LINUX.ORG.RU
решено Форум — Admin  

Восстановить затёртый ca.key

 


0

2

За сервере с работающим openVPN был запущен ./build-ca который затёр ca.key и ca.crt.

Теперь новых клиентов невозможно добавить, а те которые есть будут работать до перезапуска сервера, так как openvpn сохранил у себя в памяти содержимое предыдущего ca.key.

Вопрос: реально ли как-нибудь из памяти работающего процесса openvpn достать содержимое ca.key?

Заменить всем сертификаты это, конечно, вариант, но уж больно это долго.

← поделитесь опытом запуска mysql в chroot
Установка deb со всеми зависиомостями одной командой? →

OpenVPN держит файлы сертификатов открытыми? Если да, загляните в ls -l /proc/$(pidof openvpn-server)/fd/

AITap ★★★★★
()
Ответ на: комментарий от AITap

Это я первым делом проверил. ca.key он открытым не держит.

LinuxUser ★★★
() автор топика

сделать core dump всей памяти процесса, потом найти содержимое файла при помощи gdb :)

Harald ★★★★★
()

Бэкап, чувак - ТОЛЬКО БЭКАП! :-(

no-dashi ★★★★★
()
Ответ на: комментарий от Harald

Хорошая идея. Жаль только gdb я совсем чуть-чуть умею пользоваться и debug info для openvpn в Debian нет.
Вообщем сгенерил новые ключи и сертификаты, заодно устаревший e-mail поменял.

LinuxUser ★★★
() автор топика
Ответ на: комментарий от LinuxUser

а вот с точки зрения безопасности лучше приватный ключ не бэкапить, чтоб не было потенциальной возможности похитить его из бэкапа

Harald ★★★★★
()
Ответ на: комментарий от Harald

Да. Но как показывает практика — важнее чтоб всё работало, а уже потом безопасность.
А бэкапы, кстати, можно делать на шифрованном разделе.

LinuxUser ★★★
() автор топика
Ответ на: комментарий от LinuxUser

А бэкапы, кстати, можно делать на шифрованном разделе.

более того, их можно делать в удаленный шифрованный контейнер (сути конечно не меняет)

xtraeft ★★☆☆
()
Ответ на: комментарий от Harald

Не обязательно бэкапить куда-то. Можно в том же каталоге сделать копию ca.key.bkp_date, те же условия доступа, что и у оригинального файла. Зато помогает если случайно удалил. Достаточно будет просто переименовать файл копии.

Deleted
()
Ответ на: комментарий от LinuxUser

«все админы делятся на 2 вида»... продолжение шутки найдешь сам :-)

Pinkbyte ★★★★★
()
Ответ на: комментарий от Harald

бэкапить на винт, винт в сейф/под подушку/в сундук с ловушкой-бомбой, какие проблемы?

Pinkbyte ★★★★★
()

нереально т.к. его там нет

ca.key используется только для генерации ключей, для работы сервера нужен ca.crt

kpush ★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← поделитесь опытом запуска mysql в chroot
Admin
Установка deb со всеми зависиомостями одной командой? →