OpenVPN #1: Beter beveiligen

[André PE1PQX]

Ah, die PRNG uitleg verklaart het verhaal van crashen.
Alleen het genereren duurde meer dan een uur of 2...
Dwingt je wel even wat anders te gaan doen, en de bewuste pjoeter met rust te laten.
(vriendin lichtelijk geirriteerd omdat de computer niet beschikbaar is voor facebook meuk )

[André PE1PQX]

Schiet me een andere vraag te binnen: Kan ik zo de procedure voor het aanmaken van meerdere <client>.key en <client>.crt uitvoeren zonder die dh4096.pem bestand opnieu te moeten genereren?

Ik bedoel: heb nu voor 3 losse clients de key en crt files gemaakt, en ik wil (for whatever reason) toch nog een 4e er bij aan maken, moet ik dan die dh4096.pem opnieuw genereren?

[Pippin]

Nee hoor, dat is niet nodig.
Alleen de nieuwe <client>.key, <client>.crt en bestaande ta.key met de *.ovpn voor die nieuwe client.

[André PE1PQX]

Top, duidelijk!

[André PE1PQX]

Update: Op de DS918+ werkt het ook, mits je maar 1 LAN aansluiting gebruikt... (zie andere topic)

Op de DS918+ werkt het inmiddels ook prima.
Let er wel op dat je in "netwerk" > "Geavanceerde instellingen" BEIDE vinkjes plaatst, dus bij "Antwoord op ARP-aanvragen als het doel-ip-adres identiek is aan een lokaal adres dat op de inkomende interface is geconfigureerd" EN "Meerdere gateways inschakelen"
(Dank @Ben(V) !!)

Zie dit topic.

[André PE1PQX]

Na een app-upgrade in mijn Android toestel van de OpenVPN app werkte de bliksemse boel niet meer.
Uit pure ellende de gehele procedure opnieuw gevolgd (en kleine frustraties omdat het genereren van de dh4069 bestand niet direct in 1x lukte door eigen toedoen  ) werkt het weer in de SGS7.
App versie: OpenVPN Connect 3.0.3 voor Android (in Android 7, beveiligingsupdate 1 Feb 2018)

[Pippin]

De bestaande config opnieuw importeren werkte niet?
Dat is vreemd...

Wat ik altijd doe is, app verwijderen, telefoon herstarten, nieuwe app installeren.
Tot nu toe heeft dat altijd gewerkt, heb wel een andere telefoon, Motorola.

[André PE1PQX]

Ik vond het ook vreemd, mede omdat ik vanaf mijn laptop op een remote locatie ook al geen VPN kon opbouwen.
Normaler wijze zou het deinstalleren en de client opnieuw installeren + .ovpn importeren voldoende moeten zijn.

Zal het gelijk ook eerlijk vermelden, ik sluit een geval van PEBKAC ook niet uit. 

[rommert]

Ah, ik bent ook "uit de lucht" na de update voor OpenVPN voor Android. Sindsdien zijn er al een stuk of 3 updates verschenen maar desondanks kan de App mijn certificaat niet vinden. Heb deze als los bestand maar ook in mijn .ovpn bestand staan.

[ibizatiger]

hartelijk dank voor de mooie uitleg...
is prima gelukt op windows client en android.

[ibizatiger]

hallo iedereen,

zoals aangegeven in dit topic, voor elke client een nieuw client.crt en client.key aanmaken indien nodig...

ik heb het volgende voor en word er beetje gek van :-)

krijg steeds de volgende fout in log

Options error: --ca fails with 'CA.crt': No such file or directory (errno=2)
Options error: --cert fails with 'user.crt': No such file or directory (errno=2)
Mon Mar 19 12:08:57 2018 us=17971 WARNING: cannot stat file 'user.key': No such file or directory (errno=2)
Options error: --key fails with 'user.key'
Mon Mar 19 12:08:57 2018 us=19474 WARNING: cannot stat file 'ta.key': No such file or directory (errno=2)
Options error: --tls-auth fails with 'ta.key': No such file or directory (errno=2)
Options error: Please correct these errors.

ik heb op 1 laptop + android device perfect aan de praat gekregen.

nu wil ik op een 3e laptop met een andere user inloggen op vpn, maar het wil niet werken. ik heb exact dezelfde stappen gevolgd als bij de eerste 2 toestellen.

bij 3e toestel  nieuwe user.crt en user.key aangemaakt, zelfde ca.crt en ta.key gehouden van vorige sessie en ovpn aangepast naar de user.
ps: heb het volledig path ook al ingeven in de.ovpn file maar dit veranderd niets...

wat ben ik vergeten, of zie ik over het hoofd?

alvast bedankt voor jullie inzicht.

mvg

sander
Use --help for more information.

