Provozujete OVPN na linuxu / freeBSD a chtěli byste mít lepší přehled nad certifikáty připadávám generování moc složité. Jedním řešením je generovat certifikáty v systému Mikrotik RouterOS.

Certifikáty máte přehledně na jednom místě a při aktivaci nebo revokaci stačí certifikát kopírovat do systému. Samozřejmostí je snažší přenos ke klientovi.

Začneme generováním CA certifikátu v terminálu mikrotiku:

/certificate
add name=ca-template common-name=trustnetwork.cz days-valid=3650 key-size=2048 key-usage=crl-sign,key-cert-sign

následně certifikát serveru:
add name=server-template common-name=*.trustnetwork.cz days-valid=3650 key-size=2048 key-usage=digital-signature,key-encipherment,tls-server

certifikáty podepíšeme:

/certificate
sign ca-template name=ca-certificate

sign server-template name=server-certificate ca=ca-certificate

certifikáty exportujeme do files:

/certificate
export-certificate ca-certificate export-passphrase=""
export-certificate server-certificate export-passphrase="12345678"

certifikátu serveru musíme nastavit heslo, jenom tak se vygeneruje i klíč.

Nyní nakofigurujeme server na linuxu a přeneseme certifikáty a klíč do

Konfigurace serveru

port 1194 proto tcp-server mode server tls-server dev tun ca /../easy-rsa/keys/ca.crt cert /../easy-rsa/key/server.crt key /../finebsd/easy-rsa/key/server.key dh /../easy-rsa/key/dh1024.pem ifconfig 192.168.9.1 192.168.9.2 ifconfig-pool 192.168.9.4 192.168.9.251 route 192.168.9.0 255.255.255.0 push „route 172.16.0.0 255.240.0.0“ keepalive 10 120 cipher AES-128-CBC #comp-lzo user nobody group nogroup persist-key persist-tun verb 3

Vygenerujte Diffie Hellman certifikát

openssl dhparam -out dh1024.pem 1024 Vytvoření klienta /certificate

add name=client-template common-name=client.trustnetwork.cz days-valid=3650 key-size=2048 key-usage=tls-client
sign client-template name=client-certificate ca=ca-certificate
export-certificate client-certificate export-passphrase=12345678

Vymazání hesla z klientského klíče – je potřeba udělat na linuxu / freebsd

openssl rsa -in client.key -out client.key

Konfigurace klienta

client

dev tun
proto tcp-client
remote x.x.x.x 1194
persist-key
persist-tun
ca ..\\config\\adresar/ca.crt
cert ..\\config\\adresar/client.crt
key ..\\config\\adresar/client.key
remote-cert-tls server
cipher AES-128-CBC
auth SHA1
verb 6
keepalive 10 120
user nobody
group nobody

Nakopírovat ca certifikát, klientská certifikát do adresare adresar v config.

revokace klienta

openssl ca -config /cesta/ovpn/openssl.cnf -revoke /cesta/easy-rsa/key/test.crt

Reference 
https://www.medo64.com/2016/12/simple-openvpn-server-on-mikrotik/

Open VPN na adroidu

Je zapotřebí mít klíč bez hesla (viz. vymazání hesla z klíče ) a upravený konfigurák. V konfuguráku u obou certifikátů vymazat cestu nechat jen jméno souboru, to samé i u klíče. Certifikáty, klíč a konfigurák nakopírovat do telefonu.

Nainstalovat aplikaci -> kliknout na OpenVPN profile -> najít soubor s konfigurákem, označit a kliknout na import. Vytvoří se profil a pak stačí připojit a musí to fungovat.