OpenVPN Server Export failed

[UKe]

Hallo,
ich nutze schon länger OpenVPN mit 2FA.
Mit den userbezogenen OVPN-Exports kann sich nur der jeweilige User anmelden. Wenn ich den "OpenVPN-Server" -Export nutze, können sich verschiedene User am selben Gerät anmelden. Soweit klar.
Nun habe ich 3 OPNsense Firewalls mit LDAP/MS AD angebunden (Version 26.4 bzw. 26.7).
Die userbezogenen Verbindungen funktionieren wie gewohnt.
Starte ich aber den Client-Export von "OpenVPN-Server", bekomme ich auf allen 3 Geräten die Fehlermeldung "Certificate does not belong to server CA".
Das ist ja korrekt. Die OpenVPN-CA hat keinen Issuer.
Was stimmt hier nicht?
Wo liegt mein Denk-Fehler?

Vielen Dank!
Uwe

[viragomann]

Starte ich aber den Client-Export von "OpenVPN-Server"

Hallo, was möchtest du damit bezwecken?
Die Seite heißt Client Export und ist vorgesehen, um Client-Konfigurationen von Remote Access Servern zu exportieren. Ich bin bislang noch nicht auf die Idee gekommen, da eine Server-Konfig zu exportieren.

[UKe]

Hallo und danke für die Rückmeldung.
Wahrschenlich beschreibe ich das falsch.

Ich nutze OpenVPN mit User, Passwort + TOTP auf Android Tablets für mehrere User (jeder mit eigenen Zugangsdaten).
Damit das funktioniert, nehme ich dort das allgemeine OpenVPN-Server-Profil ohne integrierte Nutzerzertifikate.


Genau dieser Export funktioniert jetzt auf 3 OPNsense nicht mehr mit der genannten Fehlermeldung.


Ich vermute, dass das mit der Umstellung der OPNsense auf LDAP-User zusammen hängt.
Ich sehe aber nicht den Fehler und wie ich das anders machen könnte.

Viele Grüße
Uwe

[Patrick M. Hausen]

Was musst du denn da exportieren? Client-Konfiguration ist doch nur eine Textdatei, und die ist für alle gleich, wenn ich dich richtig verstanden habe.

[viragomann]

Damit das funktioniert, nehme ich das allgemeine OpenVPN-Profil ohne Nutzerzertifikate.

https://paul-kernchen.de/20260917a.png
Genau dieser Export funktioniert jetzt auf 3 OPNsense nicht mehr mit der o.g. Fehlermeldung.

Das ist der Server selbst.

Was du suchst, ist vermutlich eins drüber: "(none) Exclude certificate from export".

[Patrick M. Hausen]

Bitte binde keine Bilder von externen Seiten ein sondern häng diese direkt im Forum an deinen Post. Danke.

[UKe]

Bitte binde keine Bilder von externen Seiten ein sondern häng diese direkt im Forum an deinen Post. Danke.

Sorry, das ist mir nicht gelungen, darum die umständliche Methode.
"Insert Image" erlaubt nur eine URL, wie kann ich da eine lokale Datei einfügen?

[UKe]

Was musst du denn da exportieren? Client-Konfiguration ist doch nur eine Textdatei, und die ist für alle gleich, wenn ich dich richtig verstanden habe.

Ja, die ist für alle gleich, sonst funktioniert das ja nicht für alle User.
Ich habe mal in eine .ovpn-Datei geschaut, die ich noch habe.
Sie enthält:
- die OVPN Verbindungsdaten (Remote IP usw.)
- das OpenVPN Zertifikat
- das CA-Zertifikat
- den Private Key
- den TLS Static Key
Also so ganz trivial ist das nicht.

Ich habe es jetzt versucht, auf einer anderen OPNsense ohne LDAP zu exportieren. Geht auch nicht.
Offenbar funktioniert das überhaupt nicht mehr?

Grüße Uwe

[UKe]

Was du suchst, ist vermutlich eins drüber: "(none) Exclude certificate from export".

Sorry, den Satz habe ich glatt überlesen.
Aber ja doch! :-)
Wahrscheinlich suche ich genau das.
Ich werde es morgen testen und berichten.

Danke schon mal!
Uwe

[Patrick M. Hausen]

Bitte binde keine Bilder von externen Seiten ein sondern häng diese direkt im Forum an deinen Post. Danke.

Sorry, das ist mir nicht gelungen, darum die umständliche Methode.
"Insert Image" erlaubt nur eine URL, wie kann ich da eine lokale Datei einfügen?

So zum Beispiel 😉

[viragomann]

BTW: Ich würde mir wünschen, Bilder über die Zwischenablage einfügen zu können, wie das auf vielen anderen Plattformen auch seit Jahren schon geht.
Einen Screenshot erst zu speichern und dann hochladen, das lokale Bild dann zu löschen, ist doch etwas kompliziert.

[UKe]

So zum Beispiel 😉

OK, mein Ehrgeiz ist geweckt, ich habe die KI gefragt.
1. der Insert-Image-Button ist unbrauchbar, man muß unter den Artikel auf "Click to Upload .." klicken
2. Quick Reply ist unbrauchbar, denn hier gibt es diesen Button nicht.
Also intuitiv ist das wirklich nicht.
Aber jetzt hab ich es kapiert, danke! ;-)