OpenVPN Server mit DD-WRT - Versionsgeschichte

Dario am 7. März 2011 um 15:50 Uhr

2011-03-07T15:50:35Z

Dario am 31. Mai 2010 um 12:25 Uhr

2010-05-31T12:25:54Z

Dario am 31. Mai 2010 um 12:19 Uhr

2010-05-31T12:19:55Z

Dario am 19. Januar 2010 um 15:41 Uhr

2010-01-19T15:41:12Z

Änderungen zeigen

Dario: /* Zertifikate erzeugen */

2010-01-17T17:16:05Z

‎Zertifikate erzeugen

Dario: /* Zertifikatsbasierte Anmeldung */

2010-01-14T10:34:53Z

‎Zertifikatsbasierte Anmeldung

Dario: /* Zertifikatsbasierte Anmeldung */

2010-01-14T10:34:21Z

‎Zertifikatsbasierte Anmeldung

Dario: /* Zertifikate erzeugen */

2010-01-14T10:33:10Z

‎Zertifikate erzeugen

Dario: /* Zertifikate erzeugen */

2010-01-14T10:32:30Z

‎Zertifikate erzeugen

Dario am 14. Januar 2010 um 10:31 Uhr

2010-01-14T10:31:06Z

Änderungen zeigen

@@ Zeile 1: / Zeile 1: @@
 Hier eine Anleitung um einen zertifikatsbasierten OpenVPN Server unter DDWRT einzurichten.
 __TOC__
 = Theorie =
 == Zertifikate und Schlüssel ==

@@ Zeile 1: / Zeile 1: @@
 Hier eine Anleitung um einen zertifikatsbasierten OpenVPN Server unter DDWRT einzurichten.
 = Theorie =
 == Zertifikate und Schlüssel ==
@@ Zeile 401: / Zeile 408: @@
 = Verbindung aufbauen =
 Rechtsklick auf das kleine Traysymbol '''Disconnect'''

← Nächstältere Version		Version vom 31. Mai 2010, 12:19 Uhr
Zeile 401:		Zeile 401:
	= Verbindung aufbauen =		= Verbindung aufbauen =
	Rechtsklick auf das kleine Traysymbol '''Disconnect'''		Rechtsklick auf das kleine Traysymbol '''Disconnect'''
		+
		+	<flattr
		+	title="Anleitung OpenVPN auf DD-WRT"
		+	description="Anleitung um einen zertifikatsbasierten OpenVPN Server unter DDWRT einzurichten."
		+	category="text"
		+	language="de_DE"
		+	/>

@@ Zeile 16: / Zeile 16: @@
 === Zertifikate erzeugen ===
 * jeder Teilnehmer (CA, Server und jeder Benutzer) erzeugen sich (im Idealfall selber) einen asymmetrischen RSA-Schlüssel, bestehend aus einem öffentlichen Schlüssel und einem privaten Schlüssel<BR>
-''(das habe ich in diesem Tutorial nicht gemacht, da ich selber der einzige Nutzer bin, ich habe nur verschiedene Geräte, eventuell werde ich später auch einmal schildern, wie man das machen kann, dass die Clients ihre Schlüssel selber erzeugen)''
+''(in diesem Tutorial werden alle Schlüssel auf einem Computer erzeugt, da ich selber der einzige Nutzer bin und nur verschiedene Geräte habe. Eventuell werde ich später auch einmal schildern, wie man das machen kann, dass Clients ihre Schlüssel selber erzeugen)''
 * Die CA hat die Aufgabe einen öffentlichen Schlüssel an eine Identität zu binden, das ist das Zertifikat. <BR>
 :Ein Zertifikat für einen User enthält in meinem Beispiel die folgenden Informationen:

