OpenVPN使用PKCS#12文件介绍

一. 前言

        PKCS#12，全称是“Public Key Cryptography Standards #12”，是一种文件格式，用来存储多个证书和私钥的集合，它是由RSA Laboratories发布的公钥加密标准之一。PKCS#12文件通常的扩展名为.p12或.pfx标识。

        PKCS#12出现的背景与数字证书的普及与安全的存储的需求有关。它提供了一种安全的方式打包秘钥材料（包括私钥，公钥证书，以及证书链），并且可以设置密码保护，防止未经授权的用户访问私钥，在网络安全意识不断增强的今天，PKCS#12成为了一种广泛使用的标准格式，用以便携式的方式管理和分发个人的加密材料。

        本文将根据OpenVPN SSL/TLS方式连接其中使用的证书，介绍OpenVPN如何使用PKCS#12文件。

二. 操作步骤

1. 生成PKCS#12文件

        下面将根据证书ca.crt，客户端证书cllient.crt，客户端私钥client.key生成客户端的PKCS#12文件，openssl命令如下：

openssl pkcs12 -export -out client.p12 -inkey client.key -in client.crt -certfile ca.crt

        以上命令将根据ca.crt，client.crt和client.key生成client.p12文件。输完命令后，将会提示输入密码，如果不想设置密码，直接按回车就可以了。

2. 编辑OpenVPN配置文件

        OpenVPN支持--pkcs12选项，该选项就是用来指定pkcs12文件，所以OpenVPN配置文件如下：

client
dev tun
proto udp
remote 134.175.70.145 1194        
resolv-retry infinite
nobind
#ca ca.crt
#cert client.crt
#key client.key

pkcs12 client.p12
askpass pkcs12_pw.txt

verb 3
persist-key
comp-lzo no

        以上配置文件中，pkcs12 client.p12就是用来指定PKCS#12文件，client.p12文件中包含了ca.crt，client.crt和client.key。如果生成client.p12文件时输入了密码，则需要--askpass选项，该选项用来解密client.p12文件，pkcs12_pw.txt文件中保存着加密client.p12的密码。如果client.p12没有被加密，则不需要--askpass选项。

3. 连接OpenVPN服务器

        根据如上配置，就可以连接到OpenVPN服务器。

三. 总结

        本文介绍了PKCS#12文件的作用：由于PKCS#12文件打包了证书和私钥等一系列文件，使得它便于保存，又由于PKCS#12可以被加密，使得它便于分发给到其他人，所以，PKCS#12文件的出现降低了维护加密材料的难度。最后介绍了OpenVPN使用PKCS#12文件的方式。