Le certificat OpenVPN n'a pas d'extension d'utilisation clé

Question

Après la mise à jour à OpenVPN V2.4.7 et OpenSSL 1.1.1c sur Arch Linux, je ne peux pas vous connecter au serveur que j'ai précédemment utilisé:

➜  untangle-vpn Sudo openvpn --verb 11 --config ./config.ovpn
Fri Jun  7 21:46:11 2019 OpenVPN 2.4.7 [git:makepkg/2b8aec62d5db2c17+] x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [PKCS11] [MH/PKTINFO] [AEAD] built on Feb 19 2019
Fri Jun  7 21:46:11 2019 library versions: OpenSSL 1.1.1c  28 May 2019, LZO 2.10
Fri Jun  7 21:46:11 2019 TCP/UDP: Preserving recently used remote address: [AF_INET]XX.XXX.XXX.XXX:XXXX
Fri Jun  7 21:46:11 2019 UDP link local: (not bound)
Fri Jun  7 21:46:11 2019 UDP link remote: [AF_INET]XX.XXX.XXX.XXX:XXXX
Fri Jun  7 21:46:11 2019 Certificate does not have key usage extension
Fri Jun  7 21:46:11 2019 OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed
Fri Jun  7 21:46:11 2019 TLS_ERROR: BIO read tls_read_plaintext error
Fri Jun  7 21:46:11 2019 TLS Error: TLS object -> incoming plaintext read error
Fri Jun  7 21:46:11 2019 TLS Error: TLS handshake failed

Les personnes qui gérant notre serveur VPN semblent peu susceptibles de réinitialiser mes certificats avec une extension d'utilisation de clé à tout moment.

Puis-je sauter une vérification de l'extension d'utilisation de la clé?

Ma configuration actuelle:

➜  untangle-vpn head -n 15 ./config.ovpn
client
resolv-retry 20
keepalive 10 60
nobind
mute-replay-warnings
remote-cert-tls server
comp-lzo
verb 1
persist-key
persist-tun
explicit-exit-notify 1
dev tun
proto udp
port 1194
cipher AES-128-CBC

Answer 1

Oui, retirez le remote-cert-tls server option.

(Ou si vous souhaitez toujours vérifier l'extension "Utilisation de la clé étendue", mais pas "Utilisation de la clé", remplacez l'option avec remote-cert-eku "TLS Web Server Authentication" Comme indiqué dans la page manuelle de OpenVPN.)

   --remote-cert-tls client|server
          Require  that  peer certificate was signed with an explicit key usage and
          extended key usage based on RFC3280 TLS rules.
          [...]
          The  --remote-cert-tls  server  option  is equivalent to --remote-cert-ku
          --remote-cert-eku "TLS Web Server Authentication"