Fi alábàárà VPN kúnn láìtún CA kọ̀

O nílò ìwé-ẹ̀rí mìíràn fún kọ̀mpútà gbé-pẹ̀tẹ́lì mìíràn, ṣùgbọ́n ẹ̀kọ́ àkọ́kọ́ nínú àwọn àbájáde wíwá bẹ̀rẹ̀ pẹ̀lú àṣẹ tí ó pa àpò PKI rẹ́. Àṣẹ yẹn jẹ́ ti ìṣètò àkọ́kọ́, kì í ṣe ti ìforúkọsílẹ̀, àti ṣíṣe é ń ná ọ ní CA, ìtàn ìgbéjáde àti gbogbo àpèjúwe alábàárà tí ó gbẹ́kẹ̀ lé olùgbéjáde àtijọ́. Ìpinnu kéré jù: ṣé olùgbéjáde ṣì ní ipò tí ó ṣe é lò, àti ṣé ẹ̀rọ tuntun bá ìlànà ìforúkọsílẹ̀ rẹ mu? Àwọn ipò mẹ́ta ló pinnu, ọ̀kan ṣoṣo ló sì dá ìtúnkọ́ láre.

Ohun tí ìtúnkọ́ ń pa ní ti gidi

Bíbẹ̀rẹ̀ PKI lẹ́ẹ̀kan sí i fi ìṣètò tí ó ṣofo rọ́pò àpò náà: kọ́kọ́rọ́ àti ìwé-ẹ̀rí CA tuntun, ibi ìpamọ́ ìgbéjáde tí ó ṣofo àti olùkà ìpele tuntun. Àwọn alábàárà kì í tẹ̀lé lọ́nà wọn; àpèjúwe wọn ń so CA àtijọ́ mọ́, nítorí náà gbogbo ẹ̀rọ gbọ́dọ̀ forúkọsílẹ̀ lẹ́ẹ̀kan sí i, àwọn tí a kò lè dé ọ̀dọ̀ wọn ní ọwọ́.

Pípàdánù tí ó dákẹ́ jẹ́ ìkọ̀wé. Ìfagilé sinmi lórí mímọ àwọn nọ́mbà ìpele tí o gbé jáde àti fún ẹni tí o fún. Pa àtẹ̀ náà rẹ́, o ṣì lè fi ọwọ́ sí, ṣùgbọ́n o kò lè sọ pẹ̀lú ìdánilójú irú àwọn ìwé-ẹ̀rí tí ó kù tí o fẹ́ fagilé. Àpò CA tí ó ní àwọn ìwé-ẹ̀rí láìsí ipò olùgbéjáde tí ó bá mu jẹ́ ẹ̀dà ìṣẹ́gun tí ń dá ìdajì tí kò tọ́ ti ẹ̀rọ náà padà.

Dídà kọ́kọ́rọ́ àṣírí CA lẹ́gbẹ̀ẹ́ sáfà tí ń ṣiṣẹ́ jẹ́ ọ̀nà kúkúrú mìíràn tí ó yẹ kí o kọ̀: ó sọ àṣẹ ìfọwọ́sí tí ó yẹ kí ó wà lóde nẹ́tíwọ̀ọ̀kì di fáìlì mìíràn lórí ẹ̀rọ tí ó ní ìrìnàjò tí a kò gbẹ́kẹ̀ lé.

Ipò àkọ́kọ́: ṣé ipò olùgbéjáde ṣì dé ọ̀dọ̀

Kí o tó pinnu, wá àpò tí sáfà gbẹ́kẹ̀ lé ní tòótọ́. Fi ìwé-ẹ̀rí tí sáfà gbé kalẹ̀ gẹ́gẹ́ bí CA wé èyí tí ó wà nínú àpò PKI nípasẹ̀ àmì ìka, kì í ṣe orúkọ fáìlì:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Tí àwọn àmì bá bára mu, ìforúkọsílẹ̀ jẹ́ àfikún, kí o má tún ohunkóhun kọ́. Tí wọ́n bá yàtọ̀, ìwọ ń fi CA tí sáfà kò gbẹ́kẹ̀ lé wo ọwọ́: ìwé-ẹ̀rí náà yóò gbé kalẹ̀ dáadáa ṣùgbọ́n yóò kùnà ní ìfọwọ́wọ́, a ó sì ṣiṣẹ́ àìtọ́ ìwádìí rẹ̀ gẹ́gẹ́ bí àṣìṣe alábàárà fún wákàtí púpọ̀.

Lẹ́yìn náà wá ipò ìgbéjáde: fáìlì àtẹ̀, olùkà ìpele àti fáìlì nọ́mbà CRL. Tí àtẹ̀ kò bá sí ṣùgbọ́n kọ́kọ́rọ́ wà, o lè gbé jáde, ṣùgbọ́n o jogún ìṣòro gbígba àwọn ìfagilé. Kọ ọ́ sínú ìwé àyípadà, nítorí ìbéèrè ìfagilé tí ó kàn yóò fi í hàn.

