OpenVPN einfach und schnell ohne PSK einrichten

[xZise]

Hallo,
ich habe gestern einen OpenVPN Server aufgesetzt und würde jetzt es für die verschiedenen Clients es möglichst einfach machen sich dort "anzumelden". Dabei würde ich das ungerne mit PSK umsetzen. Entweder irgendwie mit Zertifikaten (also ich bin im Moment so verbunden) oder wenn sowas gibt, dann natürlich gerne mit Benutzer-Passwort Kombination.

Bei den Zertifikaten ist das größte Problem, dass man relativ schwerig neue Benutzer rein bekommt. Besonders weil die Erstellung dieser entweder über den Server oder die Kommandozeile abläuft. Das Problem dabei ist, dass dies quasi zu schwer ist. Wenn man sich zum Beispiel Hamachi anguckt, läuft das relativ einfach durch (wobei das ja quasi nur PSK ist). Aber da Hamachi in einer alten Version nur für Linux existiert und in der kostenlosen Version die Räume relativ schnell voll werden (also wir hatten nachher drei Räume, besonders weil die einzelnen Ersteller bei der Neuinstallation o.ä. den Zugriff verloren haben und dadurch überflüssige Accounts nicht gelöscht werden konnten).

Und nebenbei ist OpenVPN gegenüber Hamachi opensource. Nur halt die Einrichtung ist etwas komplizierter.
Also nochmal zusammengefasst:

1. Kennt ihr eine einfache Möglichkeit das ein (sagen wir mal) DAU ein Zertifikat erstellt ganz wenig einrichtet und der Server dieses Zertifikat nur noch bestätigt? (Bei der Erstellung des Zertifikats auf dem Server kann nämlich dieses nicht verschlüsselt werden)
2. Alternativ gibt es eine Möglichkeit im den Stil, dass man ein Benutzer und Passwort angibt?

Ansonsten wenn man das einmal überwunden hat funktionierts hier bei mit besser (Hamachi macht bei einigen Zicken o.O ).

MfG
Fabian

[generic]

Zitat von xZise:

1. Kennt ihr eine einfache Möglichkeit das ein (sagen wir mal) DAU ein Zertifikat erstellt ganz wenig einrichtet und der Server dieses Zertifikat nur noch bestätigt? (Bei der Erstellung des Zertifikats auf dem Server kann nämlich dieses nicht verschlüsselt werden)

Muss das Zert nicht von der CA ausgestellt werden?
Wenn ja, kann das ein Enduser nicht machen.

[xZise]

Naja rein theoretisch könnte jeder ein Zertifikat erstellen, und die CA bestätigt das dieses Zertifikat zum jeweiligen Benutzer gehört.

Hier ganz unten (unter der Tabelle) steht folgendes:

Zitat:

Now wait, you may say. Shouldn't it be possible to set up the PKI without a pre-existing secure channel?

The answer is ostensibly yes. In the example above, for the sake of brevity, we generated all private keys in the same place. With a bit more effort, we could have done this differently. For example, instead of generating the client certificate and keys on the server, we could have had the client generate its own private key locally, and then submit a Certificate Signing Request (CSR) to the key-signing machine. In turn, the key-signing machine could have processed the CSR and returned a signed certificate to the client. This could have been done without ever requiring that a secret .key file leave the hard drive of the machine on which it was generated.

Nur wie das ganze genau funktioniert weiß ich nicht.

MfG
Fabian

[Alloc]

Hi,

es gibt durchaus auch die Möglichkeit mit Username/Password. Ich hab das zB mal so gemacht, dass einfach die User in einer Tabelle in MySQL eingetragen werden und direkt dagegen Authentifiziert wird. Der Nutzer brauchte dabei lediglich noch das Serverzertifikat.
Hab die Config leider nicht mehr, aber ich weis, dass es dafür auch Infos im Web gibt

Grüße,
Chris

[xZise]

Okay, dann müsste ich aber wohl noch einen MySQL Server aufsetzen.

Naja ich guggel mal ein bisschen.

MfG
Fabian

[xZise]

Moin,
ich habe dieses Tutorial gefunden. Aber zum Beispiel irgendwie eine „files“-Section existiert gar nicht. Und ansonsten habe ich nichts so richtiges mit Radius, OpenVPN und MySQL gefunden.

MfG
Fabian

[Alloc]

Also hier gibts ne kleine Liste mit zusätzlichen Auth-Methoden. Soweit ich weis hatte ich auch das MySQL-Setup von dem Link dort. Allerdings funktioniert der bei mir gerade nicht
Vielleicht hilfts dir aber trotzdem weiter

Grüße,
Chris

[BUG]

Vllt. könnte dir Wippien gefallen.
Selbst nicht getestet, ist mir nur eingefallen das ich da mal drüber gestolpert bin.