Как создать pki с помощью easy-rsa?
easy-rsa можно не ставить, это просто набор скриптов. Возьмите их в репе OpenVPN https://github.com/OpenVPN/easy-rsa/archive/master.zip:wget https://github.com/OpenVPN/easy-rsa/archive/master.zip
unzip master.zip
Затем
Перейти в каталог easyrsa3 и объявить для него переменные:cd ~/easy-rsa-master/easyrsa3
cp ~/easy-rsa-master/easyrsa3/vars.example ~/easy-rsa-master/easyrsa3/vars
Инициализировать PKI (Public Key Infrastructure — Инфраструктура открытых ключей):./easyrsa init-pki
Создать корневой сертификат. Обязательно ввести сложный пароль и Common Name сервера, например my vpn server:./easyrsa build-ca
Создать ключи Диффи-Хелмана:./easyrsa gen-dh
Создать запрос на сертификат для сервера OVPN. Обращаю внимание, что сертификат будет незапаролен (параметр nopass), иначе при каждом старте OpenVPN будет запрашивать этот пароль:./easyrsa gen-req vpn-server nopass
Создать сам сертификат сервера OVPN:./easyrsa sign-req server vpn-server
Скопировать полученные ключи в рабочий каталог openvpn:mkdir -p /etc/openvpn/keys
cp ~/easy-rsa-master/easyrsa3/pki/ca.crt /etc/openvpn/keys
cp ~/easy-rsa-master/easyrsa3/pki/issued/vpn-server.crt /etc/openvpn/keys
cp ~/easy-rsa-master/easyrsa3/pki/private/vpn-server.key /etc/openvpn/keys
cp ~/easy-rsa-master/easyrsa3/pki/dh.pem /etc/openvpn/keys
Создать «HMAC firewall» для защиты от DoS аттак и флуда UDP порта:cd /etc/openvpn/keys/
openvpn --genkey --secret ta.key
Запустить openvpn:/etc/init.d/openvpn startОтсюда
build-ca и прочие скрипты были во 2 версии easy-rsa, в третьей только один скрипт - easyrsa, но с теми же параметрами. easy-rsa - это надстройка над openssl, просто скрипт, автоматизирующий операции.
Я с 3 версией дела не имел, как-то все время попадалась 2 версия. Откройте скрипт в текстовом редакторе, там обычно довольно внятные комментарии. Имея инструкцию для 2 версии можно ее достаточно легко адаптировать к 3 версии, я так думаю. Скрипт vars так и остался с предыдущей версии. В vars инициализируете переменные для генерации ключей, которые будут использоваться в основном скрипте.
PS: не так давно настраивал OpenVPN для винды, комплект брал с сайта разработчика, там еще были скрипты второй версии. Но для винды скрипты easy-rsa всегда требовали доработки напильником.