Lo CA ile-iṣẹ rẹ ti o wa tẹlẹ fun awọn ẹlẹgbẹ OpenVPN

Ko si nkan ninu OpenVPN ti o nilo ki ijẹrisi wa lati Easy-RSA, ati ẹgbẹ kan ti o ti ni PKI ti ile-iṣẹ tẹlẹ ko yẹ ki o kọ ẹkeji ni deede. Iṣẹ gidi kii ṣe yiyan irinṣẹ kan, bikoṣe ipinnu kini awọn idanimọ ti a fun ni tumọ si, awọn ẹlẹgbẹ wo ni tunnel gba, ati bii isọdọtun ati ifagile ṣe de ọdọ oluyẹwo. Lọ nipasẹ awọn igbesẹ marun ni isalẹ ni aṣẹ, nitori igbese ti o tẹle ko le tun ipinnu ipa ti a ṣe ninu akọkọ atunṣe.

Fun awọn ipa meji ni ipò idanimọ kan ti a pin

Olukuluku ẹlẹgbẹ nilo ijẹrisi tirẹ ati kọkọrọ ikọkọ ti o baamu. Beere lọwọ ẹgbẹ PKI fun idanimọ olupin ti o ni lilo olupin ati awọn idanimọ alabara lọtọ ti o ni lilo alabara, ki tunnel le ṣe iyatọ laarin awọn meji ni akoko ifọwọsowọpọ.

Duro lodi si awọn ọna kukuru ti o farahan labẹ titẹ akoko ipari. Kọkọrọ olupin wẹẹbu ti a daakọ sori awọn kọmputa gbigbe nu iyatọ ti iwadii ipa gbarale, ati kọkọrọ ibuwọlu CA ti a fi sori aaye ipari VPN yipada olugbalejo kan ti o ti bajẹ si ilana-iṣe ti o ti bajẹ. Apoti PKCS12 le gbe kọkọrọ aaye ipari ati ẹwọn rẹ, ṣugbọn ko funni ni igbanilaaye lati tun lo idanimọ yẹn ni ipa miiran.

So awọn igbewọle igbẹkẹle pọ ni ẹgbẹ kọọkan

Alabara ati olupin kọọkan nilo ohun orin igbẹkẹle, idanimọ tirẹ ati ireti ipa ti o han gbangba. Ẹyọ alabara kan ti o sọ awọn mẹta dabi eyi.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Ẹgbẹ olupin n ṣe afihan eyi pẹlu remote-cert-tls client ati ijẹrisi tirẹ, ati eyi ni ohun ti o ṣe idiwọ ijẹrisi alabara lati gba bi olupin. Iwadii orukọ jẹ ipinnu ti o ya sọtọ si iwadii ipa. Ka iṣeto ti a ti fi sori ẹrọ lati rii aaye wo ni a fiwera dipo ki o ro pe orukọ agbalejo baamu ni ọna aṣawakiri. Awọn ẹgbẹ mejeeji yẹ ki o tun han gbangba nipa olutẹjade wo ni wọn gbẹkẹle, nitori ọna faili ti a pin kọja ẹgbẹ kii ṣe ohun kanna bi eto imulo ti a pin.

Fi awọn ijẹrisi agbedemeji ranṣẹ lai fa igbẹkẹle gbooro

Awọn ẹgbẹ meji ko nilo lati pin ẹwọn itusilẹ kan. Nigbati ẹlẹgbẹ kan ba ṣafihan ijẹrisi ti a fi ọwọ si nipasẹ agbedemeji, ẹgbẹ ti n ṣe ayẹwo nilo agbedemeji yẹn ni wiwa, ati OpenVPN yato igbewọle ohun orin igbẹkẹle si awọn ijẹrisi afikun ti a lo lati pari ẹwọn ti a gbekalẹ ni agbegbe. Itọkasi awọn aṣayan TLS ti OpenVPN 2.6 ṣe akọsilẹ mejeeji.

CA agbedemeji kii ṣe iṣoro funrararẹ, ṣugbọn gbongbo ile-iṣẹ gbooro ti a ju sinu apoti igbẹkẹle jẹ iṣoro. Bi ohun orin ba ṣe gbooro si, bẹẹ ni ọpọlọpọ awọn ijẹrisi n kọja idanwo ẹwọn, ati iwadii ipa ko yipada eyi si atokọ oṣiṣẹ ti a fun ni aṣẹ. Din ohun orin naa si olutẹjade ti o fi ọwọ si awọn idanimọ VPN gangan nibiti ilana-iṣe gba laaye. Ti ko ba gba laaye, ṣe akọsilẹ ohun orin gbooro bi eewu ti a gba mọọmọ dipo ki o fi silẹ ni airotẹlẹ.

Gba pẹlu ẹgbẹ PKI nipa bii isọdọtun ati ifagile ṣe de ọdọ awọn oluyẹwo VPN, pẹlu awọn olutẹjade wo ni o ṣe pataki ati tani n gbejade atokọ naa. Aaye pinpin CRL ti a fi sinu ijẹrisi jẹ itọni, kii ṣe ẹri pe nkan kan gba a.

Pinnu bii ifagile ṣe de ni otitọ

crl-verify mu oluyẹwo lọ lati beere faili tabi aaye ipari, ati eto yẹn nilo oniwun ati ọna isọdọtun. Atokọ ti a daakọ lẹẹkan lakoko imuṣiṣẹ yoo dẹkun daabobo rẹ ni idakẹjẹ ni igba akọkọ ti a fagile ijẹrisi kan.

Kọ akoko itankale ti a reti ati danwo pẹlu ijẹrisi ti o ṣetan lati fagile. Ti a ko ba le sọdọtun atokọ naa lori agbalejo VPN, yiyan ni akoko wiwulo kukuru pẹlu ilana isọdọtun ti n ṣiṣẹ gangan, kii ṣe arosinu pe ifagile n ṣiṣẹ nitori URL kan wa.

Fi idi gbigba mulẹ pẹlu alabara gidi kan

So alabara kan ti o yẹ ki a gba laaye ati jẹrisi awọn alaye ijẹrisi ti a duna ninu akosile. Lẹhinna dan awọn ọran ti o yẹ ki o kuna: ijẹrisi alabara ti a gbekalẹ bi olupin, ijẹrisi lati ọdọ olutẹjade ni ita ohun orin igbẹkẹle, ati ijẹrisi ti a fagile ti o ba ni ọkan ti o ku.

Ṣe akọsilẹ olutẹjade ti a gba, iwadii ipa ati orisun ifagile lẹgbẹẹ profaili. Akọsilẹ yẹn ni ohun ti ẹlẹrọ ti o tẹle nilo nigbati ẹrọ kan ti o ṣiṣẹ ni oṣu to kọja ba dẹkun sisopọ, ati pe o tun jẹ ẹri pe CA ile-iṣẹ ni a n lo laarin aala gbigba ti a kọ silẹ dipo bi ibi idoti igbẹkẹle fun gbogbo idi.