OpenVPN-Server: Mehrere CAs übergangsweise parallel betreiben

Peter Gast #3495863
Lesenswert?
• ▲
▼ 
Hallo Zusammen,

ich habe hier einen OpenVPN-Server, welcher den Gateway zu einem 
geschützten Netz bildet. Da mehrere Benutzer (clients) sich damit 
verbinden, erfolgt die Authorisierung über eine PKI. Die entsprechende 
CA signiert dazu die Zertifikate welche Server wie auch die Clients 
verwenden, zusätzlich ist das CA-Zertifikat auf Server und Client 
hinterlegt und wird überprüft um Man-In-The-Middle-Attacks zu verhindern 
(Zeile "ca" in der OpenVPN-Konfig).

Diese CA läuft nun in näherer Zeit aus und soll durch eine neue CA 
ersetzt werden, da gleichzeitig der CommonName geändert werden soll. Ich 
bin nun am überlegen, wie ich diesen Übergang möglichst schmerzlos für 
die Clients durchführen kann. Kennt jemand eine Möglichkeit, auf einem 
OpenVPN-Server gleichzeitig mehrere CAs zu installieren, so dass der 
Server abhängig davon, ob der Client ein Zertifikat signiert von der 
alten oder neuen CA entsprechend die richtige CA wählt?

Über Ideen oder Tipps zu weiterführender Literatur würde ich mich 
freuen,

Peter
Antwort Zitieren Bearbeiten Thread verschieben Thread sperren Anmeldepflicht aktivieren Anpinnen Thread löschen Thread mit anderem zusammenführen Beitrag melden
Peter II Gast #3495893
Lesenswert?
• ▲
▼ 
https://community.openvpn.net/openvpn/wiki/Openvpn23ManPage

--ca file Certificate authority (CA) file in .pem format, also referred 
to as the root certificate. This file can have multiple certificates in 
.pem format, concatenated together. You can construct your own 
certificate authority certificate and private key by using a command 
such as:

wenn ich das richtig lese, kannst du einfach beide CA einfügen.
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Peter Gast #3495976
Lesenswert?
• ▲
▼ 
Vielen Dank für deine Antwort.

Es scheint prinzipiell recht einfach: Das ca-File vom Client muss die CA 
beinhalten, welche das Serverzertifikat signiert hat. Und umgekehrt. 
Beide müssen nicht zwangsläufig übereinstimmen. Somit kann ich ein um 
die neue CA ergänztes CA-File verteilen und anschließend gemütlich 
Server- und alle Clientzertifikate nach und nach austauschen.

Peter
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Thread beobachten

Antwort schreiben

Bitte melde dich an, um einen Beitrag zu schreiben.

Bestehender Account

oder

Mit Google-Account einloggen

Noch kein Account?

Die Registrierung ist kostenlos und dauert nur eine Minute.

Jetzt registrieren