OpenVPN Endian Site-To-Site tls-error, reconnecting

AdminBaun

Ich versuche eine Site-To-Site Verbindung zu einer Endian Firewall herzustellen.

Nach einem Neustart gibt der OpenVPN Client einen TLS Handshake Fehler und kann sich nicht verbinden.

Man geht unter VPN -> OpenVPN -> Client -> Edit
und speichert die Konfig wie sie ist nochmal ab, danach ist der VPN up und funktioniert.

reconnecting; tls-error

May 19 11:09:39 openvpn 10803 SIGUSR1[soft,tls-error] received, process restarting
May 19 11:09:39 openvpn 10803 TLS Error: TLS handshake failed
May 19 11:09:39 openvpn 10803 TLS Error: TLS object -> incoming plaintext read error
May 19 11:09:39 openvpn 10803 TLS_ERROR: BIO read tls_read_plaintext error
May 19 11:09:39 openvpn 10803 OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed
May 19 11:09:39 openvpn 10803 Certificate does not have key usage extension
May 19 11:09:39 openvpn 10803 UDPv4 link remote: [AF_INET]XXX.XXX.XXX.XXX:1194
May 19 11:09:39 openvpn 10803 UDPv4 link local (bound): [AF_INET]XX.X.X.XXX:0
May 19 11:09:39 openvpn 10803 TCP/UDP: Preserving recently used remote address: [AF_INET]XXX.XXX.XXX.XXX:1194
May 19 11:09:39 openvpn 10803 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts

Die Zeiten der Server sind korrekt aufeinander abgestimmt.

viragomann

@adminbaun said in OpenVPN Endian Site-To-Site tls-error, reconnecting:

May 19 11:09:39 openvpn 10803 Certificate does not have key usage extension

Das Problem habe ich schon öfter hier gesehen, aber Lösungen eigentlich immer nur auf Serverseite.

Hier ist ein Redmine Ticket dazu:
https://redmine.pfsense.org/issues/13056

Auf der Seite werden zwei Patches genannt, die beide installiert werden sollen: 48cf54f850c5bf4fe26a8e33deb449807e71c204, 47f2f4060d9e5b71c5c69356b61191fd2931383c

Ob das aber auch am Client hilft, weiß ich nicht.
In deinem Fall beklagt sich der Client, dass im gelieferten Server-Zertifikat die "Key Usage Extension" fehlt. Die kannst du natürlich nur am Server hinzufügen.
Falls das nicht möglich ist, lässt sich aber vielleicht am Client die Überprüfung deaktivieren, ev. mit diesen Patches.