Meus clientes openvpn conectam-se ao servidor apenas com arquivos .ovpn + ca.crt

Question

Eu pergunto se meus clientes se conectam ao servidor openvpn através de dois arquivos apenas: client.ovpn e ca.crt, esta conexão é segura? Algum problema de segurança neste mecanismo aí? A conexão é criptografada?

Sabendo que:

1. Os clientes podem se conectar sem problemas ou avisos,
2. O cliente OpenVPN deve se conectar ao servidor através desses quatro arquivos: client.crt client.key ca.crt client.ovpn,
3. client.ovpn como mostrado:

client
dev tun0
proto tcp
remote IP PORT
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
# cert client.crt
# key client.key
remote-cert-tls server
;tls-auth ta.key 1
cipher AES-128-CBC
comp-lzo
verb 3
auth-user-pass pass

Configuração do servidor:

port port 
proto tcp 
dev tun0 
ca ca.crt 
cert server.crt 
key server.key 
dh dh2048.pem 
server P.P.P.P 255.255.255.0 
ifconfig-pool-persist ipp.txt 
push "dhcp-option DNS 8.8.4.4" push "dhcp-option DNS 8.8.8.8" 
cipher AES-128-CBC 
comp-lzo 
persist-key persist-tun 
status openvpn-status.log verb 3 
client-cert-not-required 
plugin /usr/lib/openvpn/openvpn-plugin-auth-pam.so login 

    

Answer 1

Na configuração do servidor, você tem as seguintes linhas:

client-cert-not-required 
plugin /usr/lib/openvpn/openvpn-plugin-auth-pam.so login 

client-cert-not-required tem a seguinte descrição de man openvpn :

Don't require client certificate, client will authenticate usingu sername/password only. Be aware that using this directive is less secure than requiring certificates from all clients.

O plugin requer autenticação contra o PAM.

Os dados são criptografados quando transitam a VPN. Isso é mostrado pela linha cipher AES-128-CBC , que especifica qual criptografia usar. AES é geralmente considerado seguro.

Se você considerar isso seguro o suficiente, depende do que você está tentando proteger e da qualidade das senhas. Não há uma resposta única para isso; você precisa definir as ameaças que você considera aplicáveis e qual segurança é aceitável .

Manter uma autoridade de certificação e distribuir certificados pode ser mais trabalhoso do que distribuir senhas. Isso depende da sua configuração. Isso também dificulta a configuração da VPN em um novo computador, já que você precisa seguramente trazer a chave relativamente longa para esse computador. A segurança diminuída da autenticação de senha pode ser uma troca válida nesse aspecto.

TL; DR: Depende.