Erstellung einer eigenen hierachischen CA

Aus ConfigWiki
(Unterschied zwischen Versionen)
Wechseln zu: Navigation, Suche
(Vorüberlegung)
(Los gehts)
Zeile 29: Zeile 29:
 
  mkdir my_ca/services/openvpn/openvpnserver_1
 
  mkdir my_ca/services/openvpn/openvpnserver_1
 
  mkdir my_ca/cusomers/custom_1/user_1
 
  mkdir my_ca/cusomers/custom_1/user_1
 +
=== OpenSSL Konfiguration anpassen ===
 +
Das anpassen der "openssl.cnf" spart spater '''viel''' Schreibarbeit.
 +
<br />''(Editor nach belieben)''
 +
mc -e /usr/lib/ssl/openssl.cnf
 +
* in section "CA_default" den Pfad "dir" anpassen ''/etc/ssl/my_ca''
 +
* Standartwerte für "match" Einträge (Country, Provinve, OrganisationUnit) anpassen z.B.: ''DE'', ''Sachsen'', ...
 +
=== notwendige Ergänzungen in der Ordnerstruktur ===
 +
* Sammelordner für die Zertifikate (.pem files)
 +
mkdir newcerts
 +
* Index vorhandener Zertifikate
 +
touch index.txt
 +
* Zähler für den nächsten Zertifikatsnamen
 +
touch serial
 +
echo 01 > serial

Version vom 4. Januar 2011, 10:29 Uhr

Inhaltsverzeichnis

Vorüberlegung

Mit hierachischen CA's kann man Berechtigungsstufen verwalten, ohne für jede Stufe ein extra Root-CA erzeugen zu müssen.
Im Grunde geht es darum die Struktur von Benutzerrechten und und abzusichernden Diensten abstrakt nachzubilden.


Fehler beim Erstellen des Vorschaubildes: Die Miniaturansicht konnte nicht am vorgesehenen Ort gespeichert werden




In Unserem Fall sollen

  • ein Root-CA
  • eine von der Root-CA signirte OpenVPN-CA
  • ein von der OpenVPN-CA signiertes Server_A-CERT
  • eine Kunde_1 Anfrage mit Key
  • eine Kunde_1-OpenVPN-CA
  • ein Kunde_1-OpenVPN-User_1-CERT

erstellt werden.


Fehler beim Erstellen des Vorschaubildes: Die Miniaturansicht konnte nicht am vorgesehenen Ort gespeichert werden

System

  • debian || ubuntu z.B. (Debian 2.6.26-26lenny1)
  • openssl ist installiert

angegebene System-Pfade beziehen sich auf Debian / Debian-Derivate

Los gehts

Ordnerstruktur anlegen

cd /etc/ssl
mkdir my_ca
mkdir my_ca/services
mkdir my_ca/cusomers
mkdir my_ca/services/openvpn
mkdir my_ca/cusomers/custom_1
mkdir my_ca/services/openvpn/openvpnserver_1
mkdir my_ca/cusomers/custom_1/user_1

OpenSSL Konfiguration anpassen

Das anpassen der "openssl.cnf" spart spater viel Schreibarbeit.
(Editor nach belieben)

mc -e /usr/lib/ssl/openssl.cnf
  • in section "CA_default" den Pfad "dir" anpassen /etc/ssl/my_ca
  • Standartwerte für "match" Einträge (Country, Provinve, OrganisationUnit) anpassen z.B.: DE, Sachsen, ...

notwendige Ergänzungen in der Ordnerstruktur

  • Sammelordner für die Zertifikate (.pem files)
mkdir newcerts
  • Index vorhandener Zertifikate
touch index.txt
  • Zähler für den nächsten Zertifikatsnamen
touch serial
echo 01 > serial
Meine Werkzeuge