OpenVPN - neue Zertifikate

Danke für die ausführliche Beschreibung – das Problem ist ein Klassiker bei älteren OpenVPN-Versionen in Kombination mit modernen EasyRSA-Zertifikaten.

---

## 🔍 Problem 1: `VERIFY nsCertType ERROR: CN=Name, require nsCertType=SERVER`

Dieser Fehler tritt auf, weil:

* **OpenVPN v2.3.6** erwartet noch ein **`nsCertType=server`**-Attribut im Server-Zertifikat.
* **EasyRSA 3.x** generiert dieses Feld **standardmäßig nicht mehr** – es ist veraltet, wurde aber in neueren OpenVPN-Versionen durch `extendedKeyUsage=serverAuth` ersetzt.

---

### ✅ **Lösung für EasyRSA 3.x (modern):**

Damit OpenVPN 2.3.6 das Zertifikat akzeptiert, musst du beim Erstellen des Server-Zertifikats dieses Flag setzen:

```bash
easyrsa --subject-alt-name="..." build-server-full server1 nopass  
```

Und vorher in der Datei `x509-types/server` (in deinem EasyRSA-Verzeichnis) folgendes hinzufügen:

```text
# EasyRSA x509-type: server

basicConstraints = CA:FALSE
nsCertType = server
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
```

> Wichtig: `nsCertType = server` muss explizit rein, **damit v2.3.6** das akzeptiert.

---

### Alternative: Upgrade auf OpenVPN ≥2.4.x

* OpenVPN ab Version 2.4 akzeptiert `extendedKeyUsage` und benötigt `nsCertType` nicht mehr.
* Empfehlung: Update durchführen, wenn möglich – auch aus Sicherheitsgründen.

---

## 🔍 Problem 2: Fehler mit `.rnd` in EasyRSA 2.x (2014)

Der Fehler:

```
Can't load ...easy-rsa/.rnd into RNG  
RAND_load_file:Cannot open file
```

### ✅ Lösung:

Die `.rnd`-Datei wird vom alten `openssl.exe` erwartet, existiert aber nicht. Erstelle sie manuell:

#### Variante 1 – über PowerShell:

```powershell
cd "C:\Program Files\OpenVPN\easy-rsa"  
[System.IO.File]::WriteAllBytes(".rnd", (1..1024 | ForEach-Object {Get-Random -Maximum 256}))  
```

#### Variante 2 – mit OpenSSL direkt:

```cmd
openssl rand -out .rnd -hex 1024
```

Dann kannst du erneut versuchen:

```cmd
build-key client1
```

> Achtung: `build-key` braucht `-x509` und `-days` korrekt kombiniert – ggf. via `build-key`-Script aufrufen, **nicht direkt mit openssl**.

---

## 🔄 Empfehlung (sicher und nachhaltig):

1. **OpenVPN auf v2.4.x oder 2.5.x** updaten.
2. **EasyRSA 3.0.4 beibehalten**.
3. `nsCertType = server` temporär ins `x509-types/server` für den Übergang aufnehmen.
4. Auf längere Sicht: **NSCertType endgültig auslaufen lassen** – modernere Clients/Server benötigen das nicht mehr.

---

Wenn du willst, kann ich dir die passende `vars`-Datei, ein aktualisiertes `x509-types/server`-Profil oder ein genaues Schritt-für-Schritt-Skript liefern – sag einfach, welchen Weg du gehen willst (alt beibehalten oder auf neue Versionen migrieren).