Easyrsa - История изменений

Sirmax: /* =Общие/серверные */

2024-10-22T21:03:37Z

=Общие/серверные

← Предыдущая		Версия 21:03, 22 октября 2024
Строка 722:		Строка 722:

	=EasyRSA=		=EasyRSA=
−	==Общие/серверные=	+	==Общие/серверные==
	Тут просто короткий список с короткими пояснениями		Тут просто короткий список с короткими пояснениями
	<PRE>		<PRE>

Sirmax: /* EasyRSA */

2024-10-22T20:54:09Z

EasyRSA

← Предыдущая		Версия 20:54, 22 октября 2024
Строка 722:		Строка 722:

	=EasyRSA=		=EasyRSA=
		+	==Общие/серверные=
	Тут просто короткий список с короткими пояснениями		Тут просто короткий список с короткими пояснениями
	<PRE>		<PRE>
Строка 752:		Строка 753:
	./easyrsa sign-req server OpenVPN		./easyrsa sign-req server OpenVPN
	</PRE>		</PRE>
		+	==Клиентские==
	Запрос для клиента		Запрос для клиента
	<PRE>		<PRE>

Sirmax: /* EasyRSA */

2024-10-18T12:28:09Z

EasyRSA

← Предыдущая		Версия 12:28, 18 октября 2024
Строка 752:		Строка 752:
	./easyrsa sign-req server OpenVPN		./easyrsa sign-req server OpenVPN
	</PRE>		</PRE>
		+	Запрос для клиента
	<PRE>		<PRE>
	./easyrsa gen-req mmazur nopass		./easyrsa gen-req mmazur nopass
	</PRE>		</PRE>
		+	Подписать запрос для клиента
	<PRE>		<PRE>
	./easyrsa sign-req client mmazur		./easyrsa sign-req client mmazur
Строка 762:		Строка 764:


		+	Запросы для других клиентов
−
	<PRE>		<PRE>
	#./easyrsa gen-req asvartsov@mirantis.com nopass		#./easyrsa gen-req asvartsov@mirantis.com nopass

Sirmax: /* EasyRSA */

2024-10-18T12:18:56Z

EasyRSA

← Предыдущая		Версия 12:18, 18 октября 2024
Строка 748:		Строка 748:
	./easyrsa gen-req OpenVPN nopass		./easyrsa gen-req OpenVPN nopass
	</PRE>		</PRE>
−	Подписать сертефикат	+	Подписать сертефикат (Этот сертефикат и есть сертефикат сервера и его можно и нужно положить в конфиг)
	<PRE>		<PRE>
	./easyrsa sign-req server OpenVPN		./easyrsa sign-req server OpenVPN
	</PRE>		</PRE>
		+	<PRE>
−	#./easyrsa gen-req mmazur nopass	+	./easyrsa gen-req mmazur nopass
		+	</PRE>
		+	<PRE>
		⚫	./easyrsa sign-req client mmazur
		+	</PRE>
		+
		+
		+
		+
		+
		+	<PRE>
	#./easyrsa gen-req asvartsov@mirantis.com nopass		#./easyrsa gen-req asvartsov@mirantis.com nopass
	#./easyrsa gen-req agoriunov@mirantis.com nopass		#./easyrsa gen-req agoriunov@mirantis.com nopass
		+
⚫	#./easyrsa sign-req client mmazur
	#./easyrsa sign-req client mmazur		#./easyrsa sign-req client mmazur
	#./easyrsa sign-req client agoriunov@mirantis.com		#./easyrsa sign-req client agoriunov@mirantis.com

Sirmax: /* EasyRSA */

2024-10-18T12:11:35Z

EasyRSA

@@ Строка 743: / Строка 743: @@
 cp  /root/easy-rsa/pki/private/ca.key.nopasswd /root/easy-rsa/pki/private/ca.key
 </PRE>
 #./easyrsa gen-req mmazur nopass
 #./easyrsa gen-req asvartsov@mirantis.com  nopass

