Neue OpenVPN CA und Server Zertifikat + Keys erstellen

[trant]

Kein Problem, bin voll und ganz deiner Meinung!

[heckmannju]

Stefan, wird es da was vom Wiregate seite aus geben? Das ich meinen Raspi mit FesteIP immage in Rente schicken kann?

[StefanW]

Hallo Jürgen,

Stefan, wird es da was vom Wiregate seite aus geben? Das ich meinen Raspi mit FesteIP immage in Rente schicken kann?

das ist eigentlich ein benachbartes Thema. Für die Mitleser: Es geht im diejenigen, welche über Kabel einen IPv6 Anschluss haben, der zur IPv4 Welt genattet ist und daher keine direkte Verbindung über das IPv4 Internet zu einem Server im Haus aufbauen können (egal von welchem Hersteller).

Die technische Lösung dafür ist, in einem RZ eine IP dafür fix zur Verfügung zu stellen und diese zum jeweiligen Anschluss zu tunneln. Dafür sind Server, IP und andere technische Resourcen bereit zu stellen sowie das Volumen zu tragen und den Support dafür zu leisten.

Ob wir das machen wird davon abhängen, ob sich 1. ausreichend Interessenten dafür finden die 2. auch die Aufwendungen bezahlen, die das verursacht. Wir werden das abfragen. wenn wir die geplante Kundenumfrage zu weiteren Entwicklungszielen des Timberwolf Servers durchführen.

lg

Stefan

[heckmannju]

Hi Stefan,

auf das ipv6 wolle ich gar nicht hinaus das löse ich durch eine Providerwechsel ende des Jahres.

Ich meine update oder Enduserfreundlich anleitung oder ein Support case. Ich vermute aber das sich da Kostengünstiger mit meinem Raspi fahre. 10 Euro Strom pro jahr / alle 5 Jahre neue HW.

VG
Jürgen

[StefanW]

Hallo Jürgen,

Ich meine update oder Enduserfreundlich anleitung oder ein Support case.

ehrlich gesagt verstehe ich Deine Anfrage dann wohl nicht ganz? Sorry

Stefan

[Jockel]

Seit dem letzten Update meckert mein OpenVPN Client über das md5 Zertifikat. Wäre mir eigentlich egal, aber die Unterstützung soll Ende April komplett gestrichen werde,

Vermutlich kann ich das Skript von trant (vielen Dank dafür!!) noch verwenden, oder gibt es inzwischen einen besseren Weg zum Tausch der Zertifikate?

[StefanW]

Es wird demnächst ein Update für den WireGate Server geben, bei dem das Problem mit MD5 behoben wird. Danach muss man allerdings die Client-Profile neu erstellen.

lg

Stefan

[Jockel]

Super und ein prima Service für ein mittlerweile 8 Jahre altes System!!

Danke für die Info, dann warte ich bis zum Update

[makki]

Vermutlich kann ich das Skript von trant (vielen Dank dafür!!) noch verwenden ..

Wenn man weiss was man tut: sagt die Privatperson Makki ja, nachdem man jetzt seit gut 10 Monaten wohl überlegt, wie man es trotz einer komplett fertigen Anleitung in diesem Thread als Update umsetzt

Makki

[coolrunnings]

Hallo zusammen,

ich habe, nachdem ich die MD5 Warnung bekommen habe, die Schritte oben befolgt. Allerdings kann ich kein neues Zertifikat mehr erzeugen. Es kommt im UI die Meldung:

openssl req -days 3650 -batch -new -keyout /etc/openvpn/keys/this-server-ca/test.key -out /etc/openvpn/keys/this-server-ca/test.csr -nodes -config /etc/openvpn/openvpn-ssl.cnf

Generating a 1024 bit RSA private key .. writing new private key to '/etc/openvpn/keys/this-server-ca/test.key' -----

openssl req -days 3650 -batch -new -keyout /etc/openvpn/keys/this-server-ca/test.key -out /etc/openvpn/keys/this-server-ca/test.csr -nodes -config /etc/openvpn/openvpn-ssl.cnf OK

openssl ca -days 3650 -batch -out /etc/openvpn/keys/this-server-ca/test.crt -in /etc/openvpn/keys/this-server-ca/test.csr -config /etc/openvpn/openvpn-ssl.cnf
Using configuration from /etc/openvpn/openvpn-ssl.cnf
entry 1: invalid expiry date

Hat irgendjemand eine Idee, woran das liegen kann?

Gruß
Michael

[coolrunnings]

Kennt ihr das auch. Da doktert man stundenlang an etwas rum, findet keine Lösung und macht einen Eintrag im Forum ... da fällt es einem wie Schuppen von den Augen.

Das Script von trant probiert ein Zertifikat mit einer Gültigkeit von 7300 Tagen ab dem Erstellungstag zu erstellen. Das führt aber zu einem Überlauf im Datum (Jahr 2038 Problem). Als quick-fix kann man einfach 7300 durch 6300 ersetzen und schon geht es. Allerdings nur so lange, wie wir nicht wieder 3 Jahre weiter sind.

[makki]

Hehe, sorry >2038 war 2008 als midlife-Upgrade für das wg1 nicht vorgesehen, mein Fehler

Makki

[coolrunnings]

Bei uns schwirrt das hier auch noch bei vielen Produkten rum. Ich muss zusehen, dass ich bis dahin in Frührente bin

[StefanW]

WireGate Version 1.4.2 ab sofort verfügbar.

Wir stellen hiermit einen Patch für das hier besprochene Problem mit dem Ablauf der Akzeptanz von MD5 in den Client-Zertifikaten der neueren OpenVPN Client Software zur Verfügung.

Durch diese neue Version werden alle OpenVPN Profile gelöscht! Bitte ggfls. sich die Einstellungen notieren, die Client-Profile müssen nach der OpenVPN Client Software neu erzeugt werden.

Release-Notes: http://repo.wiregate.de/wiregate/releasenotes-main.txt
Update Anleitung: http://repo.wiregate.de/get_infos.ph...1.0&comps=main


Nach Installation der neuen Version (nach Reboot):

• Alle OpenVPN Client Profile sind neu zu erstellen!
• Die Zertifikate enthalten eine Signatur, die auf einer Prüfsumme basiert, die nun mit SHA256 erzeugt wurde
• Ein solches neues Client-Zertifikat nebst Client-Konfig wird bei Anforderung eines neuen OpenVPN Client Profiles automatisch erzeugt
• Der Zertifikat für den OpenVPN-Server wird automatisch erzeugt. Gültigkeit bis 31. Dezember 2037. Das ist wegen dem 2038 Problem nicht verlängerbar.

==> Ihr müsst also - nach Installation des Patches und Reboot - für alle OpenVPN Clients die Profile neu erzeugen und in die OpenVPN Clients importieren.


Hinweis zu Handling der i-Buttons:
Es wird auch noch ein kleiner Fehler in Verbindung mit iButtons nach Server-Reboot gefixt. Kunden, welche diesen Patch in der Vergangenheit schon manuell durch uns eingespielt bekommen haben, können bedenkenlos dieses Update anwenden.


lg

Stefan

[StefanW]

An diejenigen, die diese Version 1.4.2 installiert haben:

==> Über eine Handvoll Rückmeldungen, dass alles soweit funktioniert hat - inkl. CLient-Konfig und Einwahl von außen - wären wir übrigens dankbar.

lg

Stefan