Fondo: necesito configurar un acceso remoto seguro para una pequeña oficina en casa. Soy un poco novato y no he necesitado manejar certificados antes. Entiendo la mayor parte de la configuración, pero quiero entender las implicaciones prácticas de la gestión de certificados, ya que también tengo que gestionar la parte de CA.
Resumen de LAN
Enrutador de código abierto simple con dispositivos LAN (principalmente PC e impresora), todos conectados mediante un conmutador no administrado y con un banco público de 16 IP. No hay VLAN, no hay inicio de sesión de dominio / radio, no hay otros servicios de LAN y no hay DNS local (me siento cómodo usando solo DHCP e IP). El enrutador admite de forma nativa IPSEC / L2TP / OpenVPN entrante. Me inclino tentativamente hacia OpenVPN si no hay buenas razones para ir con otra (pero admito que realmente no conozco las diferencias prácticas).
Pregunta :
La preocupación es que una configuración pobre puede exponer al cliente al mundo exterior. Como AC para LAN, tengo que pensar en los certificados privados / de firma, y en todo lo demás, no solo en los certificados públicos. Así que quiero asegurarme de que los archivos relacionados con la seguridad generados (certificados privados, claves maestras, claves de firma, lo que sea) se manejen y mantengan adecuadamente y se administren de manera adecuada y segura. Pero la mayoría de los recursos de un nivel puedo entender omitir o son vagos acerca de las prácticas de seguridad posteriores a la instalación.
Entonces ... como administrador del proceso de certificación (visto desde la perspectiva del router / CA) qué certificados / claves / auto-CA exactas debo configurar, y qué archivos de administración de certificados debo proteger y cómo debo hacer ¿eso? (cifrado de archivos en mi computadora portátil, dispositivo USB separado, computadora portátil dedicada no conectada a la red, ...) ¿Con qué frecuencia necesito acceder a estos, una vez que están configurados (seguridad v. conveniencia)? ¿La mayoría de las implementaciones almacenarán estos cifrados, o debo preocuparme por cómo los guarda el enrutador?
¡Gracias por cualquier ayuda!
Actualización 1 - Actualizando para aclarar los roles un poco, ya que no son los mismos que se podrían esperar. Por lo general, uno se imagina a un desarrollador o propietario del sitio certificando a terceros a través de una CA independiente, o una CA independiente y el propietario del sitio creando certificados para otras partes. Aquí es mucho más simple. El único propósito de crear cualquier CA / certificados / claves es permitir que una persona (el propietario de la LAN y nadie más) se conecte a la LAN de forma segura utilizando un mecanismo cuando esté ausente (VPN nativo del enrutador) y asegurarse de que otros no puedan hacerlo. Así (dentro de los límites de las renuncias de seguridad habituales). Una vez que todo está configurado y funciona bien, es posible que rara vez se necesiten certificados / llaves adicionales.
El escenario del mundo real es que el propietario tiene que mudarse pronto ya que el lugar no será habitable debido a las obras de construcción más importantes durante 18 meses, pero la LAN se mantendrá. Mi pregunta no es realmente cómo generar claves y certificados que tengan muchos HOWTO, se trata del conocimiento de ITSec más relevante para su escenario; Me gustaría aprovechar un poco mejor el conocimiento de procedimientos, por lo que cuando sigo las recetas, me siento un poco más cómodo al no solo seguirlas, sino que mantener lo que está creado bastante bien asegurado y no es probable que lo esté. dejando la LAN casi abierta por ignorancia mientras está 'en vivo' después. Necesito algunos consejos sobre lo que debo hacer para estar lo más seguro posible, que le estoy dando una configuración razonablemente segura y que la administro de forma razonablemente sensata.
Probablemente lo expresé un poco dramáticamente :) pero con suerte distingue y aclara la pregunta formulada.