OpenVPN connectet trotz Zertifikatswechsel

[Pablo Diablo]

Ich habe nach dem Heartbleed-Bug meine Syno aktualisiert und das Zertifikat (über Systemsteuerung / Sicherheit) neu erstellt. Das wurde auch übernommen, mindestens musste ich sogleich im Firefox eine neue Ausnahme für das Zertifikat hinzufügen. Danach die ios.ovpn exportiert und über iTunes an iPhone und iPad verteilt.

Das funktioniert auch alles. Nun habe ich aber festgestellt, dass ich auch mit der alten Konfig, die noch im OpenVPN sichtbar ist, von extern auf meien Syno zugreifen kann.

Das dürfte doch nicht sein!?! Weiss jemand was ich falsch gemacht habe?

 

[ottosykora]

hmm, nur wie unterscheidet sich die alte Konfig? Die Konfig ist doch nur ein Text, alles was mit einem Schlüssel zu tun hat ist der Name des CA Files drin, das ca ca.crt

Irgendwelche Cert Nummern etc finde ich drin nicht.

Ich meine wenn das immer noch so heisst dann warum soll sich es nicht verbinden?

 

[Pablo Diablo]

In die Datei ios.ovpn, die ich nach dem Neuerstellen des Zertifikats von der Syno geholt hab, werden Zertifikat und Key automatisch miteingetragen. Erstelldatum der Datei war zum gleichen Zeitpunkt wie das Neugenerieren des Zertifikats.

Das würde dann wohl heissen, dass trotz neuem Zertifikat und Key noch das alte Zertifikat und Key in das neue ios.ovpn geschrieben wurden. Anders kann ich mir das nicht erklären. Das wäre dann aber eine ziemlich gefährliche Geschichte... Ich hab vor dem Wechsel des Zertifikats extra noch das VPN-Server Paket deinstalliert um solches zu vermeiden...

Oder hat jemand eine andere Idee?

 

[jahlives]

dann müsste die neue ios Datei ja gleich ein wie die alte. Hast du die beiden Versionen mal veglichen?
Zudem nur weil du ein Client Certifikat neu machst, heisst das nicht die alten Zertifikate wären ungültig. Die müsstest du explizit widerrufen. Wenn das nicht geht müsstest du ein neues CA.crt generieren lassen. Dann basierend auf diesem CA einen neuen Client Key/Cert erstellen. OVPN traut allen Certs welche mit dem gültigen CA unterschrieben wurden

 

[Pablo Diablo]

Hab die OVPN nicht verglichen. Hmm, daran wirds wohl liegen. Ich merke grade dass ich mir in Sachen CA, Certs und Keys noch ein bisschen Grundwissen aneignen muss... :-/

Vielen Dank jahlives!

Gruss
Pablo

 

[till213]

Bin auch an diesem Thema brennend interessiert!

Ich meine auf einem blog gelesen zu haben, dass das Neuerstellen der Zertifikate via Einstellungen -> Sicherheit eben NICHT dazu führt, dass das neue Zertifikat auch für den OpenVPN Server verwendet wird! (Das mag aber auch eine Falschingormation sein bzw. bloss für die DSM 4.2 gelten, über welche der blog berichtete).

Jedenfalls wäre es hilfreich, wenn hier jemand einmal seine Erfahrungen über einen erfolgreichen Zertifikateechsel preisgeben könnte. Insbesondere für eine "plain vanilla" OpenVPN Installation (die bei mir zu einer user/password Authentifikation führt). Und natürlich so, dass Clients mit alten Zertifikaten nicht mehr akzeptiert werden, selbst wenn sie die korrekte user/password Kombination kennen - oder he Moment, trifft in diesem Szenario der Zertifikatwechsel gar nicht zu, da ja eh ein Passwort zum Zuge kommt? *verwirrt*

Danke

 

[aportmann]

stelle mir diese frage ebenfalls. habe das zertifikat neu generiert, trotzdem kommen die vpn-clients noch mit dem alten zertifikat auf den server. scheinbar hat das neue zertifikat keine auswirkung auf den vpn-server.

gruss andi

 

[jahlives]

ich zitiere mich mal selbst

Zudem nur weil du ein Client Certifikat neu machst, heisst das nicht die alten Zertifikate wären ungültig. Die müsstest du explizit widerrufen. Wenn das nicht geht müsstest du ein neues CA.crt generieren lassen. Dann basierend auf diesem CA einen neuen Client Key/Cert erstellen. OVPN traut allen Certs welche mit dem gültigen CA unterschrieben wurden

 

[DKeppi]

stelle mir diese frage ebenfalls. habe das zertifikat neu generiert, trotzdem kommen die vpn-clients noch mit dem alten zertifikat auf den server. scheinbar hat das neue zertifikat keine auswirkung auf den vpn-server.

gruss andi

Schon mal die Syno neu gestartet?

http://www.synology-forum.de/showth...fehlgeschlagen&p=423919&viewfull=1#post423919

 

[aportmann]

ich zitiere mich mal selbst

wenn dem so ist, weshalb sollte man dann nach dem heartbleed das zertifikat neu erstellen wenn das alte sowieso noch funktionieren sollte?

Schon mal die Syno neu gestartet?

http://www.synology-forum.de/showth...fehlgeschlagen&p=423919&viewfull=1#post423919

neugestartet, nun komme ich zurzeit nicht mehr auf die ds, scheint geklappt zu haben



gruss andi

 

[till213]

Ich kann bestätigen, dass (erst) ein Neustart der Diskstation dazu führt, dass der VPN Server das neu erstellte Zertifikat übernimmt. Siehe auch meinen eigenen thread hier:

http://www.synology-forum.de/showth...leed-Zertifikate-erneuern&p=423061#post423061