OpenVPN-Server: Mehrere CAs übergangsweise parallel betreiben

Peter Gast #3495863 
Hallo Zusammen,

ich habe hier einen OpenVPN-Server, welcher den Gateway zu einem 
geschützten Netz bildet. Da mehrere Benutzer (clients) sich damit 
verbinden, erfolgt die Authorisierung über eine PKI. Die entsprechende 
CA signiert dazu die Zertifikate welche Server wie auch die Clients 
verwenden, zusätzlich ist das CA-Zertifikat auf Server und Client 
hinterlegt und wird überprüft um Man-In-The-Middle-Attacks zu verhindern 
(Zeile "ca" in der OpenVPN-Konfig).

Diese CA läuft nun in näherer Zeit aus und soll durch eine neue CA 
ersetzt werden, da gleichzeitig der CommonName geändert werden soll. Ich 
bin nun am überlegen, wie ich diesen Übergang möglichst schmerzlos für 
die Clients durchführen kann. Kennt jemand eine Möglichkeit, auf einem 
OpenVPN-Server gleichzeitig mehrere CAs zu installieren, so dass der 
Server abhängig davon, ob der Client ein Zertifikat signiert von der 
alten oder neuen CA entsprechend die richtige CA wählt?

Über Ideen oder Tipps zu weiterführender Literatur würde ich mich 
freuen,

Peter
Antwort Zitieren Bearbeiten Thread verschieben Thread sperren Langsamer Modus Anmeldepflicht aktivieren Anpinnen Thread löschen Thread mit anderem zusammenführen Melden Danke
Peter II Gast #3495893 
https://community.openvpn.net/openvpn/wiki/Openvpn23ManPage

--ca file Certificate authority (CA) file in .pem format, also referred 
to as the root certificate. This file can have multiple certificates in 
.pem format, concatenated together. You can construct your own 
certificate authority certificate and private key by using a command 
such as:

wenn ich das richtig lese, kannst du einfach beide CA einfügen.
Antwort Zitieren Bearbeiten Löschen Melden Danke
Peter Gast #3495976 
Vielen Dank für deine Antwort.

Es scheint prinzipiell recht einfach: Das ca-File vom Client muss die CA 
beinhalten, welche das Serverzertifikat signiert hat. Und umgekehrt. 
Beide müssen nicht zwangsläufig übereinstimmen. Somit kann ich ein um 
die neue CA ergänztes CA-File verteilen und anschließend gemütlich 
Server- und alle Clientzertifikate nach und nach austauschen.

Peter
Antwort Zitieren Bearbeiten Löschen Melden Danke
Jürgen Gast #4928049 
Hallo,
ich stehe gerade vor der gleichen Aufgabe und versinke gerade in der 
"Flut an Informationen" zu diesem Thema:
hat die Umstellung auf dem angerissenen Weg funktioniert?
Jürgen
Antwort Zitieren Bearbeiten Löschen Melden Danke
Thread beobachten

Antwort schreiben

Eine eigene Frage? Dieser Thread ist über 12 Jahre alt. Stell sie in einem eigenen Thread – dort lesen mehr Leute mit, und sie wird öfter und schneller beantwortet.

Neuen Thread starten

Eine Lösung, Ergänzung oder Rückmeldung zu diesem Thread? Dann antworte hier.

Formatierung
  • [c]C-Code[/c]
  • [code]Code in anderen Sprachen, ASCII-Zeichnungen[/code]
  • [math]Formel in LaTeX-Syntax[/math]
  • [[Titel]] – Link zu einem Artikel
  • Verweis auf einen anderen Beitrag: Rechtsklick auf dessen Beitrags-ID (#8078628), „Adresse kopieren“, in den Text einfügen

Mehr zur Formatierung

Längeren Sourcecode als Anhang, nicht in den Text. JPG nur für Fotos und Scans; Zeichnungen und Screenshots als PNG oder GIF. Siehe Bildformate.

Dein Name und deine E-Mail-Adresse

Schon registriert? Anmelden

Wird nicht angezeigt. Wir schicken dir einen Link; sobald du damit bestätigst, erscheint dein Beitrag.

Mit dem Abschicken legst du einen kostenlosen Account an und erkennst die Nutzungsbedingungen und die Datenschutzerklärung an.