在 Linux OpenVPN 服務端吊銷客戶端證書，linuxopenvpn

在 Linux OpenVPN 服務端吊銷客戶端證書，linuxopenvpn

OpenVPN服務器與 VPN 客戶端之間的身份驗證, 主要是通過證書來進行的。有時我們需要禁止某個用戶連接 VPN 服務器，則將其證書吊銷即可。要吊銷(Revoke) OpenVPN 客戶端證書， (以 Linux 系統為例。Windows 下的大同小異):

1. 進入 OpenVPN 安裝目錄的 easy-rsa 子目錄。例如我的為 /etc/openvpn/easy-rsa/:

cd /etc/openvpn/easy-rsa

2. 執行 vars 命令

. vars

3. 使用revoke-full命令，吊銷客戶端證書。命令格式為：

revoke-full

是VPN 客戶端證書的用戶名稱。例如：

./revoke-full client1(用戶名)

這條命令執行完成之後， 會在 keys 目錄下面， 生成一個crl.pem 文件，這個文件中包含了吊銷證書的名單。

加密的內容

成功注銷某個證書之後，可以打開　keys/index.txt 文件，可以看到被注銷的證書前面，已標記為R．

4. 確保服務端配置文件打開了 crl-verify 選項

在服務端的配置文件 server.conf 中，加入這樣一行：（Server.conf在 /etc/openvpn  下面）

crl-verify crl.pem

如果 server.conf 文件和 crl.pem 沒有在同一目錄下面，則 crl.pem 應該寫絕對路徑，例如: （crl.pem移動至openVPN目錄下即可）

crl-verify /openvpn/easy-rsa/keys/crl.pem

5. 重啟 OpenVPN 服務。

service openVPN restart