Easy-RSA sọ pé PKI kò sí? Ó ń wò ó ní ibòmíràn

Àṣẹ náà dúró pẹ̀lú ca.crt tí kò sí tàbí index.txt tí kò sí, nígbà tí CA ti ń gbé jáde ìwé-ẹ̀rí fún ọ̀pọ̀lọpọ̀ oṣù. Kò sí ohun tí ó yí padà ní ibi àṣẹ; àṣẹ náà kàn wò ó ní ibòmíràn. Easy-RSA 3 ń pinnu àpòpọ̀ PKI láti inú àṣàyàn, oníyípadà àyíká, fáìlì vars àti iye àkọ́kọ́ tí a kọ́ sínú, àti èyíkéyìí nínú wọn lè tọ́ka jìnnà sí ibi àṣẹ ìgbékalẹ̀. Ṣàyẹ̀wò èyí tí ó borí kí o tó dá ohunkóhun.

Àṣìṣe náà dárúkọ fáìlì, kì í ṣe àpòpọ̀

Àpòpọ̀ ìfisílẹ̀ àti àpòpọ̀ olùtẹ̀jáde jẹ́ ibi méjì tí ó yàtọ̀. Ríri easyrsa lórí ẹ̀rọ ń fi kìkì pé a ti fi irinṣẹ́ náà sínú, kì í ṣe pé ó ti rí ibi àṣẹ tí VPN rẹ gbẹ́kẹ̀lé.

Ìdí niyì tí àtúnfisílẹ̀ àpòmọ́ tàbí àtúnṣe ìgbésẹ̀ init fi dà bí èyí tí ó wúlò tí kò sì yí ohunkóhun padà.

Ṣàyẹ̀wò yànràn kí o tó ṣe ohunkóhun mìíràn

Nínú Easy-RSA 3 yànràn ni EASYRSA_PKI tàbí àṣàyàn tí ó bá a mu --pki-dir. Fún ní ipa-ọ̀nà pípé bí --pki-dir=/srv/pki/office, ìdáhùn yóò sì dáwọ́ dúró láti sinmi lórí ibi tí o wà lẹ́ẹ̀kọ̀ọ̀kan. Àṣà kan yìí ń mú gbogbo ẹ̀ka àṣìṣe yìí kúrò, pàápàá fún àwọn skripti tí a ń ṣiṣẹ́ láti cron tàbí láti CI checkout.

Kọ́kọ́ jẹ́rìí ìran náà, nítorí àṣà Easy-RSA 2 pẹ̀lú vars fáìlì àti build-key jẹ́ àwòrán mìíràn ju èyí tí Easy-RSA 3 ń retí. easyrsa --version ń tẹ̀ ìran jáde kí ó tó ṣe ohunkóhun mìíràn, àti ./easyrsa --help ń ṣe àkójọ àwọn àṣẹ abẹ́: àfojúsùn build-key túmọ̀ sí 2.x, nígbà tí build-client-full túmọ̀ sí 3.x. Mímú ipa-ọ̀nà KEY_DIR àtijọ́ wọ ìpè 3.x nítorí orúkọ àpòpọ̀ dà bí ẹni tí a mọ̀ ń mú àṣìṣe yìí jáde gan-an.

Tí okùn ẹ̀yà àti ìlànà àṣẹ kò bá mu, dúró kí o sì ka ìwé àkọsílẹ̀ ẹ̀yà tí a fi sínú.

Ipò àkọ́kọ́ ń ṣàlàyé fáìlì vars tí ó pàdánù

Ipò àkọ́kọ́ tí a kọ sílẹ̀ ni àṣàyàn ìlà àṣẹ, lẹ́yìn náà àyíká, lẹ́yìn náà fáìlì vars, lẹ́yìn náà iye àkọ́kọ́ tí a kọ sínú. Nítorí náà iye tí ó tọ́ nínú vars ń pàdánù sí oníyípadà àyíká tí a jogún, àti èyí ni ẹ̀dà kíkẹ́kọ̀ọ́ ti ìkùnà yìí. Ṣàyẹ̀wò àwọn oníyípadà tí a pinnu àti yíyan fáìlì dípò kí o da gbogbo àyíká sínú tíkẹ́ẹ̀tì. Ìyàtọ̀ láàrin àwọn méjèèjì máa ń jẹ́ àṣírí.