Ipò èkejì: ta ni ó ní kọ́kọ́rọ́ àṣírí tuntun

Èyí ni ìpinnu tí àwọn olùlò ń gbọ́, nítorí náà ṣe é ní gbangba. Kọ́kọ́rọ́ tí alábàárà dá tí ó sì fi ránṣẹ́ gẹ́gẹ́ bí ìbéèrè ń pa ìdajì àṣírí mọ́ lórí ẹ̀rọ láti àṣẹ àkọ́kọ́, olùdarí kì í sì fọwọ́ kàn án. Kọ́kọ́rọ́ tí sáfà dá rọrùn fún àwọn ẹ̀rọ tí kò ní irinṣẹ́, ṣùgbọ́n ó sọ olùdarí di olùtọ́jú gbogbo kọ́kọ́rọ́, ó sì ń gbòòrò ipa ìfarapa sáfà.

Pẹ̀lú Easy-RSA 3 lórí CA tí ó wà tẹ́lẹ̀, gbígbé ìbéèrè wọlé àti fífọwọ́ sí jẹ́ àṣẹ méjì:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Yan irú ìwé-ẹ̀rí pẹ̀lú ìmọ̀. Ìbéèrè tí a fi ọwọ́ sí gẹ́gẹ́ bí ìwé-ẹ̀rí sáfà dípò alábàárà ń mú fáìlì tí ó dàbí ẹni tí ó dára ṣùgbọ́n tí alábàásí kọ̀, ìfiránṣẹ́ àṣìṣe kì í sì sọ ìdí. Pẹ̀lú openssl ca, yíyàn kan náà wà nínú àwọn àfikún tí o fi ránṣẹ́, kì í ṣe ní apá àkọ́kọ́.

Ipò ẹ̀kẹta: ṣé sáfà nílò ju ìwé-ẹ̀rí lọ

Fún OpenVPN lasan tí ó ń fi ìwé-ẹ̀rí ṣe ìmúdájú, ìwé-ẹ̀rí náà ni ìforúkọsílẹ̀ fúnra rẹ̀: orúkọ àpapọ̀ di ìdánimọ̀ alábàárà, àti gbogbo àpò, ọ̀nà tí a tì àti àdírẹ́sì tí ó dúró náà sinmi lórí orúkọ yẹn. Fi ìwé-ẹ̀rí kún un kí o sì gbàgbé ìṣètò, ọ̀nà yóò so mọ́ ṣùgbọ́n àwọn ọ̀nà tí ó pọn dandan kò ní hàn.

Àwọn pèpéle ń yí èyí padà. OpenVPN Access Server ní ibi ìpamọ́ olùlò tirẹ̀, nítorí náà ìwé-ẹ̀rí tí a fi ọwọ́ sí kì í ṣe àkọsílẹ̀; àkọsílẹ̀ gbọ́dọ̀ wà kí a sì gbà á láàyè. Àwọn ẹnubodè mìíràn so okùn ìdánimọ̀ mọ́ ẹgbẹ́. Ìforúkọsílẹ̀ ẹ̀rọ kan sábà máa ń kan ẹ̀rọ méjì, ìwé-ẹ̀rí sì ni ti àkọ́kọ́.

Ìlànà àfikún àti ìgbà tí ìtúnkọ́ tọ́

Ìtẹ̀léra tí ń fi ẹ̀rọ kan kúnn láìsí ìpalára: fi àmì ìka jẹ́rìí olùgbéjáde, gbé ẹ̀dà tuntun ti àpò PKI, gbé ìbéèrè wọlé kí o sì fi ọwọ́ sí fún ipa alábàárà, fi ìwé-ẹ̀rí pẹ̀lú ẹ̀wọ̀n rẹ̀ ránṣẹ́ nípasẹ̀ ọ̀nà tí a fọwọ́ sí, kí o sì yẹ̀wò kí olùlò tó so mọ́:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Ìlà èròǹgbà gbọ́dọ̀ fi SSL client hàn. Parí pẹ̀lú ìmúdójúìwọ̀n ẹ̀dà CA lẹ́yìn ìgbéjáde, nítorí ẹ̀dà tí a gbé kí a tó kọ nọ́mbà ìpele tuntun yóò dá ipò tí kò ní ẹ̀rọ tí o ṣẹ̀ṣẹ̀ fi kúnn padà.

Ìtúnkọ́ tọ́ ní àwọn ipò mẹ́ta: kọ́kọ́rọ́ CA ti farapa, ipò ìgbéjáde ti sọnù láìlè gbapadà, tàbí ìwọ ń yí àlùfáà kọ́kọ́rọ́ tàbí ìlànà ìwé-ẹ̀rí padà pẹ̀lú ìmọ̀. Àwọn mẹ́tẹ̀ẹ̀ta jẹ́ iṣẹ́ tí ó nílò ètò ìforúkọsílẹ̀ tuntun fún gbogbo alábàárà, kì í ṣe àwọn ìgbésẹ̀ nínú ìbéèrè ẹ̀rọ kan. Tí kò bá sí èyí tí ó bá a mu, forúkọsílẹ̀ ní àfikún.