@@ Zeile 60: / Zeile 60: @@
 :: Prüft, ob Z wirklich Z ist
 :: "Prima, ich lass dich jetzt rein."
-Das ist grob das Prinzip, das Zeigt, warum der Server den Client vorher nicht kennen muss und sich trotzdem Sicher sein kann, mit dem Client zu reden. Um jetzt noch Angriffe vom Man-in-the-Middle auszuschliessen ist das Protokoll ein wenig komplizierte, worauf ich an dieser Stelle nicht eingehen möchte.
+Das ist grob das Prinzip, das Zeigt, warum der Server den Client vorher nicht kennen muss und sich trotzdem Sicher sein kann, mit dem Client zu reden. Um jetzt noch Angriffe vom Man-in-the-Middle auszuschliessen ist das Protokoll ein wenig komplizierter, worauf ich an dieser Stelle nicht eingehen möchte.
 Auch hat der Client die Möglichkeit das selbe Verfahren noch mal mit dem Server durchzuführen, um sicher zu stellen, dass er auch wirklich mit dem Server verbunden ist.

@@ Zeile 47: / Zeile 47: @@
 Soll nun eine Verbindung zu einem VPN-Server aufgebaut werden geht das im Prinzip so:
 * ''Client:''
-:: Hallo VPN Server ich bin der Client ''X'', hier mein Zertifikat ''Cert_X''.
+:: "Hallo VPN Server ich bin der Client ''X'', hier mein Zertifikat ''Cert_X''."
 * ''Server:''
-:: ''Prüft das Zertifikat mit dem öffentlichen Schlüssel der CA''
+:: Prüft das Zertifikat mit dem öffentlichen Schlüssel der CA
-:: Alles OK, ich weiss jetzt dass der Client ''X'' den öffentlichen Schlüssel ''Pub_X'' hat.
+:: "Alles OK, ich weiss jetzt dass der Client ''X'' den öffentlichen Schlüssel ''Pub_X'' hat."
-:: Aber das kann mir ja jeder sagen, dass sind ja alles öffentliche Informationen.
+:: "Aber das kann mir ja jeder sagen, dass sind ja alles öffentliche Informationen."
-:: Wenn Du mir jetzt noch beweisen kannst, dass Du auch den privaten Schlüssel ''Priv_X'' von Client ''X'' hast, dann glaube ich, dass ich mit Client ''X'' spreche.
+:: "Wenn Du mir jetzt noch beweisen kannst, dass Du auch den privaten Schlüssel ''Priv_X'' von Client ''X'' hast, dann glaube ich, dass ich mit Client ''X'' spreche."
-:: Dazu habe hier mir mal eine Zufallszahl ''Z'' ausgedacht und diese mit ''Pub_X'' verschlüsselt, nur mir ''Priv_X'' kann man die entschlüsseln. So lieber Client, bitte zeig mir mal, dass Du das kannst, hier ist sie: ''enc(z)''.
+:: "Dazu habe hier mir mal eine Zufallszahl ''Z'' ausgedacht und diese mit ''Pub_X'' verschlüsselt, nur mir ''Priv_X'' kann man die entschlüsseln. So lieber Client, bitte zeig mir mal, dass Du das kannst, hier ist sie: ''enc(z)''."
 * ''Client:''
-:: ''entschlüsselt enc(z) mit seinem privaten Schlüssel Priv_X''
+:: entschlüsselt ''enc(z)'' mit seinem privaten Schlüssel ''Priv_X''
-:: Nichts leichter als das, hier ist die Zufallszahl: ''Z''
+:: "Nichts leichter als das, hier ist die Zufallszahl: ''Z''"
 * ''Server:''
-:: ''Prüft, ob Z wirklich Z ist''
+:: Prüft, ob Z wirklich Z ist
-:: Prima, ich lass dich jetzt rein.
+:: "Prima, ich lass dich jetzt rein."
 Das ist grob das Prinzip, das Zeigt, warum der Server den Client vorher nicht kennen muss und sich trotzdem Sicher sein kann, mit dem Client zu reden. Um jetzt noch Angriffe vom Man-in-the-Middle auszuschliessen ist das Protokoll ein wenig komplizierte, worauf ich an dieser Stelle nicht eingehen möchte.
 Auch hat der Client die Möglichkeit das selbe Verfahren noch mal mit dem Server durchzuführen, um sicher zu stellen, dass er auch wirklich mit dem Server verbunden ist.
 === User sperren ===
 Das ist eine nicht so triviale Sache, denn der User hat ja das Zertifikat und der Server kennt den User ja gar nicht. Will man nun einen User sperren, erzeugt die CA eine sogenannte Certificate Revocation List (CRL). Da steht dann drin:

