close Warning: Can't synchronize with repository "keplertools" (/srv/svn/keplertools does not appear to be a Subversion repository.). Look in the Trac log for more information.

Opened 9 years ago

Closed 8 years ago

Last modified 8 years ago

#2856 closed Defekt (bleibt so)

OpenVPN-Zertifikate von neueren SSL-Varianten nicht mehr akzeptiert

Reported by: Rüdiger Kupper Owned by: netzwerk
Priority: bald erledigen Milestone: Schuljahr 2018/19
Component: Ich kenne die passende Komponente nicht. Severity: beeinträchtigt den Unterricht einiger Lehrer
Keywords: Cc:

Description (last modified by Rüdiger Kupper)

Neuere SSL-Varianten akzeptieren keine OpenVPN-Zertifikate mehr, die den Signaturalgorithmus MD5 nutzen. Leider sind unsere Zertifikate solche.

Das hat zur Folge, dass etwa nach dem Update auf Ubuntu 18.04 LTS die Zertifikate nicht mehr akzeptiert werden. Vermutlich trifft das selbe auf neuere Windows-Varianten zu.

Wie kann man den Signaturalgorithmus ändern? Ist das in der Linuxmusterlösung konfigurierbar, bzw. ist das Problem dort bekannt?

Vorübergehender Workaround für Ubuntu 18.04

Network-Manager hat eine Konfigurationsoption, auch unsichere Algorithmen zu akzeptieren. Die ist aber nicht über das GUI zugänglich:

  • Datei: /etc/NetworkManager/system-connections/<VPN-Name> mit root-Rechten bearbeiten
  • in der Sektion [vpn] folgende Zeile hinzufügen: 
    tls-cipher=DEFAULT:@SECLEVEL=0

Nach einem systemctl restart NetworkManager kann man die Verbindung herstellen.

Das kann aber keine dauerhafte Lösung sein.

Change History (10)

comment:1 by bau, 9 years ago

Ich habe bei mir auch den MD5 wieder zugelassen.
OpenVPN wird von linuxmuster.net nicht mehr supportet.

comment:2 by Rüdiger Kupper, 9 years ago

Wie regeln die denn dann den Zugang von außen?

comment:3 by bau, 9 years ago

Bei OpenVPN ging es hauptsählich um WLAN.
Keine Ahnung, ob ein Zugang von Außen angeboten wird.

comment:5 by Rüdiger Kupper, 8 years ago

Gibt's hier einen Fortschritt?

comment:6 by bau, 8 years ago

Ich habe mein lokales OpenVPN so umgestellt, dass das tut.

comment:7 by Rüdiger Kupper, 8 years ago

Ja, ich auch. Doch wenn ich richtig verstehe, bedeutet dieser Eintrag mit dem "@", dass das Zertifikat überhaupt nicht geprüft wird. Nicht gerade optimal.

comment:8 by Rüdiger Kupper, 8 years ago

Resolution: → bleibt so
Status: new → closed

comment:9 by Rüdiger Kupper, 8 years ago

Description: modified (diff)

comment:10 by bau, 8 years ago

Wir betreiben im grauen Netz erfolgreich einen OpenVPN-Server mit easy-RSA.
Testen, ob das auch auf dem ipFire möglich ist.

Note: See TracTickets for help on using tickets.