應用與設定

SSL 憑證安裝攻略-OpenVPN

若您採用 OpenVPN 來做為 VPN 服務的建置技術，並且欲加裝 SSL 數據憑證，您可以參考以下步驟來進行安裝。（如何選購一張適合您的 SSL 憑證，可參考： 域名型 SSL (DVSSL) 和企業型 SSL (OVSSL)，如何選擇？)

本文分為三個段落，如下：

一、產生憑證請求檔
二、憑證安裝
三、憑證匯出

一、 產生憑證請求檔

執行下列命令產生金鑰配對 &憑證請求檔(CSR)

1. Cent OS or RedHat

openssl genrsa -out <key_filename>.key 2048     *(此key檔請務必保留)

openssl req -new -out <csr_filename>.csr -key <key_filename>.key 接著輸入憑證資訊 ， 依序為

  • 國家名稱：使用無標點符號的兩個字母代碼表示國家，範例為 TW
  •  州或省別：使用完整名稱，範例為 Taipei City
  • 地區或城市：使用完整名稱，範例為 Taipei City
  • 公司行號：即公司名稱，範例為 Cloudmax Inc.
  • 組織單位：提出要求的部門或組織單位的名稱，範例為 IT Dept
  • 一般名稱：「一般名稱」是指主機 + 網域名稱，範例為 poc.cloudmax.com.tw

注意：在產生 CSR 時，請勿輸入您的電子郵件地址 (email address)、通關詞組 (A challenge password) 或選用的公司名稱 (An option company name) ， 此三項直接 Enter 帶過即可。 openvpn

2. Windows

下載 Openssl for Win32 http://slproweb.com/products/Win32OpenSSL.html

安裝後，於命令提示字元 (cmd)，移動至 openssl.exe 指令路徑，依預設應為 cd C:\OpenSSL-Win32\bin，接著執行：

openssl.exe genrsa -out <key_filename>.key 2048            *(此key檔請務必保留)

openssl.exe req -new -key <key_filename>.key -out <csr_filename>.csr -config openssl.cfg

接著輸入憑證資訊 ， 依序為：

  • 國家名稱：使用無標點符號的兩個字母代碼表示國家，範例為 TW
  • 州或省別：使用完整名稱，範例為 Taipei City
  • 地區或城市：使用完整名稱，範例為 Taipei City
  • 公司行號：即公司名稱，範例為 Cloudmax Inc.
  • 組織單位：提出要求的部門或組織單位的名稱，範例為 IT Dept
  • 一般名稱：「一般名稱」是指主機 + 網域名稱，範例為 poc.cloudmax.com.tw

注意：在產生 CSR 時，請勿輸入您的電子郵件地址 (email address)、通關詞組 (A challenge password) 或選用的公司名稱 (An option company name) ， 此三項直接 Enter 帶過即可。 openVPN

二、憑證安裝

1. 安裝憑證 – Server 端

[ CentOS or RedHat ]

安裝完成 OpenVPN 套件後，OpenVPN 預設須將憑證放置於 /etc/openvpn 目錄下，拿到憑證後加上所保留的金鑰 key 檔，應有以下檔案：

  • 金鑰 key 為key
  • 憑證商所簽署之憑證為crt
  • 憑證商中繼憑證為 ca.crt

須將金鑰key、憑證商所簽屬之憑證、憑證商中繼憑證，放置於 /etc/openvpn 目錄下，並修改 /etc/openvpn/server.conf 中設定，範例如下：

OpenVPN -CentOS or RedHat

完成後重啟 OpenVPN 服務，service openvpn restart

 

[ Windows ]
安裝完成 OpenVPN 套件後，OpenVPN 預設須將憑證放置於 C:\Program Files\OpenVPN\config 目錄下，拿到憑證後加上所保留的金鑰key檔，應有以下檔案：

  • 金鑰 key 為key
  • 憑證商所簽署之憑證為crt
  • 憑證商中繼憑證為crt

須將金鑰key、憑證商所簽屬之憑證、憑證商中繼憑證，放置於 /etc/openvpn 目錄下，並修改 /etc/openvpn/server.conf 中設定，範例如下：

OpenVPN-Windows

完成後重啟OpenVPN服務，可由服務管理找到 OpenVPN Service ，點選右鍵重新啟動，或是命令提示字元(cmd)：

net stop “OpenVPN Service”

net start “OpenVPN Service”

2. 安裝憑證 – Client 端

[ CentOS or RedHat ]
OpenVPN 預設須將憑證放置於 /etc/openvpn 目錄下，故用戶端也需安裝 OpenVPN 套件。

用戶端需信任伺服器之憑證，因此須將 ROOT CA 憑證放置於 /etc/openvpn 目錄下，並修改 /etc/openvpn/client.conf 中設定。

完成後重啟OpenVPN服務：service openvpn restart。

[ Windows ]
OpenVPN 預設須將憑證放置於 C:\Program Files\OpenVPN\config 目錄下，故用戶端也需安裝 OpenVPN 套件。

用戶端需信任伺服器之憑證，因此須將ROOT CA憑證放置於C:\Program Files\OpenVPN\config 目錄下，並修改 C:\Program Files\OpenVPN\config\client.ovpn 中設定。

完成後重啟OpenVPN服務，可由服務管理找到 OpenVPN Service，點選右鍵重新啟動，或是命令提示字元(cmd)：

net stop “OpenVPN Service”

net start “OpenVPN Service”

 

三、憑證匯出（伺服器憑證匯出）

[ CentOS or RedHat ]
以檔案形式使用憑證，若欲匯出，只需將 /etc/openvpn 目錄下的伺服器金鑰 ( .key檔 )、伺服器憑證檔 ( .crt檔 )、中繼憑證檔 ( .crt檔 ) 下載即可。

可使用如 WinSCP &  FTP 之類方式下載。

[ Windows ]
以檔案形式使用憑證，若欲匯出，只需將 C:\Program Files\OpenVPN\config 目錄下的伺服器金鑰 ( .key檔)、伺服器憑證檔(.crt檔)、中繼憑證檔(.crt檔) 複製即可存放。

 

本文由 Cloudmax 匯智技術團隊撰寫提供。

圖片來源：photoAC / https://www.photo-ac.com/

發表迴響