[Pippin]

ps: heb het volledig path ook al ingeven in de.ovpn file maar dit veranderd niets...

Hoe zien die paden er daadwerkelijk uit dan?

[ibizatiger]

hello,

probleem is opgelost :-)

had path niet aangepast naar de map met de bestanden in de openVPN GUI

dan zal hij idd niets vinden

greetz
sander

[Pippin]

Mooi zo, succes.

[mni82]

Hallo,

Ik krijg een error en kom er niet achter wat het probleem is.
Volgens mij ontstaat het probleem door: could not extract X509 subject string from certificate
Weet iemand waar ik naar kan kijken

output from OpenVPN client log:
Sat Mar 24 21:05:57 2018 us=699046 TLS: Initial packet from [AF_INET]84.xx.xx.xxx:443, sid=5254bdb5 ce779d2c
Sat Mar 24 21:05:57 2018 us=932273 VERIFY ERROR: depth=1, could not extract X509 subject string from certificate
Sat Mar 24 21:05:57 2018 us=933276 OpenSSL: error:14090086:SSL routines:ssl3_get_server_certificate:certificate verify failed
Sat Mar 24 21:05:57 2018 us=933276 TLS_ERROR: BIO read tls_read_plaintext error
Sat Mar 24 21:05:57 2018 us=933276 TLS Error: TLS object -> incoming plaintext read error
Sat Mar 24 21:05:57 2018 us=933276 TLS Error: TLS handshake failed
Sat Mar 24 21:05:57 2018 us=933276 Fatal TLS error (check_tls_errors_co), restarting
Sat Mar 24 21:05:57 2018 us=933276 TCP/UDP: Closing socket
Sat Mar 24 21:05:57 2018 us=934276 SIGUSR1[soft,tls-error] received, process restarting


output from /var/log/openvpn.log:
Sat Mar 24 21:05:56 2018 us=488460 LZO compression initialized
Sat Mar 24 21:05:56 2018 us=488562 Control Channel MTU parms [ L:1604 D:212 EF:112 EB:0 ET:0 EL:3 ]
Sat Mar 24 21:05:56 2018 us=488597 Data Channel MTU parms [ L:1604 D:1450 EF:104 EB:143 ET:0 EL:3 AF:3/1 ]
Sat Mar 24 21:05:56 2018 us=488652 Local Options String: 'V4,dev-type tun,link-mtu 1604,tun-mtu 1500,proto TCPv4_SERVER,comp-lzo,keydir 0,cipher AES-256-CBC,auth SHA512,keysize 256,tls-auth,key-method 2,tls-server'
Sat Mar 24 21:05:56 2018 us=488675 Expected Remote Options String: 'V4,dev-type tun,link-mtu 1604,tun-mtu 1500,proto TCPv4_CLIENT,comp-lzo,keydir 1,cipher AES-256-CBC,auth SHA512,keysize 256,tls-auth,key-method 2,tls-client'
Sat Mar 24 21:05:56 2018 us=488713 Local Options hash (VER=V4): 'eda38e81'
Sat Mar 24 21:05:56 2018 us=488748 Expected Remote Options hash (VER=V4): 'c19f87b0'
Sat Mar 24 21:05:56 2018 us=488821 TCP connection established with [AF_INET]84.xx.xx.xxx:57571
Sat Mar 24 21:05:56 2018 us=488852 TCPv4_SERVER link local: [undef]
Sat Mar 24 21:05:56 2018 us=488877 TCPv4_SERVER link remote: [AF_INET]84.xx.xx.xxx:57571
Sat Mar 24 21:05:57 2018 us=486522 84.xx.xx.xxx:57571 TLS: Initial packet from [AF_INET]84.xx.xx.xxx:57571, sid=414a8bf8 1d9f4a63
Sat Mar 24 21:05:57 2018 us=723439 84.xx.xx.xxx:57571 Connection reset, restarting [-1]
Sat Mar 24 21:05:57 2018 us=723494 84.xx.xx.xxx:57571 SIGUSR1[soft,connection-reset] received, client-instance restarting

Commands en output die ik heb geprobeerd tijdens het onderzoek:

# openssl verify -CAfile CA.crt -purpose sslserver Server.crt
Server.crt: OK

# openssl x509 -noout -subject -in Server.crt
subject= /CN=Server