Gå till innehållet

OpenVPN-fjärråtkomst#

MIVO Connect har en inbyggd OpenVPN-server för säker fjärråtkomst till enheten och dess lokala nätverk.

Åtkomst autentiseras med klientcertifikat. Skapa ett eget certifikat för varje person eller dator som ska ha åtkomst.

Guiden beskriver hur du skapar en egen certifikatutfärdare (CA), utfärdar klientcertifikat, konfigurerar MIVO Connect och OpenVPN Connect samt hanterar åtkomst säkert.

Översikt#

VPN-lösningen använder certifikatautentisering i båda riktningarna.

Certifikat Syfte
Ditt CA-certifikat Installeras på MIVO Connect så att den kan verifiera dina OpenVPN-klienter.
MIVO:s CA-certifikat Används av OpenVPN-klienten för att verifiera MIVO Connect-enheten.
Klientcertifikat Identifierar en enskild behörig användare eller dator.
MIVO Connects servercertifikat Identifierar MIVO Connect-enheten.

Info

De två CA-certifikaten har olika funktioner. Blanda inte ihop ca.crt som du skapar själv med MIVO:s CA-certifikat som används i OpenVPN-klienten.

1. Installera EasyRSA#

EasyRSA används för att skapa och administrera din CA och dina klientcertifikat.

  1. Hämta senaste Windows-versionen från EasyRSA releases på GitHub.
  2. Packa upp ZIP-filen i en lämplig mapp, till exempel C:\EasyRSA.
  3. Starta EasyRSA-Start.bat i den uppackade mappen.

Ett terminalfönster öppnas där du kan köra kommandona nedan.

2. Skapa en egen certifikatutfärdare (CA)#

Detta görs normalt en gång av den administratör som ansvarar för VPN-åtkomsten.

easyrsa init-pki
easyrsa build-ca

EasyRSA ber dig ange ett lösenord och ett Common Name för CA:n. Använd gärna ett beskrivande namn, exempelvis Kundens OpenVPN CA.

Det publika CA-certifikatet skapas här:

pki/ca.crt

Warning

CA:ns privata nyckel ligger i EasyRSA:s PKI-mapp, normalt som pki/private/ca.key. Skydda hela PKI-mappen och särskilt denna privata nyckel noggrant.

Den som får tillgång till CA:ns privata nyckel kan skapa klientcertifikat som MIVO Connect litar på. Ladda aldrig upp, e-posta eller distribuera den privata CA-nyckeln.

Filen pki/ca.crt innehåller däremot bara det publika CA-certifikatet. Den kan installeras säkert på MIVO Connect.

3. Skapa ett klientcertifikat#

Skapa ett separat certifikat för varje person eller dator. Exempel för en servicedator:

easyrsa build-client-full service-laptop
easyrsa export-p12 service-laptop

Den skapade PKCS#12-filen hamnar normalt här:

pki/private/service-laptop.p12

.p12-filen innehåller klientcertifikatet och dess privata nyckel. Den kan även innehålla certifikatkedjan.

Warning

Hantera en .p12-fil och dess exportlösenord som en inloggningsuppgift. Den som har båda kan eventuellt ansluta som den klienten.

Dela inte samma certifikat mellan flera användare. Med individuella certifikat kan du identifiera och spärra åtkomst för en dator utan att påverka övriga.

4. Konfigurera MIVO Connect#

MIVO Connect behöver det publika certifikatet för din CA för att avgöra vilka klienter den ska lita på.

  1. Öppna System → Services → OpenVPN → Upload new client CA certificate i MIVO Connects webbgränssnitt.
  2. Ladda upp filen:

text pki/ca.crt

Ladda inte upp pki/private/ca.key eller hela EasyRSA PKI-mappen.

När CA-certifikatet är installerat kan MIVO Connect acceptera giltiga klientcertifikat utfärdade av din CA, förutsatt att de inte har spärrats.

5. Konfigurera OpenVPN-klienten#

Installera OpenVPN Connect på datorn som ska ansluta till MIVO Connect.

