OpenVPN 需要 Easy-RSA 吗？取决于 CA 归谁所有

教程说在配置 OpenVPN之前要安装 Easy-RSA，于是人们以为两者是一个整体。其实不是。Easy-RSA 是驱动 OpenSSL 的 PKI 管理工具，OpenVPN 是隧道。一个决定信任谁，另一个搬运数据包。

真正重要的比较不是哪个工具更好。而是贵组织里的签发者归谁所有。

Easy-RSA 究竟是什么

该项目自称是 X.509 PKI 管理工具，密码学工作由 OpenSSL 完成。这意味着它把密钥生成、证书请求、签名策略和吊销打包成可复用的目录结构。它不会给既有隧道增加加密层，也不会让 RSA 比另一个合格工具生成的同一把密钥更强。它做的是让工作流可审计。

这是实实在在的好处，但属于运维层面，而不是密码学层面。

跟着一台笔记本走完注册

新笔记本自行生成密钥并提交证书请求，因此 私钥永远不离开设备。随后签发者用一种类型签署该请求，为客户端角色选出正确的扩展项。在 Easy-RSA 中就是 ./easyrsa sign-req client laptop-a。

运维人员仍然必须决定这个人是否该获得访问权。没有任何签名工具能从一个通用名推断出权限。

签名后的证书回到 持有对应密钥的设备，而 VPN 部署另行提供服务器信任、身份校验、网络策略和账户要求。签发者输出目录里的一个文件无法证明这些。只有完成握手才能证明。

跟着同一台笔记本走完退出

移除才是签发者选择真正显现的地方。可用的工作流会识别证书、记录吊销，并生成依赖方拒绝它所需的内容。Easy-RSA 把 ./easyrsa revoke laptop-a 与 ./easyrsa gen-crl分开，而第二步正是人们会忘记的那一步。在签发者上生成 CRL 并不会把它送达任何 VPN 校验方。

分发、重载行为以及已建立会话会怎样，都属于部署决策，而不是工具特性。

这个缺口正是选择成熟工作流而非一堆临时 openssl 命令的现实理由。运行签发者的难点不在于第一张证书。而在于设备来来去去时，让签发记录、备份、续期和移除保持连贯。

当已有签发者时

如果贵组织已经在运行获批的证书服务，就通过它注册。仅仅因为教程里有 Easy-RSA 命令就另建一个 CA，会带来信任分发工作、备份工作，以及另一件需要正确吊销的事。

本地签发者意味着承诺运营一个 CA，而不是安装指南里的一个勾选框。

什么时候 Easy-RSA 才是正确选择

对于确实需要自己签发者的小型私有部署，Easy-RSA 提供了专注的工作流，无需手工拼装每一步。 上游 Easy-RSA 指南 按顺序覆盖请求、签名、吊销和 CRL 各步骤。把 CA 签名材料交给指定的所有者保管；客户端需要自己的凭据和相关公共信任，绝不是签名密钥的副本。

基于 PIN 的 OpenVPN 设计是另一种合法的信任安排，而不是等待修复的坏 PKI。而且账户登录并不能免除在所选协议下对服务器进行认证的需求。

做选择前先回答四个问题：谁批准新身份、它的私钥放在哪里、证书如何到达客户端，以及退役身份如何停止被接受。