Dotaz: OpenVPN a zneplatneni certikatu

[Marek Stopka]

Dobry den,

mam openvpn na serveru v rezimu server pres tun rozhrani, vygeneroval jsem vlastni certifikacni autoritu a podepsal cca 10 certifikatu pro koncove uzivatele, tyto uzivatelske certifikaty jsem rozdal mezi lidi a nainstaloval OpenVPN GUI, VPN funguje jak ma.

Mam dotaz, jak ted vyresit situaci kdy potrebuji jeden certifikat zneplatnit, respektive zamezit uzivateli prihlaseni do VPN, nasel jsem neco kolem revoke, ale neni mi to jasne jak server reknu ten a ten clovek je blokovan.

Dekuji za popostouchnuti Marek.

---

---

Odpovědi

[scott]

Koukni na parametr crl-verify v configu openvpn.

Ja generuji certifikaty pomoci easy-rsa, tak i generovani crl je jednoduche.

Jinak pouzij klasicky openssl k vygenerovani spravneho crl.

http://www.imped.net/oss/misc/openvpn-2.0-howto-edit.html#revoke

[marek]

aha, děkuji úplně tomu nerozumím, myslel jsem openvpn server si certifikaty klientu co lezi v adresáři easyrsa vůbec nevsima, podívám se na ten pem soubor.

[hermelin]

easy-rsa pouze certifikaty generuje

vygenerovany crl si pak nakopirujes nebo nalinkujes podle nastaveni v openvpn.conf

[j]

Zalezi jak je to udelany, ale vetsinou si openvpn nekde hleda certifikaty => staci ji ho tam smazat, a dotycny se jiz nepripoji. Samo, koser je ho revokovat.

[alkoholik]

No jeje. j zase perli. Je to minimalne treti diskuze, kde ho vidim valit ostatnim srouby do hlavy.
OpenVPN samozrejme nikde certifikaty neskladuje. Certifikaty jednotlivych klientu jsou podepsane certifikacni autoritou, ktera je definovana v konfiguracnim souboru.
Pripadne se spojeni odmitne, protoze OpenVPN najde klientsky certifikat v seznamu odvolanych certifikatu k dane autorite.

[Marek Stopka]

Jo, presne o tomto mluvim, klienske certikaty si OpenVPN server nikde neochovava, jsou proste podepsane ca (tu co jsem vygeneroval pomoci easy-rsa).

Melo by staci toto, jdu testovat http://blog.abhijeetr.com/2012/06/revokeunrevoke-client-certificate-in.html

[bigBRAMBOR]

ale na prvni pohled to zni duveryhodne, a to ten clovek OVPN nikdy nevidel. Krome verze doporucovane, tedy revokace certfikatu, existuje jeste jedna, je myslim nekde i popsana na strankach OVPN. Zalozis si TXT kam zapisujes CN certifikátu které chces zakazat, a pomoci TLS-VERIFY overis zda tam CN prihlasujiciho se klienta neni, a kdyz je ukoncis ho.

[alkoholik]

Tls-verify je ochrana proti pouziti klientskeho certifikatu jako podvrzeneho serveroveho. Pouziva se to u certifikatu, ktere nemaji nastavene client/server priznaky.

[bigBRAMBOR]

da se to pouzit i pro toto

tls-verify ".verify /openvpn/blacklist"

ukazka scriptu verify je nekde na openvpn, mel jsem to tak nastavene a chodi to

[bigBRAMBOR]

koukam ze uz to tu nekdo psal i na zde na abclinuxu

[alkoholik]

Sorry, po ranu jsem jeste poradne nenabootoval. Ke kontrole serveroveho certifikatu slouzi remote-cert-tls.
Jestli chces zakazovat podle CN bez CRL, tak si nastav client-config-dir a do nej nasyp soubory s disable. Ale jak rika manual:
Don't use this option to disable a client due to key or password compromise. Use a CRL (certificate revocation list) instead (see the --crl-verify option).

[j]

Vis, kdybys neplacal picoviny, treba by se dalo diskutovat. Openvpn ma samozrejme moznost definovat adresar, kde jsou ulozeny certifikaty jednotlivych klientu. A ma moznost, definovat autoritu, ktera je podepisuje. Takze zalezi ciste na to, jak to ma/nema dotycny nakonfigurovany.

Ale to bys o tom musel aspon neco tusit, ze.

[alkoholik]

Tak nam prozrad, ktery parametr v konfiguracnim souboru to je.
Krome PKI v plne palbe s CA (ne moznost, ale povinost) umi OpenVPN i PSK, ale to nejsou certifikaty.