Workshop: VPN mit Linux

Benutzerzertifikate

Für jeden Benutzer gilt es jetzt das Zertifizierungsspiel noch einmal zu wiederholen. Bei der Erstellung des Private Key für eine User mit:

openssl genrsa -des3 -out private/userKey.pem 1024

vergeben Sie für jeden Benutzer eine eigene Passphrase. Mit dieser beantragen sie anschließend ein Zertifikat:

openssl req -new -key private/userKey.pem -out userReq.pem

Es soll gemäß der Voreinstellung in der openssl.cnf für 365 Tage gültig bleiben.

Jetzt erzeugen Sie das Zertifikat, das sie als Root CA signieren. Dabei beschränken Sie die Gültigkeitsdauer praktischerweise mit -enddate auf das laufende Quartal:

openssl ca -notext -enddate 0209301200Z -in userReq.pem -out userCert.pem

So ersparen Sie sich ein Zurückrufen von Zertifikaten bei der üblichen Personalfluktuation zum Quartalsende. Zudem erhöht eine regelmäßige Neuvergabe die Sicherheit.

Von diesem Zertifikat erzeugen Sie im letzten Schritt eine binäre Version im PKCS#12-Format, die wir im nächsten Teil des Workshops für die Nutzung mit Windows-2K/XP-Clients benötigen:

openssl pkcs12 -export -in userCert.pem -inkey private/userKey.pem -certfile caCert.pem -out user.p12