Emissione certificati per OpenVPN

Lato client

Per richiedere l'emissione di un certificato per accesso mediante il server OpenVPN è necessario disporre di una chiave privata RSA. Se non disponibile è possibile crearne una con il comando:

openssl genrsa -out <utente>.key 4096

Con la chiave disponibile è possibile creare una Certificate Signing Request mediante il comando:

openssl req -new -key <utente>.key -nodes -out <utente>.csr -subj '/CN=<utente>/O=<organizzazione>'

Lato server

È necessario firmare la CSR con il certificato e la chiave privata della Certification Authority di Web Analytics Italia. Per eseguire questa operazione si deve usare il comando:

openssl ca -config <path to>/wai-operation-root-ca.conf -out <utente>.crt -infiles <utente>.csr

Il certificato così creato può essere inviato al richiedente insieme al certificato della CA.

Lato client

Ricevuto il certificato è necessario creare il file di configurazione con estensione ovpn secondo il modello di seguito riportato. Il file può poi essere importato nell'applicazione client di OpenVPN.

client
dev tun
proto tcp
remote <ip server vpn> 443
resolv-retry infinite
nobind
persist-key
persist-tun
verb 11
keepalive 10 900
inactive 3600
comp-lzo
<cert>
CONTENUTO DEL CERTIFICATO DEL CLIENT
</cert>
<key>
CONTENUTO DELLA CHIAVE PRIVATA DEL CLIENT
</key>
<ca>
CONTENUTO DEL CERTIFICATO DELLA CA
</ca>