openvpn: список доверенных сертификатов на сервере

у меня паранойя, что кто-то украдёт мой ca и наштампует себе ключей...
есть ли где-то на сервере список доверенных клиентов, как authorized_keys в openssh'е?
если есть, то тыкните носом в доки...

и ещё заодно маленький соцопрос:
есть ли тут другие параноики, среди местных, которые генерят клиентские сертификаты на клиентских тачках, а потом посылают их на сервер для подписи?

ca key вынеси из сервера на дискету.)) И в сейф её.

"Macumazan" написал:

ca key вынеси из сервера на дискету.)) И в сейф её.

хочу, чтобы ключи можно было по ssh подписывать... а так придётся строить робота, который будет открывать сейф... а робота могут побить и ограбить.... ... ...да и сейфа у меня нет=(

На момент подписи можно ключ по scp закинуть, или взять через его через sshfs. Да хотя бы easy-rsa вынести на другую машину.

"Macumazan" написал:

На момент подписи можно ключ по scp закинуть, или взять через его через sshfs. Да хотя бы easy-rsa вынести на другую машину.

это всё понятно.... ssh — условно безопасен...

да, важный момент, подписывать надо будет в [полу]автоматическом режиме, скриптом, который удалённо запускает специально обученная мартышка... это увеличивает шанс того, что будут существовать подписанные но левые сертификаты...

так что больше всего хочу услышать ответ на первый вопрос...
я не верю, что в опенвпне нет опции «запретить всем, кроме белого списка избранных», но убедительных свидетельств обратного или руководств, как это сделать я не нашёл...

Openvpn поддерживает pam, так что можно для большей убедительности раздать к сертиификатам еще и логины с паролями. А к pam можно прикруть однразовые пароли, смс и всё такое.

"Macumazan" написал:

Openvpn поддерживает pam, так что можно для большей убедительности раздать к сертиификатам еще и логины с паролями. А к pam можно прикруть однразовые пароли, смс и всё такое.

к сожалению, мимо кассы... клиенты автономные...

+ гипотетически, к ним могут даже могут получить доступ злоумышленник...
отзыв сертификатов эту проблему конечно решает постфактум, но мне это не очень нравиться... т.к. вероятно существование поддельных сертификатов, то хотелось бы управлять белым списком, а не чёрным... и вернулись на старые рельсы...

да,хочу извинится... сам не люблю, когда люди чего-то не договаривают, когда просят поддержки, но по другую сторону стены непонимания тоже не так радужно находиться...

Я, наверное, не очень понял идею.

клиенты автономные... и, гипотетически, к ним могут даже могут получить доступ злоумышленник...

То как в этом случае должен выглядеть белый список, что бы не допустить злоумышленника?

"Macumazan" написал:

То как в этом случае должен выглядеть белый список, что бы не допустить злоумышленника?

две разные мысли склеились =) поправил....