OpenVPN Zertifikat pro User oder Allgemein

dumme Frage: gibt es für OpenVPN im Verbund mit PfSense eigentlich eine 2 Faktor Authentifizierung?

Naja die Antwort hast du dir bereits selbst gegeben. Sicherheitstechnisch fährst du mit einem persönlichen Zertifikat am Besten. Der Verwaltungsaufwand ist vielleicht am Höchsten, aber Sicherheit ist in der IT das A und O.

Gruß, Andi

Das hängt ja auch von deinen Leuten ab. Persönliche Zertifikate lohnen natürlich nur dann wenn die Leute die auch persönlich halten. Wenn die den Rechner eh direkt an die Kollegen geben oder ggf. die Mail mit dem zertifikat einfach weiterleiten um dafür zu sorgen das Kollege X im Urlaub auch mal eben Zugriff haben kann bringt das an der Stelle wenig. Einen großen Vorteil hast du dennoch wenn Kollege X mal wieder kleinlaut am Schreibtisch steht und beichtet das er das Laptop/das Telefon/den USB-Stick mit den Daten verloren hat. Dann brauchst du nicht _allen_ Kollegen ein neues Zertifikat geben. Grade die Kollegen die in dem Moment unterwegs sind werden sich freuen weil hier das Henne-Ei-Problem entsteht (ich brauche das neue Zertifikat um an das VPN zu kommen. Das Zertifikat liegt aber auf einem Server für den ich VPN benötige...)

Ist halt immer die Frage wie weit du gehen willst und was deine Leute mitmachen...

Pro User eins... Guckst du hier:
OpenVPN Server installieren auf pfSense Firewall, Mikrotik. DD-WRT oder GL.inet Router

Der tiefere Sinn dahinter ist das wenn ein User sein Zertifikat vergisst oder verliert oder was auch immer, du das dann per User entfernen kannst.
Bei einem globalen musst du es für alle User ändern wenn nur einer mal ein Fehler macht.
Von der Sicherheit jetzt noch gar nicht mal geredet....

Inwiefern kann man ein Zertifikat verlieren oder vergessen?? Du meinst wenn man von fremden Computern connected?

z.B. der User hat das Zertifikat zusätzlich auf einem nicht verschlüsselten USB-Stick gespeichert. Möglichkeiten gibt es viele.