[GELÖST] Neuvorstellung / Zertifikate

[NUeB]

Guten Tag & Hallo,

ich beobachte das OPNsense Projekt bereits seit der ersten heise Meldung, habe endlich gestern auf einem PC Engines apu1d4 OPNsense (OpenSSL, serial, amd64) installiert — ich bin begeistert! Dafür, dass es meine erste Installation eines BSD Abkömmlings und noch dazu auf einem Rechner ohne Monitoranschluss war, ging es erfeulicherweise sehr glatt in einem Rutsch durch.

Nichtsdestotrotz habe ich meinen Installations–Ablauf dokumentiert, die erste Bestellung für einen Bekannten auch einen Router aufzusetzen, liegt bereits vor. 

Zum webConfigurator default Zertifikat: wird dies während der Installation individuell erzeugt oder gilt hier "ein Zertifikat für alle Installationen"? — Im zweiten Fall wäre es dann doch sicherer und IMHO angeraten, meinen Router unter /system_certmanager.php?act=new ein neues Zertifikat erstellen zu lassen, nicht?

TIA,
Marcus

[fabian]

Wenn ich den Code hier richtig verstanden habe, generiert er ein Zertifikat wenn es fehlt:
https://github.com/opnsense/core/blob/4294e773c17ab784188d6dbcf5a41e9142b2ee75/src/etc/inc/system.inc#L960

[franco]

Hi Marcus,

Willkommen und schon mal viel Spaß hier.

Fabian hat das schon richtig gesagt: das Zertifikat wird beim ersten Boot erstellt, da es nicht in der Standardkonfiguration ist. Du kannst natürlich jederzeit ein neues Zertifikat erstellen.

Das Standardzertifikat läuft in einem Jahr ab und bietet hoffentlich noch sinnvolle Standardeinstellungen. Falls nicht, sollten wir das ändern für das nächste Image...


Gruss
Franco

[NUeB]

Danke Euch beiden. Es sieht nach Arbeit aus ... das Zertifikat ist nämlich schon abgelaufen:

 webConfigurator default

CA: Yes, Server: No    self-signed     ST=Zuid-Holland, O=OPNsense, L=Middelharnis, C=NL 
     Valid From:    Mon, 15 Dec 2014 20:51:15 +0100
     Valid Until:    Tue, 15 Dec 2015 20:51:15 +0100 

[franco]

Die Erstellung des Zertifikats nimmt sich die aktuelle Systemzeit als Startzeitpunkt, darauf muss es sich verlassen, auch wenn es nicht stimmt. War das Board vorher in Benutzung oder geparkt?

[NUeB]

Das Board habe ich neu gekauft, zur Systemzeit vor der Installation kann ich nichts genaues sagen: Das coreboot-BIOS hat mir beim Hochfahren zwar Press F10 key now for boot menu  angeboten, doch hat das Terminalprogramm (screen im gnome-terminal)  die Funktionstaste nicht durchgereicht, weshalb ich dort keine Einstellungen vorgenommen hatte. Die OPNsense Installation hat die "Mondzeit" dann stillschweigend übernommen.

Ist wohl einfach dumm gelaufen, für weitere Installationen suche ich mir ein Terminalprogramm, das die F-Tasten durchreicht.

[NUeB]

Noch eine Frage: Ich habe eigene CA & Zertifikat erstellt, finde aber beim besten Willen im Webcontrol nicht, wie ich OPNsense beibringe, dies (erstmal primär fürs HTTPS) zu verwenden. Wo ist diese Einstellung zu finden?

[fabian]

Der Punkt sollte Administratorzugang heißen und im Menü System -> Einstellungen zu finden sein.

[NUeB]

Super, vielen Dank! 

OPNsense (& hier) gefällt mir immer noch besser ... 

[franco]

Hatten wir auch schon mal sporadisch mit Boxen und falschem Datum. Kommt nicht oft vor, aber meistens dann, wenn es stört.