Прежде всего мы создадим приватный ключ и файл запроса на сертификат для сервера OpenVPN, а также получим по созданному запросу в удостоверяющем центре CA подписанный сертификат. В результате у нас появятся файлы server.crt и server.key. Далее займемся остальными файлами, перечисленными в табл. 3.

Чтобы создать для сервера OpenVPN запрос на сертификат и приватный ключ, нам потребуется установить на сервер OpenVPN программу Easy-RSA, аналогично тому, как мы это делали для удостоверяющего центра CA. 

Установку Easy-RSA, генерацию приватного ключа сервера OpenVPN и запроса на сертификат мы будем делать от имени пользователя vpnoperator, не имеющего привилегий администратора. Добавьте этого пользователя перед началом работ:
# adduser vpnoperator
Прежде всего, устанавливаем на сервере OpenVPN утилиту Easy-RSA и запускаем инициализацию инфраструктуры публичных ключей PKI:
$ cd /home/vpnoperator
$ wget https://github.com/OpenVPN/easy-rsa/archive/master.zip
$ unzip master.zip
$ cd /home/vpnoperator/easy-rsa-master/easyrsa3
$ ./easyrsa init-pki
После успешной инициализации PKI в консоли появится сообщение:
init-pki complete; you may now create a CA or requests.
Your newly created PKI dir is: /home/vpnoperator/easy-rsa-master/easyrsa3/pki
Так как наш сервер OpenVPN не будет играть роль удостоверяющего центра, то после инициализации PKI мы не будем создавать CA командой build-ca.

Инфраструктура PKI будет создана в каталоге /home/vpnoperator/easy-rsa-master/easyrsa3/pki.

На следующем этапе получим запрос на сертификат и приватный ключ сервера OpenVPN:
# ./easyrsa gen-req server
Generating a 2048 bit RSA private key
...............................................................+++
...................................................+++
writing new private key to '/home/vpnoperator/easy-rsa-master/easyrsa3/pki/private/server.key'
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Common Name (eg: your user, host, or server name) [server]:vps.adminunix.ru
Keypair and certificate request completed. Your files are:
req: /home/vpnoperator/easy-rsa-master/easyrsa3/pki/reqs/server.req
key: /home/vpnoperator/easy-rsa-master/easyrsa3/pki/private/server.key

 

 

 

 

 

./easyrsa sign-req server vps.adminunix.ru

Note: using Easy-RSA configuration from: ./vars

You are about to sign the following certificate.
Please check over the details shown below for accuracy. Note that this request
has not been cryptographically verified. Please be sure it came from a trusted
source or that you have verified the request checksum with the sender.

Request subject, to be signed as a server certificate for 3650 days:

subject=
commonName                = vps.adminunix.ru

Type the word 'yes' to continue, or any other input to abort.
Confirm request details: yes
Using configuration from /home/usersrssh/src/easy-rsa-master/EasyRSA-git-development/openssl-1.0.cnf
Enter pass phrase for /home/usersrssh/src/easy-rsa-master/EasyRSA-git-development/pki/private/ca.key:******
Check that the request matches the signature
Signature ok
The Subject's Distinguished Name is as follows
commonName            :PRINTABLE:'vps.adminunix.ru'
Certificate is to be certified until Feb 23 09:10:33 2025 GMT (3650 days)

Write out database with 1 new entries
Data Base Updated

Certificate created at: /home/usersrssh/src/easy-rsa-master/EasyRSA-git-development/pki/issued/vps.adminunix.ru.crt

 

 

 

Установка сервера OpenVPN

Debian/Ubuntu

Для Debian-based дистрибутивов (debian, ubuntu, mint...):

apt-get install -y openvpn
Создайте пользователя с именем, например, ca и перейдите в его домашний каталог:
# adduser ca
# su ca
$ cd

Настройка сервера OpenVPN

Для OpenVPN версии выше 2.3 набор скриптов easy-rsa не входит в инсталляцию по умолчанию, а скачивается отдельно:

mkdir ./src; cd ./src && wget  https://github.com/OpenVPN/easy-rsa/archive/master.zip
unzip master.zip
cd ./easy-rsa-master
./build/build-dist.sh

Распакуем полученный архив:

tar zxvf EasyRSA-git-development.tgz && cd EasyRSA-git-development

переходим в каталог easyrsa3

cd ./easyrsa3

Конфигурируем сертификат

Скопируем шаблон и отредактируем его
*OPTIONAL* (Comment out the following lines if you do not want your certificates to expire)

#cp ./vars.example ./vars

В файле vars можно изменить данные для подписи ключей под себя, редактируем последние 6 строчек:

# mcedit ./vars

# меняем строки
export KEY_SIZE=2048  # Длинна ключа
export KEY_EXPIRE=3650 # Срок действия ключа в днях
# описание сертификатов по-умолчанию

set_var EASYRSA_REQ_COUNTRY<--->"RU"
set_var EASYRSA_REQ_PROVINCE<-->"RUS"
set_var EASYRSA_REQ_CITY<------>"Perm"
set_var EASYRSA_REQ_ORG>"Copyleft Certificate Co"
set_var EASYRSA_REQ_EMAIL<----->"admin@adminunix.ru"
set_var EASYRSA_REQ_OU<><------>"adminunix"

 

На первом шаге создайте инфраструктуру публичных ключей (Public Key Infrastructure, PKI):
$ ./easyrsa init-pki

Если у нас есть удостоверяющий центр то пропускаем следующий шаг и переходим генериррованию  сертификата X.509 для сервера

Сгенерируем корневой Certificate Authority для сервера

: ./easyrsa build-ca

Попросит дважды ввести новый пароль для ca.crt. Получим:

./pki/ca.crt

Сгенерируем сертификат X.509 для сервера

(Чтобы ключи (сервера и клиентов) не были защищены паролем необходимо  добавлял параметр nopass (его можно установить позже в любое время).)

./easyrsa build-server-full server

Попросит дважды ввести новый пароль для PEM и один раз повторить пароль, сгенерированный ранее для ca.crt

Получим:

./pki/private/server.key

Сгенерируем ключи для клиента:

./easyrsa build-client-full client1

Попросит дважды ввести новый пароль для PEM и один раз повторить пароль, сгенерированный ранее для ca.crt

Получим:

./pki/private/client1.key
./pki/issued/client1.crt

exit

Для экспорта ключей в формат PKCS12

./easyrsa export-p12 client2

 

Сгенерируем файл с параметрами Диффи-Хеллмана (dh.pem):

./easyrsa gen-dh

Это может занять продолжительное время.

Получим:

./pki/dh.pem

Создадим статический ключ HMAC (ta.key):

Для создания ключа HMAC используйте команду openvpn с опциями --genkey и --secret:

# cd /etc/openvpn
# openvpn --genkey --secret ta.key

Перенесём полученные файлы в /etc/openvpn/ для удобства:

mv ./pki/dh.pem /etc/openvpn/dh1024.pem
mv ./pki/private/client1.key /etc/openvpn/
mv ./pki/private/server.key /etc/openvpn/
mv ./pki/ca.crt /etc/openvpn/
mv ./pki/issued/client1.crt /etc/openvpn/
mv ./pki/issued/server.crt /etc/openvpn/

Файлы client1.crt, client1.key, ca.crt нужно скопировать на компьютер клиента, который будет подключаться к OpenVPN-серверу:

cd /etc/openvpn
mkdir ovpn-client
cp -rp  client1.crt client1.key ca.crt ./ovpn-client/
zip ovpn-client.zip ./ovpn-client/*