Rìn ẹ̀wọ̀n náà lẹ́sẹẹsẹ kí o sì ṣàkíyèsí orísun wo ni ó fún ní ipa-ọ̀nà tí àṣẹ náà lò. Tí o bá mọ̀ ọ́, àtúnṣe ni àsíá tàbí export, kì í ṣe ibi àṣẹ ìwé-ẹ̀rí tuntun.

Ìtọ́kasí ìṣètò Easy-RSA ń ṣàlàyé yànràn àti ipò àkọ́kọ́, ìyẹn sì ni ìtọ́kasí tí a gbọdọ̀ fi sínú tíkẹ́ẹ̀tì.

Jẹ́rìí olùtẹ̀jáde pẹ̀lú ohun èlò gbangba

Pẹ̀lú olùtẹ̀jáde tí ó dá lórí fáìlì, ka ca.crt kí o sì fi àmì ìka rẹ̀ wé àkọsílẹ̀ olùtẹ̀jáde tí o fọwọ́ sí. Orúkọ kókó tí ó bá mu kì í ṣe ẹ̀rí ìdánimọ̀, àpòpọ̀ tí a pè ní production pẹ̀lú kì í ṣe. Àmì ìka nìkan ni ó so fáìlì tí o rí mọ́ ibi àṣẹ tí a sọ fún àwọn ẹlẹgbẹ́ rẹ pé kí wọ́n gbẹ́kẹ̀lé.

Ìṣàyẹ̀wò kíkà nìkan ti tó: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Lẹ́yìn náà ṣètò ipa àpòpọ̀ náà. Àpòpọ̀ ìbéèrè tí ẹ̀rọ oníbàárà ń lò kì í ṣe ibi ìpamọ́ olùtẹ̀jáde, kọ́kọ́rọ́ ìfọwọ́sí tí a pa mọ́ ní àìsí lórí ẹ̀rọ ayárabíàsí VPN kò ní iṣẹ́ kan. Àìsí ca.key ní ìtòlẹ́sẹẹsẹ yẹn jẹ́ ànímọ́ àpẹrẹ, kì í ṣe àṣẹ láti dá ibi àṣẹ àrọ́wọ́tó.

Tí ipò náà bá ti lọ ní tòótọ́

Nígbà mìíràn ipa-ọ̀nà tọ́, ipò náà kò sì sí ní tòótọ́. Fáìlì index.txt tí ó ṣófo àti ẹ̀rọ ìṣirò ẹ̀yà tí a tún bẹ̀rẹ̀ ń fún ọ ní PKI tí ó dà bí aláìlera tí kò sì lè fi ohunkóhun hàn nípa àwọn ìwé-ẹ̀rí tí kò tíì rí rí: àtúnṣe kò ní fagilé àwọn àtijọ́, àwọn nọ́mbà tuntun yóò sì gbogun pẹ̀lú ìtàn. Dípò èyí, mú padà láti inú àpamọ́ àfọwọ́sí ti CA, nítorí bíbẹ̀rẹ̀ PKI òfìfo níbòmíràn kàn ń gbé àṣìṣe náà kúrò tí ó sì fi ibi àṣẹ kejì tí kò ní àjọṣepọ̀ sílẹ̀.

Tí ipa-ọ̀nà àti olùtẹ̀jáde bá fohùn ṣọ̀kan, tọ́jú ìkùnà tó kàn ní ìbámu pẹ̀lú ẹ̀tọ́ rẹ̀. Permission denied, kọ́kọ́rọ́ ìfọwọ́sí tí ó nílò gbólóhùn ìpamọ́ rẹ̀, àti àkọsílẹ̀ ìgbéjáde tí kò sí jẹ́ ìkùnà mẹ́ta tí ó yàtọ̀, ìkan nínú wọn nìkan ni ó ní í ṣe pẹ̀lú àpòpọ̀ tí o ṣẹ̀ṣẹ̀ túnṣe.

Má ṣe yọ ìkọ̀kọ̀ kọ́kọ́rọ́ kúrò tàbí mú àwọn àṣẹ àpòpọ̀ gbòòrò láti bo àṣìṣe ipa-ọ̀nà. Àṣìṣe náà rọrùn láti túnṣe; àtúnṣe náà kò rọrùn.