Dotaz: OpenVPN

[Míra]

Na různých fórech jsem si našel návod, jak nainstalovat a nastavit OpenVPN. Server i klienti mi fungují. Potřeboval bych ale malý návod, jak po čase přidat dalšího klienta, případně jak některého klienta odebrat.

Odpovědi

[Sten]

Odebrat klienta: stačí smazat jeho certifikát na serveru Přidat klienta: vytvoříte pro klienta nový certifikát, je to stejné jako u prvního klienta

[Míra]

Takže stačí toto?
Nový klient :
./build-key-pass novy_klient
Smazání stareho klienta :
smazat /etc/openvpn/easy-rsa/2.0/keys/stary_klient.*

[Sten]

Certifikáty pro klienty (to jsou ty soubory končící .crt) je po vytvoření potřeba zkopírovat nebo nalinkovat do /etc/openvpn/clients. Pro odstranění je potom stačí odtamtud smazat.

[bigBRAMBOR]

to je nejaka novinka, ze se klientske certifikaty nahravaji pri startu VPN? To mi nejak uniklo.

Standardne si OVPN server nahrava pouze svoje certifikaty a cerftifikat CA. Overi pak jakykoliv klientsky certifikat ktery je podepsany stejnou CA. Pokud chces tedy pridat klienta, vytvoris cert a key podepsany stejnym CA jaky je na serveru, pokud chces pristup klientovi revokujes jeho certifikat, nebo si napises maly script ktery se pousti na strane serveru a kontroluje CN certifikátu.

[tuxmartin]

Presne tak, pro odebrani klienta doporucuju pouzit skript revoke-full ktery je v easy-rsa.

OpenVPN server pak ale musi mit v nastaveni uvedeny radek crl-verify crl.pem. A musi byt spravne uvedena cesta k tomu souboru a pravo pro cteni (v tom souboru jsou ty zrusene certifikaty).

Pokud vim, tak by to mel byt nejcistsi zpusob

[Sten]

Pardon, takhle to lze také dělat, ale je nutné předtím zapnout nastavení ccd-exclusive.

[bigBRAMBOR]

asi ano, ale je to vlastne vedlejsi efekt ccd, tedy pridelovani nastaveni dle CN certifikatu, a pokud toto je nastaveno, dase to touto volbou vynutit, a kdo nema nastaveno ccd se neprihlasi. To ale vyzaduje nastaveni CCD pro kazdeho klienta a nikoliv link na certifikat. Aspon pokud to dobre chapu.