Erstellung einer eigenen hierachischen CA
Aus ConfigWiki
(Unterschied zwischen Versionen)
(→Vorüberlegung) |
(→Los gehts) |
||
| Zeile 29: | Zeile 29: | ||
mkdir my_ca/services/openvpn/openvpnserver_1 | mkdir my_ca/services/openvpn/openvpnserver_1 | ||
mkdir my_ca/cusomers/custom_1/user_1 | mkdir my_ca/cusomers/custom_1/user_1 | ||
| + | === OpenSSL Konfiguration anpassen === | ||
| + | Das anpassen der "openssl.cnf" spart spater '''viel''' Schreibarbeit. | ||
| + | <br />''(Editor nach belieben)'' | ||
| + | mc -e /usr/lib/ssl/openssl.cnf | ||
| + | * in section "CA_default" den Pfad "dir" anpassen ''/etc/ssl/my_ca'' | ||
| + | * Standartwerte für "match" Einträge (Country, Provinve, OrganisationUnit) anpassen z.B.: ''DE'', ''Sachsen'', ... | ||
| + | === notwendige Ergänzungen in der Ordnerstruktur === | ||
| + | * Sammelordner für die Zertifikate (.pem files) | ||
| + | mkdir newcerts | ||
| + | * Index vorhandener Zertifikate | ||
| + | touch index.txt | ||
| + | * Zähler für den nächsten Zertifikatsnamen | ||
| + | touch serial | ||
| + | echo 01 > serial | ||
Version vom 4. Januar 2011, 10:29 Uhr
Inhaltsverzeichnis |
Vorüberlegung
Mit hierachischen CA's kann man Berechtigungsstufen verwalten, ohne für jede Stufe ein extra Root-CA erzeugen zu müssen.
Im Grunde geht es darum die Struktur von Benutzerrechten und und abzusichernden Diensten abstrakt nachzubilden.
Fehler beim Erstellen des Vorschaubildes: Die Miniaturansicht konnte nicht am vorgesehenen Ort gespeichert werden
In Unserem Fall sollen
- ein Root-CA
- eine von der Root-CA signirte OpenVPN-CA
- ein von der OpenVPN-CA signiertes Server_A-CERT
- eine Kunde_1 Anfrage mit Key
- eine Kunde_1-OpenVPN-CA
- ein Kunde_1-OpenVPN-User_1-CERT
erstellt werden.
Fehler beim Erstellen des Vorschaubildes: Die Miniaturansicht konnte nicht am vorgesehenen Ort gespeichert werden
System
- debian || ubuntu z.B. (Debian 2.6.26-26lenny1)
- openssl ist installiert
angegebene System-Pfade beziehen sich auf Debian / Debian-Derivate
Los gehts
Ordnerstruktur anlegen
cd /etc/ssl mkdir my_ca mkdir my_ca/services mkdir my_ca/cusomers mkdir my_ca/services/openvpn mkdir my_ca/cusomers/custom_1 mkdir my_ca/services/openvpn/openvpnserver_1 mkdir my_ca/cusomers/custom_1/user_1
OpenSSL Konfiguration anpassen
Das anpassen der "openssl.cnf" spart spater viel Schreibarbeit.
(Editor nach belieben)
mc -e /usr/lib/ssl/openssl.cnf
- in section "CA_default" den Pfad "dir" anpassen /etc/ssl/my_ca
- Standartwerte für "match" Einträge (Country, Provinve, OrganisationUnit) anpassen z.B.: DE, Sachsen, ...
notwendige Ergänzungen in der Ordnerstruktur
- Sammelordner für die Zertifikate (.pem files)
mkdir newcerts
- Index vorhandener Zertifikate
touch index.txt
- Zähler für den nächsten Zertifikatsnamen
touch serial echo 01 > serial
