easyrsa 3.0.0 se nechutně vzpěčuje

České forum
1

Dobrý večer…
pokouším se vygenerovat sadu klíčů a certifikátů pro OpenVPN. Zatímco jsem to vždycky dělal pomocí skriptů easy-rsa 1.0, nyní, ve Fedoře 23 jsem se chopil nástroje easyrsa 3.0.0.

A je problém:

ať dělám, co dělám, skončím u vytvoření klíčů pro server:


[rna@pleione vpn04]$ ./easyrsa  build-server-full vpn04.nadhera.name  nopass

Note: using Easy-RSA configuration from: ./vars
Generating a 3072 bit RSA private key
......................++
.........................++
writing new private key to '/home/rna/vpn04/pki/private/vpn04.nadhera.name.key.sjWWsQuvzN'
-----
Using configuration from /home/rna/vpn04/openssl-1.0.cnf
Enter pass phrase for /home/rna/vpn04/pki/private/ca.key:
Check that the request matches the signature
Signature ok
The Subject's Distinguished Name is as follows
commonName            :ASN.1 12:'vpn04.nadhera.name'
[b]CZ:invalid type in 'policy' configuration[/b]

Easy-RSA error:

signing failed (openssl output above may have more detail)

Když do countryName napíšu něco jiného, třeba US, tak mi to vynadá stejně, jen místo CZ tam je US.
Když tam napíšu match nebo optional, nebo supplied, tak to také odmítá.

Tady jsem našel podobný případ se stejnými symptomy, ale to bylo na Windows a týkalo se to nějakého ryze windowsího zamotance.

http://www.scriptscoop.net/t/3708be801486/java-exception-invalid-type-in-policy-configuration-while-generating-certif.html

Má někdo zkušenosti s tím easyrsa 3.0.0 ?

2

Tohle nebude problém easyrsa, alébrž openssl.

man ca

3

Pokud si pamatuji, tak easy-rsa 3.0 defaultně nepoužívá staré nastavení tedy country, state, city, org atd., ale stačí pouze common name. Co je důležitější, že se teď defaultně chová víc jako pravá CA, tedy generuje se požadavek a ten se v CA podepíše. Pro server něco jako:

./easyrsa --batch=1 req --req-cn=muj.vpnserver.cz gen-req mujserver nopass
./easyrsa --batch=1 sign server mujserver

Pro klienty se u “easyrsa sign” dává parametr client ne server.
Výhodou je, že klienti mohou žádost pomocí easy-rsa vygenerovat, poslat správci a ten ji podepíše a pošle zpět (klíč k certifikátu zůstává na klientském počítači).
Pro server ještě vygenerovat dh (./easy-rsa gen-dh).

Optimální si přečíst readme (je jich víc) v té 3.0 verzi.