Cài đặt OpenCA theo kiến trúc phân tầng

Trong bài hướng dẫn Cài đặt openca kiến trúc SingleCA trên Centos 5.x  tôi đã hướng dẫn các bạn cài đặt  openCA với kiến trúc "All in one". Thực tế triển khai thì người ta sẽ không dùng đến kiến trúc này vì những lý do mà trong bài viết Chương 3. Kiến trúc PKI tôi đã nói đến. Hôm nay tôi sẽ cài đặt hệ thống thực theo kiến trúc phân cấp hay phân tầng.


Kiến trúc:
Nhắc lại chút xíu về kiến trúc 3 tầng tách biệt: "
... Trong một PKI X.509, nói chung có ba thành phần: một cơ quan cấp chứng nhận (CA), một cơ quan đăng ký (RA) và điểm cung cấp chứng nhận (CDP). Ba phần của một PKI được đặt tại một tòa nhà ("Trustcenter") được bảo vệ vật lý  bằng cách sử dụng biometry, người bảo vệ, cammera giám sát, hệ thống báo động và các thiết bị khác..."

Chúng ta sẽ cài đặt 3 thành phần này như mô tả sau:
+ 1 server đóng vai trò "cơ quan cấp chứng nhận" cao nhất đặt tên là RootCA
+ 1 server đóng vai trò "cơ quan cấp chứng nhận địa phương"  đặt tên là SubCA
+ 1 server đóng vai trò "cơ quan đăng ký" đặt tên là RA  - Đồng thời có 1 giao diên trên RA gọi là CDP.

Lần lượt chúng ta cài đặt: RootCA, SubCA, RA

Chuẩn bị:
3 máy ảo chạy HĐH Centos 5.7 (Mẹo: bạn cài đặt 1 máy thôi, update này kia xong, rồi clone thêm 2 máy nữa)

I. Cài đặt RootCA

Cài đặt các thư viện cần thiết:

yum install -y gcc-c++
yum install -y openssl-devel db4 db4-devel mysql-server mysql-devel perl-XML-Parser httpd

Tạo người dùng mới phục vụ quá trình biên dịch và cấu hình openca

groupadd openca

useradd -g openca -u 1201 openca

 

Tạo database cho openca:

mysql -u root -p

mysql> show databases;

mysql>create database dbrootca;

mysql> grant all privileges on *.* to 'openca'@'localhost' identified by '123456';

mysql> FLUSH PRIVILEGES;

mysql> exit;

Sửa file host /etc/hosts thêm vào cuối file như sau

diachiipcuamayban     diachi.local     diachi

Ví dụ : 192.168.1.2        tvuca.local                tvuca

Download openca-tool:

wget http://ftp.openca.org/openca/openca-tools/releases/current/binaries/linux/CentOS5.5-i686/openca-tools-1.3.0-1.el5.i386.rpm

Hoặc

wget  https://www.dropbox.com/s/b3xlka95tuxrx02/openca-tools-1.3.0-1.el5.i386.rpm

Cài đặt:  rpm -Uvh openca-tools-1.3.0-1.el5.i386.rpm

Download openca-base:

wget http://ftp.openca.org/openca-base/releases/current/sources/openca-base-1.1.1.tar.gz
Hoặc:  wget https://www.dropbox.com/s/8m00w36n5ou85k7/openca-base-1.1.1.tar.gz

Giải nén openca-base: 

tar -xvf openca-base-1.1.1.tar.gz

cd openca-base-1.1.1

Tiến hành build:

# ./configure --prefix=/opt/openca \
--with-ca-oganization="TVU RootCA Labs" \
--with-httpd-fs-prefix=/var/www \
--with-httpd-main-dir=pki \
--with-db-name=dbrootca \
--with-db-host=localhost \
--with-db-user=openca \
--with-db-passwd=123456 \
--with--db-type=mysql \
--with--db-service-mail-account=rootca@gmail.com

OpenCA sẽ được cài đặt vào /opt/openca. Sử dụng cơ sở dữ liệu MySQL với
database openca, user là openca password 123456. Web quản trị được lưu
tại thư mục /var/www/pki

Tiếp theo là biên dịch

# make

Hoàn tất cài đặt với lệnh make install. Ở đây triển khai trên single node cả RootCA nên sẽ là:

# make install-online && make install-ca

Khởi động lại web server:
# service httpd restart

Lưu ý là trong openca 1.1.1 sẽ có lỗi, vì vậy cần tiên hành fix lỗi này.

# wget https://www.dropbox.com/s/x5k5mgdneymuuq6/initServer

#wget https://www.dropbox.com/s/bzpsnsvnn97yuys/User.pm

Ghi đè 2 file này:

# cp User.pm /opt/openca/lib/openca/perl_modules/perl5/OpenCA/

# cp initServer /opt/openca/lib/openca/functions/

Chọn yes để thay thế file cũ.

Khởi động lại web server:

# service httpd restart

Hoàn tất cài đặt. Tiếp theo là cấu hình cho OpenCA.

Di chuyển đến thư mục cấu hình CA
Ở đây sẽ cấu hình cho mọi máy có thể truy cập mà ko cần ssl

cd /opt/openca/etc/openca

Chúng ta sẽ sữa đổi các file:

·         access_control/node.xml.template

·         access_control/ca.xml.template

·         access_control/ra.xml.template

·         config.xml

#vim access_control/node.xml.template

Trong thẻ:

<channel>
..
<protocol>ssl</protocol> ----> <protocol>.*</protocol>
..
<symmetric_keylength>128</symmetric_keylength> ----> <symmetric_keylength>0</symmetric_keylength>
..
</channel>

Lưu lại.

Tiếp theo sữa file: access_control/ra.xml.template

# vim access_control/ra.xml.template

<channel>
..
<protocol>ssl</protocol> ----> <protocol>.*</protocol>
..
<symmetric_keylength>128</symmetric_keylength> ----> <symmetric_keylength>0</symmetric_keylength>
..
</channel>

Lưu lại.

Tiếp theo sữa file /opt/openca/etc/openca/config.xml

vim config.xml

:$ để đến cuối file

<name>dataexchange_device_up</name>
<value>/dev/fd0</value> ---> <value>/tmp/openca</value>

<name>dataexchange_device_down</name>
<value>/dev/fd0</value> ---> <value>/tmp/openca</value>

Lưu lại.

Tiếp theo sửa file: openssl/openssl.cnf.template

# vim openssl/openssl.cnf.template

Trong [req] và [CA_defaut] tìm dòng:

default_md            = sha256 ---> đổi thành default_md            = sha1

Lưu lại.

Để các sửa đổi có hiệu lực:
# ./configure_etc.sh

Tạo symlink cho openca:

#cd /usr/sbin/
#ln -s /opt/openca/etc/init.d/openca openca

Khởi động openca:
#cd ~
#openca start
 ===> Nhập password admin:
Quá trình cài đặt RootCA đã xong, bạn kiểm tra kết quả bằng cách gõ vào trình duyệt: http://diachimaycairooca/pki
 Accout là admin và pass lúc bạn start openca trên.

Mệt quá! Các bạn vui lòng đợi mình khỏe lại sẽ đăng phần tiếp theo nhe.