Openvpn neue Zertifikate

[flicflac]

Hallo
Ich habe vor 10 Jahren einen openvpn Server und einen Client-Zugriff installiert, V2.3.6. Der openvpn-Server läuft auf einem Windows-Server 2019. Nach 10 Jahren sind die Zertifikate abgelaufen.

Ich habe neue Zertifikate erstellt mit Easyrsa 3.0.4. Das generieren war problemlos, aber nach dem Ersetzen der Zertifikate auf Server und Client erhalte ich beim Verbindungsaufbau den Fehler:
VERIFY nsCertType ERROR: CN=Name, require nsCertType=SERVER

Der Versuch mit der damals verwendeten Version von Easyrsa (aus 2014) bringt beim generieren des Client-Key die Fehlermeldung:
Warning: Ignoring -days without -x509; not generating a certificate
Can't load C:\Program Files\OpenVPN\easy-rsa/.rnd into RNG
5C420000:error:12000079:random number generator:RAND_load_file:Cannot open file:crypto\rand\randfile.c:107:Filename=C:\Program Files\OpenVPN\easy-rsa/.rnd
Es wird kein Zertifikat *.crt für den Client erstellt.

Ich suche für beide Möglichkeiten dringend eine Lösung.

Danke

 

[danton]

Wenn du bei Easy-RSA die neuen Zertifikate signierst, musst du beim Zertifikat des Servers angeben, dass es sich um einen Server handelt (erster Parameter vom Command sign-req muss server statt client sein). OpenVPN im Client-Modus baut standardmäßig nur Verbindungen zu anderen OpenVPN-Gegenstellen auf, wenn deren Zertifikat das Merkmal "Server Authentication" hat. Man kann die Überprüfung aber in der Konfiguration auf dem Client deaktivieren.
Außerdem solltest du deine OpenVPN-Version mal dringend aktualisieren,. aktuell ist derzeit 2.6.14. Deine Version enthält mehrere Sicherheitslücken, die mittlerweile geschlossen sind und auch für das gebundelte OpenSSL trifft das ebenso zu.