Sirmax: /* EasyRSA */

2024-10-18T11:51:28Z

EasyRSA

← Предыдущая		Версия 11:51, 18 октября 2024
Строка 726:		Строка 726:
	cd /usr/share/easy-rsa/EasyRSA-v3.0.6		cd /usr/share/easy-rsa/EasyRSA-v3.0.6
	</PRE>		</PRE>
		+	Инициализация
−
	<PRE>		<PRE>
	./easyrsa init-pki		./easyrsa init-pki
	</PRE>		</PRE>
		+	Сгенерировать СА
−
	<PRE>		<PRE>
	./easyrsa build-ca		./easyrsa build-ca
	</PRE>		</PRE>
		+	При необходимости и по желанию - выпилить пароль из ключа
	<PRE>		<PRE>
	openssl ec -in /root/easy-rsa/pki/private/ca.key -out /root/easy-rsa/pki/private/ca.key.nopasswd		openssl ec -in /root/easy-rsa/pki/private/ca.key -out /root/easy-rsa/pki/private/ca.key.nopasswd
		+	</PRE>
		+	Пути конечно зависят от того как настроил
		+	<PRE>
		+	mv /root/easy-rsa/pki/private/ca.key /root/easy-rsa/pki/private/ca.key-with-password
		+	cp /root/easy-rsa/pki/private/ca.key.nopasswd /root/easy-rsa/pki/private/ca.key
	</PRE>		</PRE>
	#./easyrsa gen-req OpenVPN nopass		#./easyrsa gen-req OpenVPN nopass

Sirmax: /* EasyRSA */

2024-10-18T11:49:40Z

EasyRSA

← Предыдущая		Версия 11:49, 18 октября 2024
Строка 731:		Строка 731:
	</PRE>		</PRE>

		+	<PRE>
−	#./easyrsa gen-req server nopass
−	#./easyrsa build-ca	+	./easyrsa build-ca
		+	</PRE>
		+	<PRE>
	openssl ec -in /root/easy-rsa/pki/private/ca.key -out /root/easy-rsa/pki/private/ca.key.nopasswd		openssl ec -in /root/easy-rsa/pki/private/ca.key -out /root/easy-rsa/pki/private/ca.key.nopasswd
		+	</PRE>
	#./easyrsa gen-req OpenVPN nopass		#./easyrsa gen-req OpenVPN nopass
	#./easyrsa sign-req server OpenVPN		#./easyrsa sign-req server OpenVPN

Sirmax: /* EasyRSA */

2024-10-18T11:45:42Z

EasyRSA

← Предыдущая		Версия 11:45, 18 октября 2024
Строка 722:		Строка 722:

	=EasyRSA=		=EasyRSA=
		+	Тут просто короткий список с короткими пояснениями
	<PRE>		<PRE>
	cd /usr/share/easy-rsa/EasyRSA-v3.0.6		cd /usr/share/easy-rsa/EasyRSA-v3.0.6
Строка 727:		Строка 728:

	<PRE>		<PRE>
−	#./easyrsa init-pki	+	./easyrsa init-pki
		+	</PRE>
−	#./easyrsa init
		+
−	#./easyrsa
−	#./easyrsa init-pki
	#./easyrsa gen-req server nopass		#./easyrsa gen-req server nopass
−	#./easyrsa sign-req OpenVPN server
	#./easyrsa build-ca		#./easyrsa build-ca
		+	openssl ec -in /root/easy-rsa/pki/private/ca.key -out /root/easy-rsa/pki/private/ca.key.nopasswd
−	#./easyrsa sign-req OpenVPN server
−	#./easyrsa sign-req server OpenVPN
	#./easyrsa gen-req OpenVPN nopass		#./easyrsa gen-req OpenVPN nopass
	#./easyrsa sign-req server OpenVPN		#./easyrsa sign-req server OpenVPN

