Opennet CA/CA Cert Renewal 2023: Unterschied zwischen den Versionen

Inhalt gelöscht Inhalt hinzugefügt

Inline

Version vom 3. Juni 2023, 18:03 Uhr

Sub-CAs laufen Ende 2023/Anfang 2024 ab, siehe Opennet CA und Benutzer:MathiasMahnke/CA Cert Renewal 2013
wir müssen diese erneuern + alle daraus abgeleiteten Zertifikate
Entscheidung über CA Parameter - erledigt durch Mathias (mittels xca)
Sub-CA Resign
Prüfen, ob abgelaufene OpenVPN Zertifikate überhaupt die Funktion beeinträchtigen
- ja, laut vertrauenswürdigen Internetquellen ist die Zertifikatsablaufprüfung ein integraler nicht umgehbarer Bestandteil von OpenVPN (https://superuser.com/questions/1521168/how-to-allow-some-expired-client-certificates-in-openvpn)

angenommen: neu CAs sind generiert

erstelle neues server-ca-bundle (einfach neue CA Zertifikate hinzufügen)
Server: server-ca-bundle auf OpenVPN Server einspielen. OpenVPN muss neuen CAs vertrauen.
AP: für alle APs neues Zertifikat erstellen (mit neuer CA)
AP: Zertifikat auf AP konfigurieren/aktiviere
AP: neues certificate-bundle einspielen/kopieren (on-certificates)
als letztes neues Zertifikat auf VPN Server einspielen (nachdem alle APs umgestellt sind)

index.txt Rebuild: https://forums.openvpn.net/viewtopic.php?t=9999
CA crt Dateien exportieren und ca-bundle erstellen
wenn jetzt neues client crt neu erstellt wird, sollte dieses selbst mit der alten CA funktionieren, weil die private keys der CAs sich nicht geändert haben
erst in Opennet CA (amano) alles ersetzen
dann auf Servern die ca certchain ersetzen mit ansible (hier sollten alle VPN Verbindungen weiter funktionieren)
? service discovery hat damals https genutzt (mit unserer ca) aber wollten wir auf http (unencrypted) umstellen
jetzt können wir Server Zertifikate ausstellen und in Betrieb nehmen
einige Opennet AP Zertifikate erneuern/austauschen
Beginn großflächig Nutzer-APs umstellen
wir sollten den Standardprozess nutzen (neues Zertifikat auf dem AP generieren und dieses dann von neuer CA signieren)
testen, ob bei alten+neuen Firmware der "Generate" Button für neue Schlüsselerzeugung funktioniert, trotz vorhandem Key
Idee: Felder vorausfüllen (Emailadresse & co)

@@ Zeile 18: / Zeile 18: @@
 * als letztes neues Zertifikat auf VPN Server einspielen (nachdem alle APs umgestellt sind)
+* Entscheidung: Seriennummern nicht übernehmen
-index.txt Rebuild: https://forums.openvpn.net/viewtopic.php?t=9999
+* root CA 5 Jahre verlängert (Ende 2037)
+* alle CAs wurden verlängert (resign) von aktualisierter root CA
+* index.txt Rebuild: https://forums.openvpn.net/viewtopic.php?t=9999
+* CA crt Dateien exportieren und ca-bundle erstellen
+* wenn jetzt neues client crt neu erstellt wird, sollte dieses selbst mit der alten CA funktionieren, weil die private keys der CAs sich nicht geändert haben
+* erst in Opennet CA (amano) alles ersetzen
+* dann auf Servern die ca certchain ersetzen mit ansible (hier sollten alle VPN Verbindungen weiter funktionieren)
+* ? service discovery hat damals https genutzt (mit unserer ca) aber wollten wir auf http (unencrypted) umstellen
+* jetzt können wir Server Zertifikate ausstellen und in Betrieb nehmen
+* einige Opennet AP Zertifikate erneuern/austauschen
+* Beginn großflächig Nutzer-APs umstellen
+* wir sollten den Standardprozess nutzen (neues Zertifikat auf dem AP generieren und dieses dann von neuer CA signieren)
+* testen, ob bei alten+neuen Firmware der "Generate" Button für neue Schlüsselerzeugung funktioniert, trotz vorhandem Key
+* Idee: Felder vorausfüllen (Emailadresse & co)