OpenVPN Server mit DD-WRT

Zertifikatsbasierter OpenVPN Server unter DDWRT

Hier eine Anleitung um einen OpenVPN Server unter DDWRT einzurichten.

Voraussetzungen

• Router mit DDWRT Firmware mit VPN Unterstützung, ich nutze v24-sp2 (10/10/09) mega (SVN revision 13064)
• XCA Zertifikatsverwaltung, ich nutze die Windows Version Version : 0.8.1

PKI erzeugen

Hier werden Schlüssel und Zertifikate erzeugt.

= XCA laden und installieren

• Zuerst XCA hier herrunterladen.
• Dann XCA installieren, das kann wohl jeder selbst.
• XCA Starten

Datenbank anlegen

XCA speichert alle Schlüssel und Zertifikate in einer Datenbank, die zuerst angelegt werden muss, was mit Datei/New Database initiiert wird. Dann einen Namen für die Datenbank angeben und ein Passwort vergeben. Nur mit dieser Datei und dem Passwort kann man später Veränderungen vornehmen, also gut merken. Achtung: Das Passwort aber auch nicht zu leicht wählen, denn wer die Datei und Passwort hat erzeugt sich selber Zertifikate und kann sich dann auch am VPN-Server anmelden (ohne Veränderungen am VPN-Server vornehmen zu müssen - das ist übrigens der Sinn der Zertifikate)

XCA Optionen

Unter Datei/Optionen SHA-256 als Standard Hash Algorithmus einstellen.

Templates erstellen

Damit man später vieles einfacher hat legen wir nun zuerst Templates an. Kann man drüber streiten, ob das für die CA und die Server sinnvoll ist, für die Clients lohnt es sich auf jeden Fall. Unter der Lasche Vorlagen den Knopf Neues Template und dann zuerst die CA Vorlage:

• Preset Template Values: CA
• Besitzer
  • Interner Name: Vorlage_CA
  • Länder Code: DE
  • Bundesland, Kreis: NRW (bzw. Euer Bundesland)
  • Ort: BOCHUM (bzw. Euren Ort)
  • Firma: local
  • Firmenabteilung: it
  • Üblicher Name: (leer lassen)
  • E-Mail Adresse: xca@mail.com (oder die eigene Adresse)
• Erweiterungen
  • Zeitspanne: 10 Jahre

Dann die Vorlage für den Server:

• Preset Template Values: HTTPS_server
• Besitzer
  • Interner Name: Vorlage_Server
  • Länder Code: DE
  • Bundesland, Kreis: NRW (bzw. Euer Bundesland)
  • Ort: BOCHUM (bzw. Euren Ort)
  • Firma: local
  • Firmenabteilung: it
  • Üblicher Name: (leer lassen)
  • E-Mail Adresse: xca@mail.com (oder die eigene Adresse)
• Erweiterungen
  • Zeitspanne: 5 Jahre

Zuletzt die Vorlage für die Clients:

• Preset Template Values: HTTPS_client
• Besitzer
  • Interner Name: Vorlage_Client
  • Länder Code: DE
  • Bundesland, Kreis: NRW (bzw. Euer Bundesland)
  • Ort: BOCHUM (bzw. Euren Ort)
  • Firma: local
  • Firmenabteilung: it
  • Üblicher Name: (leer lassen)
  • E-Mail Adresse: xca@mail.com (oder die eigene Adresse)
• Erweiterungen
  • Zeitspanne: 365 Tage

Zertifikate erstellen

Jetzt können wir die Zertifikate erstellen, dabei erzeugen wir gleichzeitig die Schlüssel. Wir fangen an mit dem Root-Zertifikat, dazu unter der Lasche Zertifikate den Knopf Neues Zertifikat.

• Herkunft
  • Erstelle ein Selbst signiertes Zertifikat mit der Seriennummer 1
  • Signatur algorithmus SHA-256
  • Vorlage für das neue Zertifikat: Vorlage_CA
  • Knopf Übernehmen drücken (das füllt die restlichen Felder mit denen der Vorlage aus)
• Besitzer
  • Interner Name: root_ca
  • Länder Code: DE
  • Bundesland, Kreis: NRW
  • Ort: BOCHUM
  • Firma: local
  • Firmenabteilung: it
  • Üblicher Name: root_ca
  • E-Mail Adresse: xca@mail.com
• Knopf Erstelle einen neuen Schlüssel drücken
  • Name: root_ca_key
  • SchlüsselTyp: RSA
  • Schlüssellänge: 1024 bit (auch 2048 bit sind möglich, benötigen dann aber mehr Speicher im NVRAM des Routers)
• Knopf Erstelle einen neuen Schlüssel drücken
• Erweiterungen
  • Zeitspanne: 10 Jahre
• Nochmal unter Herkunft den Signatur algorithmus prüfen
  • Signatur algorithmus SHA-256
  • OK