X509-Zertifikate

für unsere Konfiguration benötigen wir folgende Zertifikate und Schlüssel. ca.crt CA-Zertifikat server.crt Server-Zertifikat server.key Privater Schlüssel der Servers dh1024.pem Diffie-Hellman Parameter

Das Erstellen der o.g. Dateien ist unter

http://wiki.openvpn.eu/index.php/Erzeugen_einer_PKI_mit_EasyRSA

ausführlich beschrieben.

Die Erstellung und Verwaltung der Schlüssel und Zertifikate erfolgt mit Hilfe des Paketes OpenSSL unter Linux.

Im Beispiel wird das grafische Frontend tynyca verwendet.

Nach dem ersten Start von tynyca werden Sie aufgefordert eine CA (Certification Authority) anzulegen. Die oben stehenden Angaben dienen als Beispiel für Ihre eigene CA. Bitte beachten Sie das Keylength auf 1024 und Digest auf MD5 gesetzt ist.

Nach der Anzeige der Zertifikatsparameter klicken Sie auf OK.

Als nächstes erzeugen wir uns ein Zertifikat füe den ER75i. Der ER75i soll als IPSec-Client konfiguriert werden (Create Key and Certificate(Client)).

Jetzt wird es etwas komlizierter, es muss ein Serverzertifikat für den Bintec-Router erzeugt werden. Dazu loggen Sie sich in die Konfiguration des Routers ein und wechseln zum Menü VPN→Zertifikate.

Unter Zertifikatsliste klicken Sie auf Anforderung und füllen das Formular aus, danach klicken Sie auf OK.

Jetzt haben wir uns eine Zertifikatsanforderung erstellt die wir noch von unserer CA über tynyca unterschreiben lassen müssen.

Dazu gehen wir in die Bearbeitung des Zertifikates und kopieren uns diesen Teil des Zertifikates in die Zwischablage.

Jetzt öffnen Sie einen Texteditor und fügen Sie die Daten aus der Zwischenablage ein. Danach speichern Sie diese Datei ab.

Dies Datei wird nun als Request in die CA importiert

Um Das Zertifikat unterschreiben zu lassen klicken Sie mit der rechten Maustaste auf Dieses und wählen Sie „Sign Request“. Nun ist das Serverzertifikat des Bintec in der CA eingebunden.

Als letzten Schritt mussen die Zertifikate und Schlüssel exportiert werden damit diese dann in den Routern verwendet werden können.

Wählen Sie das register CA in tynyca, klicken Sie auf das DiskettenSymbol in der Werkzeugleiste und exportieren Sie das CA-Zertifikat als *.pem

Unter „Certifikates“ in tynyca, wählen Sie das Zertifikat „ur5-client“, klicken Sie auf das DiskettenSymbol in der Werkzeugleiste und exportieren Sie das Zertifikat als *.pem

Unter „Keys“ in tynyca, wählen Sie den privaten Schlüssel des ur5-client's, klicken Sie auf das DiskettenSymbol in der Werkzeugleiste und exportieren Sie diesen als *.pem

Unter „Certifikates“ in tynyca, wählen Sie das Zertifikat „bintec-server“, klicken Sie auf das DiskettenSymbol in der Werkzeugleiste und exportieren Sie das Zertifikat als *.pem

Jetzt müssten Ihen 4 Dateien voliegen

1. das CA-Zertifikat z.B. ca.pem
2. das Serverzertifikat z.B. bintec-server.pem
3. das Clientzertifikat z.B. ur5-client.pem
4. der private Schlussel des clients z.B. ur5-client-key.pem

Die Zertifikatserstellung ist somit abgeschlossen.