu hồi hoạt động vì có một URL.

Chứng minh chấp nhận bằng một máy khách thực

Kết nối một máy khách cần được phép và xác nhận chi tiết chứng chỉ đã thương lượng trong nhật ký. Sau đó thử những trường hợp phải thất bại: chứng chỉ máy khách được trình bày như máy chủ, chứng chỉ từ nhà phát hành ngoài neo tin cậy và chứng chỉ đã bị thu hồi nếu bạn có một cái dư.

Ghi lại nhà phát hành được chấp nhận, kiểm tra vai trò và nguồn thu hồi bên cạnh hồ sơ. Bản ghi đó là thứ kỹ sư tiếp theo cần khi một thiết bị hoạt động vào tháng trước ngừng kết nối, và nó cũng là bằng chứng rằng CA doanh nghiệp được dùng trong một ranh giới chấp nhận đã ghi lại thay vì như một bãi đổ tin cậy cho mục đích chung.