Sirmax: /* Подпись запроса сертификата сервера OpenVPN */

2024-10-18T11:24:57Z

Подпись запроса сертификата сервера OpenVPN

← Предыдущая		Версия 11:24, 18 октября 2024
Строка 143:		Строка 143:
	</PRE>		</PRE>
	В выводе вам будет нужно подтвердить, что запрос поступил из надежного источника. Введите yes, а затем нажмите ENTER для подтверждения:		В выводе вам будет нужно подтвердить, что запрос поступил из надежного источника. Введите yes, а затем нажмите ENTER для подтверждения:
		+	<PRE>
−
	Output		Output
	You are about to sign the following certificate.		You are about to sign the following certificate.
Строка 160:		Строка 160:
	. . .		. . .
	Certificate created at: /home/sammy/easy-rsa/pki/issued/server.crt		Certificate created at: /home/sammy/easy-rsa/pki/issued/server.crt
		+	</PRE>
		+
	Обратите внимание, что если вы зашифровали закрытый ключ ЦС, вам будет предложено ввести пароль в данный момент.		Обратите внимание, что если вы зашифровали закрытый ключ ЦС, вам будет предложено ввести пароль в данный момент.
		+	<BR>
−
−	В результате выполнения этих шагов вы успешно подписали запрос сертификата сервера OpenVPN с помощью закрытого ключа сервера ЦС. Полученный файл server.crt содержит открытый ключ шифрования сервера OpenVPN, а также новую подпись от сервера ЦС. Смысл подписи состоит в том, чтобы сообщить всем, кто доверяет серверу ЦС, что они также могут доверять серверу OpenVPN при подключении к нему.	+	В результате выполнения этих шагов вы успешно подписали запрос сертификата сервера OpenVPN с помощью закрытого ключа сервера ЦС. <BR>
		+	Полученный файл <code>server.crt</code> содержит открытый ключ шифрования сервера OpenVPN, а также новую подпись от сервера ЦС. <BR>
−
		+	Смысл подписи состоит в том, чтобы сообщить всем, кто доверяет серверу ЦС, что они также могут доверять серверу OpenVPN при подключении к нему. <BR>
⚫	Для завершения настройки сертификатов скопируйте файлы server.crt и ca.crt с сервера ЦС на сервер OpenVPN:
		+	<BR>
−
		⚫	Для завершения настройки сертификатов скопируйте файлы <code>server.crt</code> и <code>ca.crt</code> с сервера ЦС на сервер OpenVPN:
		+	<PRE>
	scp pki/issued/server.crt sammy@your_vpn_server_ip:/tmp		scp pki/issued/server.crt sammy@your_vpn_server_ip:/tmp
	scp pki/ca.crt sammy@your_vpn_server_ip:/tmp		scp pki/ca.crt sammy@your_vpn_server_ip:/tmp
		+	</PRE>
	Теперь вернитесь на ваш сервер OpenVPN, скопируйте файлы из /tmp в /etc/openvpn/server:		Теперь вернитесь на ваш сервер OpenVPN, скопируйте файлы из /tmp в /etc/openvpn/server:
		+	<PRE>
−
	sudo cp /tmp/{server.crt,ca.crt} /etc/openvpn/server		sudo cp /tmp/{server.crt,ca.crt} /etc/openvpn/server
		+	</PRE>
	Теперь ваш сервер OpenVPN почти готов к принятию подключений. На следующем шаге вы выполните ряд дополнительных шагов для повышения безопасности сервера.		Теперь ваш сервер OpenVPN почти готов к принятию подключений. На следующем шаге вы выполните ряд дополнительных шагов для повышения безопасности сервера.

