Agora que já temos tudo configurado, precisamos gerar os certificados do servidor para que ele consiga emitir e validar os certificados dos clientes.

Entre no diretório /etc/openvpn/easy-rsa. Aqui dentro você verá vários shell-scripts diferentes, todos relacionados com a criação de certificados SSL. Primeiro, edite o arquivo vars. Ele contém algumas variáveis que devem ser modificadas:

• KEY_COUNTRY: coloque BR para Brasil;
• KEY_PROVINCE: coloque a sigla do seu estado (SP, por exemplo);
• KEY_CITY: coloque o nome ou sigla da sua cidade;
• KEY_ORG: coloque o nome da sua empresa;
• KEY_EMAIL: coloque o email do administrador do servidor.

Estas variáveis são utilizadas durante a criação de todos os certificados do sistema e devem sempre ser informadas corretamente. Salve o arquivo e faça o seguinte:

# . ./source vars

Ele irá executar o arquivo vars, definindo todas as variáveis de ambiente necessárias para os outros scripts que serão executados. Depois:

# ./clean-all

Este arquivo irá limpar o diretório /etc/openvpn/easy-rsa/keys (se você não tiver modificado o padrão do arquivo vars). Depois:

# ./build-ca

Este script demora um pouco para executar, geralmente você pode aceitar todos os padrões que ele oferece (que são lidos das variáveis definidas no vars). Ele cria uma autoridade certificadora que valida certificados e emite certificados com permissão de conectar no servidor. NUNCA apague o arquivo gerado pelo script. Se o fizer, todos os certificados já emitidos não terão permissão para conectar no servidor novamente e você vai precisar emitir todos novamente.

Agora já temos uma autoridade certificadora. Vamos gerar o certificado do servidor e dos clientes.

Para gerar o certificado do servidor:

# ./build-key-server servidor

Lembre-se de substituir "servidor" pelo nome do seu servidor. Aceite todos os padrões, mas em "Common name" coloque o nome do seu servidor. Logo após, ele oferece incluir uma senha no certificado. Pode deixar isso em branco. Dessa parte em diante, quando o script te fizer perguntas, sempre responda afirmativamente com "y".

Para gerar os certificados para os clientes execute o script build-key:

# ./build-key cliente01

Serão feitas todas as perguntas que foram feitas quando você executou o build-key-server. Responda todas adequadamente e lembre-se de responder com "y" as últimas duas perguntas ou o certificado não será adicionado ao BD de certificados válidos. Lembre-se de trocar "cliente01" pelo nome que você quer que o arquivo do certificado tenha.

Para revogar um certificado e fazer com que ele não consiga mais se conectar ao servidor faça o seguinte:

# cd /etc/openvpn/easy-rsa/
# . ./vars
# ./revoke-full cliente01

Para completar a operação, é necessário reiniciar o OpenVPN. Lembrando que isso só é necessário quando você quiser evitar que um determinado certificado consiga se conectar ao servidor.

Depois, gere a chave DH que permite que o cliente e servidor envolvidos na conexão troquem certificados de forma segura e cifrada, confirmando suas identidades:

# ./build-dh

Este script também demora um pouco, dependendo do equipamento onde você está executando. Todos os certificados são criados em /etc/openvpn/keys, se você não tiver modificado o padrão do script vars, editado anteriormente. Dentro deste diretório, pode ser que você encontre arquivos com a extensão .csr. Todos eles podem ser removidos pois são apenas requisições de certificados.