Pessoal peço desculpas mas faltou um detalhe, o script /usr/local/bin/criacertificado.sh deve ter os atributos para execução, chmod +x /usr/local/bin/criacertificado.sh

Muito bom o artigo. Porém...
Não é recomendado o envio de certificados de acesso à VPN por um meio inseguro como o e-mail.
Saudações!

Obrigado Fernando,

A idéia de receber por email é para que você receba em sua conta e repasse para a pessoa que vai utilizar eliminando o acesso por scp oou ftp para baixar os certificados, mas muito boa observação.

opa.. belo artigo.
parabéns !!!
alguém pode me ajudar numa estrutura onde tenho matriz e filiais
tenho maquinas com linux na matriz e nas filias.. todas rodando OpenVPN
fazendo as regras do roteamento eu consigo das filiais pingar maquinas da rede da matriz... porém da matriz eu nao consigo ir até as maquinas das filiais... isso só acontece se eu implementar a VPN usando certificados...se eu uso chaves estáticas isso não acontece.
alguém sabe o que pode seR ?

Nariz,
Observe as configuracoes do ccd (client-config-dir), configure esta opcao corretamente no servidor, indicando o arquivo correspondente do certificado do cliente e neste as suas configuracoes de rede. Asssim o proprio OpenVPN fara o roteamento nos kerneis tanto do cliente quanto do servidor. Da uma pesquisada que vc vai conseguir, valew!

Bom dia amigo, estou com dúvida no seguinte. Na empresa em que trabalho, estou implementando vpn na matriz e nas filiais. a dúvida fica por conta desse arquivo de configuração. Tenho o seguinte cenário:

Matriz: a internet chega no roteador com ip fixo (201.26.75.xx), do roteador sai um cabo de rede pro meu servidor, que tem uma placa de rede apenas. Meu servidor tem o ip 192.168.1.100, mascara de rede 255.255.255.0, gateway 192.168.1.1 (que é o ip do meu roteador) e os dns 201.138.10.xx e 201.138.10.xx). Instalei o Suse Server 11.2.

Filial: a internet chega no roteador com ip dinamico, e de la sai cabo de rede pro terminal, a única coisa que muda é o ip da máquina que é 192.168.1.10. Nessa máquina é XP.

A dúvida é, nesse arquivo de configuração: o que eu preenche na linha server, nalinha push "route" e por ser xp os terminais, essa linha client-dir-conf nao terá que ser diferente?

port 1194
proto tcp-server
dev tun
ca /etc/easy-rsa/keys/ca.crt
cert /etc/easy-rsa/keys/<certificado server>.crt
key /etc/easy-rsa/keys/<certificado server>.key # This file should be kept secret
dh /etc/easy-rsa/keys/dh1024.pem
server <rede para a VPN> <Mascara de rede> # Aqui é definido a rede para a conexão VPN
ifconfig-pool-persist ipp.txt
push "route <rota da sua rede> <Mascara de rede>" # Aqui Adicione a rede da sua empresa ou a rede que sera acessada pela VPN
client-config-dir /etc/openvpn/clientconf
keepalive 10 120
cipher DES-EDE3-CBC
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn-status.log
log /var/log/openvpn.log
verb 3

Boa noite Fernando,

Na linha push route você deve colocar "192.168.1.0 255.255.255.0" mas não vai funcionar neste modelo que você passou você tem que ter uma rede diferente na sua filial, Ex.: 192.168.0.0/24 , porque da forma que esta você vai conseguir acessar sua matriz pois toda vez que as máquinas da filial(192.168.1.xxx) tentarem acessar a matriz (192.168.1.xxx) o roteador da filial vai procurar nas tabelas de roteamento e vai tentar procurar o ip localmente pois a rede é a mesma.

Amigo me tire uma duvida, tenho q criar todos os certificados caso coloque mais um cliente, ou somente a criacao do certificado do cliente já basta enviando para ele o ca.crt, cliente.crt e cliente.key?
é isso mesmo, ou vou ter que criar todos os certificados novamente e enviar para os clientes?

eu fui criar os certificados ta dando esse erro:

pkitool: Need a readable ca.crt and ca.key in /etc/easy-rsa/keys
Try pkitool --initca to build a root certificate/key.

pode me dizer o q fiz errado, digitei os comandos:
. ./vars
./clean-all
./build-key cliente000

???