Du behöver följande filer:

exempel.ovpn
mivoca.crt
service-laptop.p12

De medföljande filerna är:

Förvara exempel.ovpn och mivoca.crt i samma mapp. Profilen innehåller raden ca mivoca.crt, vilket innebär att OpenVPN behöver hitta certifikatet under exakt detta filnamn.

mivoca.crt tillhandahålls av MIVO. Den gör att OpenVPN-klienten kan verifiera certifikatet som MIVO Connect presenterar.

Info

mivoca.crt är inte samma fil som din pki/ca.crt.

  • Din pki/ca.crt: används av MIVO Connect för att verifiera klientcertifikatet.
  • MIVO:s mivoca.crt: används av OpenVPN-klienten för att verifiera MIVO Connect.

Ange serveradress#

Öppna exempel.ovpn i en texteditor och leta upp den första raden:

remote <IP> <PORT>

Byt ut adress och port mot den publika IP-adressen eller värdnamnet samt OpenVPN-porten för den aktuella MIVO Connect-installationen. Spara filen.

Exempel:

remote vpn.example.com 1194

Den medföljande profilen innehåller även remote-cert-tls server, som säkerställer att motparten presenterar ett certifikat avsett för VPN-server, samt auth-nocache, som gör att OpenVPN inte behåller lösenordet till den privata nyckeln i minnet efter användning.

Importera profilen#

  1. Öppna OpenVPN Connect.
  2. Öppna menyn och välj Certificates & Tokens.
  3. Välj Add certificate, välj service-laptop.p12 och ange exportlösenordet.
  4. Gå tillbaka till startsidan, tryck på plus-ikonen och välj sedan File under Import Profile.
  5. Importera exempel.ovpn.
  6. Under Certificate & key, välj Assign och välj certifikatet som du importerade.
  7. Spara profilen och välj Connect.

Så fungerar säkerheten#

Lösningen använder ömsesidig TLS-autentisering. Båda sidor har en privat nyckel, men ingen privat nyckel skickas över nätverket.

När anslutningen upprättas bevisar vardera sidan att den har sin privata nyckel och validerar certifikatet från motparten.

MIVO Connect verifierar klienten#

MIVO Connect tar emot klientcertifikatet och kontrollerar att det:

  • är utfärdat av kundens CA som har installerats på enheten;
  • ligger inom sin giltighetstid.

Ett certifikat som är utfärdat av en okänd CA nekas åtkomst.

Klienten verifierar MIVO Connect#

OpenVPN-klienten validerar servercertifikatet från MIVO Connect mot mivoca.crt. Det skyddar mot att ansluta till en obehörig server som bara utger sig för att vara en MIVO Connect-enhet.

Kryptering#

När den ömsesidiga autentiseringen har lyckats upprättar OpenVPN krypterade sessionsnycklar för VPN-anslutningen. Trafiken i tunneln krypteras och integritetsskyddas, vilket innebär att den normalt varken kan läsas eller ändras av någon som avlyssnar nätverket.

Note

Certifikatautentisering styr vem som får etablera VPN-anslutningen. Vanliga säkerhetsåtgärder behövs fortfarande: skydda administratörskonton, håll enhetens firmware uppdaterad och begränsa åtkomst till VPN-porten med brandvägg där det är lämpligt.

Rekommenderad certifikathantering#

  • Förvara CA:ns privata nyckel offline eller i åtkomstskyddad lagring och ha en säker säkerhetskopia.
  • Använd ett certifikat per person eller dator, med tydliga namn som laptop-anna eller service-pc-01.
  • Skydda .p12-filer med starka, unika lösenord och skicka filen och lösenordet i separata kanaler.
  • Dokumentera vem som har fått varje certifikat och när det går ut.
  • Om ett klientcertifikat komprometteras måste det betrodda CA-certifikatet bytas ut och nya klientcertifikat utfärdas.
  • Använd aldrig CA:ns privata nyckel på MIVO Connect eller på vanliga servicedatorer.