pfSense: Zertifikate für OpenVPN-Benutzer widerrufen
Kommt es zum Verlust des persönlichen Zertifikats samt Schlüssel und schlimmstenfalls auch noch der Zugangsdaten für OpenVPN, sollten die Zugangsdaten, ggf. der TLS Key als auch das oder die Benutzerzertifikat/e ausgetauscht werden.
Benutzername und Kennwort lassen sich leicht im “User Manager” ändern. Der “TLS Key” kann für den betreffenden OpenVPN-Server neu generiert werden. Die Zertifikate können allerdings nicht einfach gelöscht werden, vielmehr muss im “Certificate Manager” eine Certificate Revocation List (CRL, Zertifikatswiderrufsliste/-sperrliste) angelegt und die betreffenden Zertifikate dort hinzugefügt werden. Anschließend kann man für die betroffenen Benutzer neue Zertifikate ausstellen und die Bindung zu den widerrufenen Zertifikaten entfernen.
CRL anlegen
- Im Web-Interface der pfSense auf “System – Cert. Manager” klicken.
- Zu “Certifikate Revocation” wechseln.
- Auf “Add or Import CRL” klicken.
- Die Voreinstellung belassen oder ggf. den eigenen Vorstellungen entsprechend anpassen und auf “Save” klicken.
Zertifikate widerrufen/sperren
- Die zuvor angelegte CRL bearbeiten.
- Das betreffende Zertifikate auswählen, ggf. den Grund für den Widerruf auswählen und auf “Add” klicken.
CRL in OpenVPN einbinden
Damit die CRL vom OpenVPN-Server berücksichtigt wird, muss diese eingebunden werden.
- Auf “VPN – OpenVPN” klicken.
- Unter “Servers” den gewünschten OpenVPN-Server bearbeiten.
- Bei “Peer Certificate Revocation list” die zuvor erstellte CRL auswählen.
- Auf “Save” klicken.
Quelle:
IT Blog – How to revocate user certificate on pFSense (OpenVPN)
Verheiratet, Vater von zwei Kindern, eines an der Hand, eines im Herzen. Schon immer Technik-Freund, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen.