Dotaz: EASY-RSA 3 - již mám Opevpn sít a potřebuji přidat nové klienty.

[Rycmond]

Ahoj, potřeboval bych poradit, jak dogenerovat nové certifikáty pro klienty do OPEVPN.

Již mám serverové certifikáty server.crt a server.key.

Stáhnul jsem si /EasyRSA-3.0.4, ale nepovedlo se mě to, aby se načetli stávající certifikáty a vytvořil nové pro nové klienty. Všechny návody které jsem našel, to popisují od začátku.

Předem díky za radu .

---

---

Odpovědi

[PetebLazar]

Při využití certifikátů se v OpenVPN předokládá, že všechny certifikáty na obou stranách (OpenVPN server i OpenVPN klienti) budou vystaveny jednou CA. Součástí konfigurace klienta je kromě config.ovpn a jeho klíče(.key) a certfikátu(.crt) také ca.crt (certifikát autority), případně ta.key.

Čím (jakou CA) byly podepsány(vystaveny) zmíněné serverové certifikáty? Nabízí se stejnou CA vystavit i ty klientské.

[PetebLazar]

Neuvědomil jsem si, že zmíněné certifikáty mohly být vystaveny veřejnou CA, v takové případě by to při více klientech (museli by mít certifikáty také od ní) byl asi drahý špás.

Při OpenVPN spojení se nejspíš ověřuje nejen klient (nevypršelý certifikát vystavený serveru známou CA, který není na revokačním listu crl.pem), ale také OpenVPN server (prokazuje se certifikatem vystavenym klientu znamou CA, aby jej nemohl nekdo předstírat při únosu IP adresy).

[xxl]

Certifikáty na obou stranách samozřejmě nemusejí být vystaveny pouze jednou CA. Můžeš mít dvě. CA-Server a CA-Client. Ale pak na obou stranách musíš mít vždy certifikát příslušné CA, která podepsala klíč protistraně. Tj. na klientu musíš mít certifikát CA-Server...

[PetebLazar]

To dává smysl, zobecnil jsem si chybně default.

[Jendа]

A to k tomu nemáš původní easy-rsa, kterým se to tehdy generovalo? Jako že ti někdo explicitně dal jenom ty klíče, ale ne to easy-rsa okolo?

Bych to zkusil vytvořit od začátku a pak nahradil CA, kterou to vygenerovalo, tou svojí. Nebo bych odtrasoval jak to generuje nový certifikát a z toho to vykoukal.

Jinak zkus easy-rsa verze 1, které je takové mnohem víc shellové myslím.

Již mám serverové certifikáty server.crt a server.key.

To nestačí, potřebuješ ještě minimálně ca.key.

[Rycmond]

Ahoj, jojo mám všechny soubory , které bily vygenerované. ca.key server.crt server.key ta.key

Mě jde jen o postup.

[xxl]

Nainstaluj si XCA. Nahraj si do něj všechny existující klíče/certifikáty a podle nich pak v XCA generuj další.

[Rycmond]

Jj zkusím díky.

Já to zkoušel v EASY-RSA 3 a to se mě nedařilo.

[Host]

Easyrsa verze 3 používá jinou adresářovou strukturu pro soubory než verze 1, /pki/{issued,private,reqs,..}.

Takže stačí uložit staré certifikáty do příslušných adresářů, .crt do issued, .key do private

a zesynchronizovat soubory index.txt a serial a správně vyplnit vars

[bigBRAMBOR]

presne takhle jsem to delal a funguje to

[Rycmond]

Ahoj, jak synchronizuješ soubory index.txt a serial ?

[Rycmond]

Ahoj, jak synchronizuješ soubory index.txt a serial ?

[Host]

V tomto konkrétním případě bych použil index.txt a serial z verze 1.