Questions sur le VPN...

[sebastien133]

Bonjour, <BR> <BR>1°) Le manuel d'Eric Faure demande de créer les certificats "à la main". Pourquoi? Est-ce que les clés .crt crées par MNF automatiquement ne fonctionnent pas avec un Windows? Quel est la différence entre un .crt et un .pem? <BR> <BR>2°) J'essaie de créer la signature du certificat de l'autorité et je reçois le message d'erreur suivant : <BR> <BR>[root@firewall misc]# ./CA.sh -sign <BR>Using configuration from /usr/lib/ssl/openssl.cnf <BR>Enter PEM pass phrase: <BR>newreq.pem: No such file or directory <BR>16689:error:02001002:system library:fopen:No such file or directory:bss_file.c:245:fopen('newreq.pem','r') <BR>16689:error:20074002:BIO routines:FILE_CTRL:system lib:bss_file.c:247: <BR>Signed certificate is in newcert.pem <BR> <BR>A noter que je me trouve dans le répertoire /usr/lib/ssl/misc et non /usr/lib/ssl comme décrit dans la documentation et que le fichier newcert.pem s'appelle cacert.pem et se trouve dans un répertoire /usr/lib/ssl/misc/demoCA/. <BR> <BR>Je suis perdu et j'aurai besoin d'un coups de pouce pour m'y retrouver... <BR> <BR>Merci d'avance. <BR> <BR>Sebastien133.

[beuzz]

salut .. <BR> <BR>pour info moi aussi c dans misc .. <BR>

[beuzz]

je pensais avoir réussi sans difficultées pour les certificats mis à part l'erreur d'eric dans le chemin .. <BR> <BR>par curiosité et n'ayant toujours pas réussi à utiliser ce <IMG SRC="images/smiles/icon_cussing.gif"> de vpn je suis allé regarder si j'avais le même problême et c bien le cas !! .. <BR> <BR>je vais me replonger là dedans alors ! .. <BR>

[sebastien133]

Qu'est ce que c'est que cette étape 2 : Signature du certificat de l'autorité? <BR> <BR>Moi, j'ai fini par la sauter... <BR> <BR>Qu'as-tu fait à ce sujet, Beuz?

[beuzz]

quelle version de la doc d'eric faure as tu ?? <BR> <BR>la 1.04 ?? <!-- BBCode auto-link start --><a href="http://faure.free.fr/Download/pdf/mnf_vpn.pdf" target="_blank">http://faure.free.fr/Download/pdf/mnf_vpn.pdf</a><!-- BBCode auto-link end --> ?? <BR>

[beuzz]

dans son doc c'est l étape 3 .. <BR>tu devrais avoir généré l'autorité de certification (./CA.sh -newca) <BR>ensuite tu génére le cert du firewall (./CA.sh -newreq) <BR>puis tu le signe (./CA.sh -sign) <BR> <BR>peut être acit tu manqué une étape ? !

[Atomos]

Je remonte unn vieux post ... mais j'ai le meme probleme, exactement le meme, pas moyen de signé le certif !!!

[louis]

Bonjour,

La doc est faite pour la version 8.2 de la MNF, les chemins d'accès sont donc corrects.
La version de la doc à utiliser est la 1.03 (bien qu'il y est qq erreurs sur les noms de fichiers générés).

1°) Le manuel d'Eric Faure demande de créer les certificats "à la main". Pourquoi? Est-ce que les clés .crt crées par MNF automatiquement ne fonctionnent pas avec un Windows? Quel est la différence entre un .crt et un .pem?

Non, c'est plutôt la certification qui n'est pas reconnue.
Il n'y a aucune différence entre un fichier .crt et .pem si ce n'est l'extention.

Qu'est ce que c'est que cette étape 2 : Signature du certificat de l'autorité?

Moi, j'ai fini par la sauter...

Si le certificat de l'autorité n'est pas signé, cela ne marchera pas.

[root@firewall misc]# ./CA.sh -sign
Using configuration from /usr/lib/ssl/openssl.cnf
Enter PEM pass phrase:
newreq.pem: No such file or directory
16689:error:02001002:system library:fopen:No such file or directory:bss_file.c:245:fopen('newreq.pem','r')
16689:error:20074002:BIO routines:FILE_CTRL:system lib:bss_file.c:247:
Signed certificate is in newcert.pem

Ce problème est à résoudre en premier lieu. Réinstaller le package ssl par exemple.

[louis]

Re.

Pour le problème de répertoire, avez-vous bien effectué ce que j'appelle dans la doc, la 'Pré-configuration des certificats' ?

PRE-CONFIGURATION DES CERTIFICATS

Sous Linux en super utilisateur :

>cd /usr/lib/ssl/misc
>cp CA.sh ..
>cd ..
>vi openssl.cnf

Rechercher la chaîne ‘default_bits’ et changer la valeur 1024 en 2048. Cela codera les clefs des certificats sur 2048 bits.
Rechercher la chaîne ‘default_days’ et changer la valeur 365 en 3650. Cela rend tous les certificats générés valides pendant 10 ans.

>vi CA.sh

Rechercher la chaîne ‘DAYS’ et changer la valeur 365 en 3650. Cela rend l’autorité de certification valide pendant 10 ans.

Vous devez alors vous servir de l'exécutable CA.sh se trouvant dans le répertoire /usr/lib/ssl et non plus celui de /usr/lib/ssl/misc !!!