OpenVPN - Authentifizierung Zertifikat Android

[justkidding]

Hallo zusammen,

ich möchte gerne den openvpn-server der Synology nutzen (DS213j).
Funktioniert soweit auch ganz gut mit Benutzername und Passwort.
Allerdings würde ich das gerne auf Zertifikat umstellen, weil sicherer. Mein NAS ist bereits über ddns von außen erreichbar und hat auch schon ein mit meiner Domäne signiertes Zertifikat installiert.
Da es sich dabei um ein SSL-Zertifikat handelt und openvpn auf die openssl Schnittstelle setzt ist mein Wunsch dieses Zertifikat auch für die Verbindung mit openvpn zu nutzen.
Ich habe dazu schon einiges gelesen aber leider bin ich immernoch total überfordert. Kann mir bitte jemand erklären wie ich dieses Zertifikat für die Anmeldung am openvpn Server verwenden kann?
Ich möchte für den Zugriff ein Android Gerät mit openvpn for Android nutzen. Kann mir bitte jemand erklären wie ich auf dem Android ein client Zertifikat erstellen kann und mich mit diesem gegen das Server Zertifikat authentifizeren kann?
Versteh ich es richtig, dass ich dann vollständig auf username und Passwort Eingabe verzichten kann und trotzdem gut geschützt bin? Da ich mein vpn per tasker je nach Standort aufbauen möchte ist es mir wichtig dass die Verbindung möglichst automatisiert statt findet ohne dass ich eingreifen muss. Aber ohne die Sicherheit zu vernachlässigen - sicherheit ist mir wichtiger als der Automatismus.

Danke euch und viele Grüße
Justkidding

 

[Frogman]

Hintergründe und Anleitungen zur Erstellung von Client-Zertifikaten findest Du problemlos mit einer Suche bei der Suchmaschine Deiner Wahl. Beispielhafte Ergebnisse findest Du hier oder auch hier. Aus Sicherheitsgründen ist dabei aber ein weiteres Mittel zur Authentifikation sinnvoll, bspw. ein Passwort - ansonsten kommt jeder, der bei der Kompromittierung des Client-Rechners an das Client-Zertifikat gelangt, ohne weitere Hürden in Dein Netz und an Deine Daten.

 

[justkidding]

Danke dir für deine schnelle Antwort. Die beiden links die du besucht hast hatte ich schon besucht und auch abgespeichert. Ich hatte mich dazu auch schon eingelesen aber überall nur openssl Befehle gefunden oder die Beschreibung, wie man das unter Windows einrichtet. Aber ich glaube ich habe das ganze Thema falsch verstanden. Ich bin bisher davon ausgegangen, dass man für jedes Gerät auf dem man dem Zugang verwenden möchte ein eigenes gerätespezifisches Zertifikat benötigt. Sowie ich es jetzt verstehe muss das client Zertifikat einmalig, egal unter welchem Betriebssystem, erstellt werden und gilt dann für jedes Gerät auf dem ich dieses Zertifikat ablege oder?
Wenn ich das Client Zertifikat zusätzlich mit einem Passwort schütze werde ich bei jedem VPN Aufbau nach diesem gefragt oder? Das jeweilige Passwort des VPN Users ist dann irrelevant?
Sorry, ich komme bei dem Thema noch sehr schnell durcheinander...