openvpn 服务吊销客户端证书操作步骤

admin

吊销客户端证书​

当我们创建了多个用户使用，然后某些原因，个别用户需要禁用的时候，我们就可以使用吊销证书的方式来处理。

首先在你的OpenVPN服务器上0

先备份文件：
& \7 p: O4 ]( C7 Fcp /data/openvpn/easy-rsa-server/pki/crl.pem{,.bak}  我们这里不用使用备份。
; _1 j2 Z! F& X  \, ~  
" o# H4 u; F3 m4 R% u9 b% x3 i0 }) q$ y然后再执行下面的操作：

./easyrsa revoke <client>  # 要吊销的客户端名

( M" m4 c1 F, i- B& e5 f( z2 `示例：
[root@vpnserver easy-rsa-server]# ./easyrsa revoke longrui
! E& Z9 F; |& M9 @( {6 ~
Note: using Easy-RSA configuration from: /data/openvpn/easy-rsa-server/vars
* z$ y2 v/ x3 y( hUsing SSL: openssl OpenSSL 1.0.2k-fips  26 Jan 2017

Easy-RSA error:
8 N3 Z6 ~& N0 T0 T
Unable to revoke as the input file is not a valid certificate. Unexpected
input in file: /data/openvpn/easy-rsa-server/pki/issued/longrui.crt

./easyrsa gen-crl    # 生成crl.pem文件，用来记录吊销的证书
4 V) k( o6 O3 {+ ?; t示例：
[root@vpnserver easy-rsa-server]# ./easyrsa gen-crl

3 S4 A) x) H# \, TNote: using Easy-RSA configuration from: /data/openvpn/easy-rsa-server/vars
' S* S* C+ W- y4 c" N7 }Using SSL: openssl OpenSSL 1.0.2k-fips  26 Jan 2017
7 k0 e0 d3 f" |/ @, l& C) [# p1 SUsing configuration from /data/openvpn/easy-rsa-server/pki/easy-rsa-5235.iIUYZT/tmp.kofT2G

An updated CRL has been created.
CRL file: /data/openvpn/easy-rsa-server/pki/crl.pem
2 M3 I: G8 u# V  i/ P( @: @
接下来操作：
cat /data/openvpn/easy-rsa-server/pki/crl.pem >> /data/openvpn/easy-rsa-server/pki/crl.pem.bak
编辑server.conf文件，插入一行：

###告知服务端有哪些证书是被吊销的
$ {3 h7 @. ^: ~) tcrl-verify /data/openvpn/easy-rsa-server/pki/crl.pem.bak
- y7 }2 S% F) h' s2 z$ T
3 k- U- S+ p% L. ?+ B- C9 S( Y% `
# 用来告知服务端有哪些证书是被吊销的
% Q) V" ?- G6 {0 ^* r7 g8 R" L
重启下vpn服务
/ ?% N; j: T5 V
$ H" S" O9 I# Z+ V3 L3 \8 a* l

/ `1 F1 \! u! J
5 ~- `4 x& W6 {6 O- o. e. F# Q