Beállítás (gyakorlat)
Előkészületek
Ennél a példánál a site-to-site példában megadott VPN környezetet feltételezzük. Ide értve az ott létrehozott tanúsítványokat is.
Az office router-en fogunk kialakítani egy olyan VPN szerver beállítást, road warrior kliensek csatlakozását is fogadni tudja. Ahogy ott, itt is nagyon fontos az NTP kliens helyes beállítása.
Tanúsítványok
Arra készülünk, hogy sok road warrior kliens fog csatlakozni. Ezért egy úgynevezet tanúsítvány sablont hozunk létre. Ebből később könnyebb lesz származtatni az egyes kliens tanúsítványokat.
/certificate
add name="~client-template@office.myserver.hu" \
country="HU" state="Heves" locality="Eger" \
organization="office.myserver.hu" \
key-size=4096 days-valid=1095 \
common-name="~client-template@office.myserver.hu" \
subject-alt-name="email:~client-template@office.myserver.hu" \
trusted=yes key-usage=tls-client
A template-et nem írjuk alá! Minden klienshez külön kliens tanúsítványt generálunk. Kliens alatt nem felhasználót kell érteni, hanem VPN kliens eszközt. Ha egy felhasználó több számítógépről is be akar jelentkezni (pl. a telefonjáról és a laptopjáról), akkor ezekhez külön tanúsítványt kell létrehozni. Mi most egy gandalf nevű felhasználóhoz és egy vivobook laptophoz tartozó tanúsítványt generálunk a template-ből:
/certificate
add copy-from=~client-template@office.myserver.hu \
name="gandalf-vivobook@office.myserver.hu" \
common-name="gandalf-vivobook@office.myserver.hu" \
subject-alt-name=email:gandalf-vivobook@office.myserver.hu
sign gandalf-vivobook@office.myserver.hu ca=ca.office.myserver.hu
Ezután exportáljuk a kliens és a CA cert-et. A kliens cert-hez a privát kulcsot is.
/certificate
export-certificate gandalf-vivobook@myserver.hu type=pkcs12 export-passphrase="not_telling_you"
export-certificate ca.office.myserver.hu