Sirmax: /* Подпись запроса сертификата сервера OpenVPN */

2024-10-18T11:11:29Z

Подпись запроса сертификата сервера OpenVPN

← Предыдущая		Версия 11:11, 18 октября 2024
Строка 117:		Строка 117:
	==Подпись запроса сертификата сервера OpenVPN==		==Подпись запроса сертификата сервера OpenVPN==

−	На предыдущем шаге вы создали запрос на подпись сертификата (CSR) и закрытый ключ для сервера OpenVPN. Теперь сервер ЦС должен узнать о сертификате server и выполнить его валидацию. После подтверждения сертификата сервером ЦС и его отправки назад на сервер OpenVPN клиенты, которые доверяют вашему ЦС, также смогут доверять серверу OpenVPN.	+	На предыдущем шаге вы создали запрос на подпись сертификата (CSR) и закрытый ключ для сервера OpenVPN.
		+	<BR> Теперь сервер ЦС должен узнать о сертификате server и выполнить его валидацию. После подтверждения сертификата сервером ЦС и его отправки назад на сервер OpenVPN клиенты, которые доверяют вашему ЦС, также смогут доверять серверу OpenVPN.
−
		+	<BR>
	На сервере OpenVPN от имени вашего пользователя non-root user воспользуйтесь запросом на передачу или другим методом передачи для копирования запроса сертификата server.req на сервер ЦС для подписи:		На сервере OpenVPN от имени вашего пользователя non-root user воспользуйтесь запросом на передачу или другим методом передачи для копирования запроса сертификата server.req на сервер ЦС для подписи:
		+	<BR>
−
		+	<PRE>
	scp /home/sammy/easy-rsa/pki/reqs/server.req sammy@your_ca_server_ip:/tmp		scp /home/sammy/easy-rsa/pki/reqs/server.req sammy@your_ca_server_ip:/tmp
		+	</PRE>
	Если вы выполнили предварительное требование обучающего модуля «Установка и настройка Центра сертификации (ЦС) в Ubuntu 20.04», следующим шагом будет войти на сервер ЦС как пользователь без привилегий root, которого вы создали для управления ЦС. Вы использовали команду cd для перехода в каталог ~/easy-rsa, где вы создали и импортируйте запрос сертификата с помощью скрипта easyrsa:		Если вы выполнили предварительное требование обучающего модуля «Установка и настройка Центра сертификации (ЦС) в Ubuntu 20.04», следующим шагом будет войти на сервер ЦС как пользователь без привилегий root, которого вы создали для управления ЦС. Вы использовали команду cd для перехода в каталог ~/easy-rsa, где вы создали и импортируйте запрос сертификата с помощью скрипта easyrsa:
		+	<PRE>
−
	cd ~/easy-rsa		cd ~/easy-rsa
	./easyrsa import-req /tmp/server.req server		./easyrsa import-req /tmp/server.req server
		+	<PRE>
		+	<PRE>
	Output		Output
	. . .		. . .
	The request has been successfully imported with a short name of: server		The request has been successfully imported with a short name of: server
	You may now use this name to perform signing operations on this request.		You may now use this name to perform signing operations on this request.
		+	</PRE>
⚫	~~Далее подпишите запрос, запустив скрипт easyrsa с опцией sign-req и указанием типа запроса и стандартного имени.~~ В качестве типа запроса может использоваться client или server. Поскольку мы работаем с запросом сертификата сервера OpenVPN, необходимо использовать тип запроса server:
		+	Далее подпишите запрос, запустив скрипт <code>easyrsa</code> с опцией <code>sign-req</code> и указанием типа запроса и стандартного имени.
−
		+	<BR>
		⚫	В качестве типа запроса может использоваться client или server. Поскольку мы работаем с запросом сертификата сервера OpenVPN, необходимо использовать тип запроса server:
		+	<PRE>
	./easyrsa sign-req server server		./easyrsa sign-req server server
		+	</PRE>
	В выводе вам будет нужно подтвердить, что запрос поступил из надежного источника. Введите yes, а затем нажмите ENTER для подтверждения:		В выводе вам будет нужно подтвердить, что запрос поступил из надежного источника. Введите yes, а затем нажмите ENTER для подтверждения: