Tekniikka/OpenVPN

OpenVPN

Asiakaspään asetukset

Asiakaspään asetustiedosto on varmennekorttikohtainen. Sitä ei voida muodostaa ellei käyttäjältä saada perustietosivulla esitettyä tulostetta varmennekortin varmenteista joista selviää Serialized id -kentän arvo joka on ns rautapolku varmenteeseen ja vaihtelee jopa samalla käyttäjällä kortin vaihtuessa.

log /var/log/openvpn
client 
dev tun
proto udp

remote 111.222.111.222 1194

resolv-retry infinite
nobind
persist-key
persist-tun

ca /srv/sys/pki/service.ca.cert.pem

pkcs11-providers /usr/lib64/pkcs11/onepin-opensc-pkcs11.so
pkcs11-id 'VRK\x2DFINEID/PKCS\x2315/4600015067524093/HENKILOKORTTI\x20\x28perustunnusluku\x29/45'
pkcs11-pin-cache 300

auth-retry nointeract
management 127.0.0.1 8888
management-query-passwords

comp-lzo
verb 4

Virheilmoituksia

CKR_FUNCTION_FAILED

PKCS#11: Cannot add provider 6-'CKR_FUNCTION_FAILED

CKR_FUNCTION_FAILED virhe johtuu dynaamisen DLL/so -kirjaston latausvirheestä. Tämä voi johtua joko väärästä polusta tai eri binääri arkkitehtuurista, esimerkiksi OpenVPN ohjelmisto on 64-bittinen versio ja argumenttina annettu kirjasto 32-bittinen.

Virhe voi myös johtua laitteiston pääsyoikeuksista, Windows käyttöjärjestelmässä paikallisten laitteiden käyttöä ei oletuksena sallita ellei käyttäjä ole kirjautunut myös paikallisesti sisään eikä esimerkiksi etäistunnosta.

PKCS#11: Cannot deserialize id 19-'CKR_ATTRIBUTE_VALUE_INVALID'

Varmennetta osoittava URL deserialisointi epäonnistuu pkcs11-helper kirjastossa. Tämä tapahtuu mm virolaisella varmennekortilla jossa URL on liian pitkä ja kentän pituus on rajattu 16 merkkiin. Koko OpenVPN ei noudata RFC7512 speksiä jossa tämä on määritelty.

• https://community.openvpn.net/openvpn/ticket/491
• https://tools.ietf.org/html/rfc7512
  • https://tools.ietf.org/html/draft-pechanec-pkcs11uri-16
• https://bugzilla.redhat.com/show_bug.cgi?id=1516474

Katso myös

• OpenVPN loppukäyttäjän ohjeet