openvpn 服务吊销客户端证书操作步骤

admin

吊销客户端证书​

当我们创建了多个用户使用，然后某些原因，个别用户需要禁用的时候，我们就可以使用吊销证书的方式来处理。

首先在你的OpenVPN服务器上0

( n' A% }) S3 l4 _4 S

先备份文件：
! a5 a: P! Z+ x7 F3 }cp /data/openvpn/easy-rsa-server/pki/crl.pem{,.bak}  我们这里不用使用备份。
7 p, t' l% t* {$ l5 W  
然后再执行下面的操作：

./easyrsa revoke <client>  # 要吊销的客户端名

( V7 s5 q0 Q6 D. ]: q0 r0 q: F示例：
  c6 N. S, o& }7 w[root@vpnserver easy-rsa-server]# ./easyrsa revoke longrui

# z: @" y1 T7 c2 h8 P  `6 O; XNote: using Easy-RSA configuration from: /data/openvpn/easy-rsa-server/vars
3 h. P1 u: }' z$ d+ ?  M9 ^, \Using SSL: openssl OpenSSL 1.0.2k-fips  26 Jan 2017
: B& R+ ^  ~+ E3 [' b6 u- @+ r+ R
& _) P1 h5 R7 I# r# }# P! Q8 x2 dEasy-RSA error:

Unable to revoke as the input file is not a valid certificate. Unexpected
input in file: /data/openvpn/easy-rsa-server/pki/issued/longrui.crt
3 [% s4 ~; O9 @; |! E+ L" u0 n
$ A. ~& c- P% K8 `9 J./easyrsa gen-crl    # 生成crl.pem文件，用来记录吊销的证书
! W. D' ^% P% i  o5 f- B示例：
[root@vpnserver easy-rsa-server]# ./easyrsa gen-crl

Note: using Easy-RSA configuration from: /data/openvpn/easy-rsa-server/vars
9 p( w4 u4 G( C$ {  }  Z$ oUsing SSL: openssl OpenSSL 1.0.2k-fips  26 Jan 2017
Using configuration from /data/openvpn/easy-rsa-server/pki/easy-rsa-5235.iIUYZT/tmp.kofT2G

An updated CRL has been created.
CRL file: /data/openvpn/easy-rsa-server/pki/crl.pem
  `" R# h% `' n: _' c, q  W& \
- r. ^" L, r6 y! W+ Q8 ?( x( L接下来操作：
cat /data/openvpn/easy-rsa-server/pki/crl.pem >> /data/openvpn/easy-rsa-server/pki/crl.pem.bak
编辑server.conf文件，插入一行：

0 P3 S+ Z/ T4 o; ~  h###告知服务端有哪些证书是被吊销的
5 A1 S4 j! N% D0 e' w: l# hcrl-verify /data/openvpn/easy-rsa-server/pki/crl.pem.bak

+ O1 ^* t5 \7 Y5 r6 C2 ~0 w
# 用来告知服务端有哪些证书是被吊销的
4 r3 {9 _+ N7 f+ g& u- `/ ]" i' {
重启下vpn服务
& k2 O7 C. c9 N: H3 r