@@ Zeile 18: / Zeile 18: @@
 ''(das habe ich in diesem Tutorial nicht gemacht, da ich selber der einzige Nutzer bin, ich habe nur verschiedene Geräte, eventuell werde ich später auch einmal schildern, wie man das machen kann, dass die Clients ihre Schlüssel selber erzeugen)''
 * Die CA hat die Aufgabe einen öffentlichen Schlüssel an eine Identität zu binden, das ist das Zertifikat. <BR>
-Ein Zertifikat für einen User enthält in meinem Beispiel die folgenden Informationen:
+:Ein Zertifikat für einen User enthält in meinem Beispiel die folgenden Informationen:
 :: Seriennummer 3:
 :: Ich die CA bestätige, dass
@@ Zeile 26: / Zeile 26: @@
 :: Diese Aussage ist gültig von 1.1.2010 bis zum 1.1.2011
 :: ''Unterschrift der CA''
-Dieses Zertifikat iwur unterschrieben mit dem privaten Schlüssel der CA und jeder, der den öffentlichen Schlüssel der CA kennt, kann dieses Zertifikat prüfen. Erstellen und Verändern kann man es nur mit dem privaten Schlüssel der CA.<BR>
+:Dieses Zertifikat iwur unterschrieben mit dem privaten Schlüssel der CA und jeder, der den öffentlichen Schlüssel der CA kennt, kann dieses Zertifikat prüfen. Erstellen und Verändern kann man es nur mit dem privaten Schlüssel der CA.<BR>
-Es gibt auch nocht Zertifikate für den VPN-Server und die CA selber, das Zertifikat der CA besagt:
+:Es gibt auch nocht Zertifikate für den VPN-Server und die CA selber, das Zertifikat der CA besagt:
 :: Seriennummer 1:
 :: Ich die CA bestätige, dass
@@ Zeile 35: / Zeile 35: @@
 :: Diese Aussage ist gültig von 1.1.2010 bis zum 1.1.2020
 :: ''Unterschrift der CA''
-Das Zertifikat des Servers besagt:
+:Das Zertifikat des Servers besagt:
 :: Seriennummer 2:
 :: Ich die CA bestätige, dass

@@ Zeile 21: / Zeile 21: @@
 :: Seriennummer 3:
 :: Ich die CA bestätige, dass
-:: der öffentlichen Schlüssel X
+:: der öffentlichen Schlüssel ''Pub_X''
-:: dem User Y gehört.
+:: dem User ''Y'' gehört.
-:: Der User Y ist aus Deutschland, NRW, Bochum, Firma local, Abteilung it
+:: Der User ist aus Deutschland, NRW, Bochum, Firma local, Abteilung it
 :: Diese Aussage ist gültig von 1.1.2010 bis zum 1.1.2011
 :: ''Unterschrift der CA''
@@ Zeile 30: / Zeile 30: @@
 :: Seriennummer 1:
 :: Ich die CA bestätige, dass
-:: der öffentlichen Schlüssel Z
+:: der öffentlichen Schlüssel ''Pub_Z''
 :: mir selber gehört.
 :: Ich bin aus Deutschland, NRW, Bochum, Firma local, Abteilung it
@@ Zeile 38: / Zeile 38: @@
 :: Seriennummer 2:
 :: Ich die CA bestätige, dass
-:: der öffentlichen Schlüssel S
+:: der öffentlichen Schlüssel ''Pub_S''
-:: Dem VPN-Server gehört.
+:: Dem VPN-Server ''S'' gehört.
 :: Der VPN-Server ist aus Deutschland, NRW, Bochum, Firma local, Abteilung it
 :: Diese Aussage ist gültig von 1.1.2010 bis zum 1.1.2015
 :: ''Unterschrift der CA''
 === Zertifikatsbasierte Anmeldung ===
 Soll nun eine Verbindung zu einem VPN-Server aufgebaut werden geht das im Prinzip so: