hoe doe ik dit voor easyrsa 3 ?

Setting up your own Certificate Authority (CA) and generating certificates and keys for an OpenVPN server and multiple clients
Overview

The first step in building an OpenVPN 2.x configuration is to establish a PKI (public key infrastructure). The PKI consists of:

 a separate certificate (also known as a public key) and private key for the server and each client, and
 a master Certificate Authority (CA) certificate and key which is used to sign each of the server and client certificates. 

OpenVPN supports bidirectional authentication based on certificates, meaning that the client must authenticate the server certificate and the server must authenticate the client certificate before mutual trust is established.

Both server and client will authenticate the other by first verifying that the presented certificate was signed by the master certificate authority (CA), and then by testing information in the now-authenticated certificate header, such as the certificate common name or certificate type (client or server).

This security model has a number of desirable features from the VPN perspective:

 The server only needs its own certificate/key -- it doesn't need to know the individual certificates of every client which might possibly connect to it.
 The server will only accept clients whose certificates were signed by the master CA certificate (which we will generate below). And because the server can perform this signature verification without needing access to the CA private key itself, it is possible for the CA key (the most sensitive key in the entire PKI) to reside on a completely different machine, even one without a network connection.
 If a private key is compromised, it can be disabled by adding its certificate to a CRL (certificate revocation list). The CRL allows compromised certificates to be selectively rejected without requiring that the entire PKI be rebuilt.
 The server can enforce client-specific access rights based on embedded certificate fields, such as the Common Name. 

Note that the server and client clocks need to be roughly in sync or certificates might not work properly.
Generate the master Certificate Authority (CA) certificate & key

In this section we will generate a master CA certificate/key, a server certificate/key, and certificates/keys for 3 separate clients.

Please take note: Easy-RSA Version 3 is now preferred over Easy-RSA Version 2.

EasyRSA-3 has a ​Quick-Start Guide

There is also ​Easy-TLS, which is an add-on utility to manage .inline files and TLS Crypt V2 keys. (It's very useful)

The following instruction only work for Easy-RSA v2.

For PKI management, we will use ​easy-rsa 2, a set of scripts which is bundled with OpenVPN 2.2.x and earlier. If you're using OpenVPN 2.3.x, you may need to download easy-rsa 2 separately from the ​easy-rsa-old project page. An easy-rsa 2 package is also available for Debian and Ubuntu in the OpenVPN software repos.

You should also look into using ​easy-rsa 3, available to most OS's, including Windows; refer to its own documentation for details.

If you are using Linux, BSD, or a unix-like OS, open a shell and cd to the easy-rsa subdirectory. If you installed OpenVPN from an RPM or DEB file provided by your distribution, the easy-rsa directory can usually be found in /usr/share/doc/packages/openvpn or /usr/share/doc/openvpn (it's best to copy this directory to another location such as /etc/openvpn, before any edits, so that future OpenVPN package upgrades won't overwrite your modifications).

If you are using Windows, (AND you are using Version 2 of Easy-RSA) open up a Command Prompt window and cd to \Program Files\OpenVPN\easy-rsa. Run the following batch file to copy configuration files into place (this will overwrite any preexisting vars.bat and openssl.cnf files):

init-config

Now edit the vars file (called vars.bat on Windows) and set the KEY\_COUNTRY, KEY\_PROVINCE, KEY\_CITY, KEY\_ORG, and KEY\_EMAIL parameters. Don't leave any of these parameters blank.

Next, initialize the PKI. On Linux/BSD/Unix:

. ./vars
./clean-all
./build-ca

On Windows:

vars

If you get an error message that says:

You appear to be sourcing an Easy-RSA \*vars\* file.
This is no longer necessary and is disallowed. See the section called
\*How to use this file\* near the top comments for more details.
이지르사 3에서 어떻게 하나요?

자체 CA(인증 기관)를 설정하고 OpenVPN 서버 및 여러 클라이언트에 대한 인증서 및 키 생성하기
개요

OpenVPN 2.x 구성 구축의 첫 번째 단계는 PKI(공개 키 인프라)를 설정하는 것입니다. PKI는 다음으로 구성됩니다:

 서버와 각 클라이언트에 대한 별도의 인증서(공개 키라고도 함) 및 개인 키, 그리고
 각 서버 및 클라이언트 인증서에 서명하는 데 사용되는 마스터 CA(인증 기관) 인증서 및 키. 

OpenVPN은 인증서를 기반으로 한 양방향 인증을 지원하므로, 클라이언트는 서버 인증서를 인증해야 하고 서버는 클라이언트 인증서를 인증해야 상호 신뢰가 구축됩니다.

서버와 클라이언트는 제시된 인증서가 마스터 인증 기관(CA)에 의해 서명되었는지 먼저 확인한 다음, 인증서 일반 이름 또는 인증서 유형(클라이언트 또는 서버)과 같은 현재 인증된 인증서 헤더의 정보를 테스트하여 상대방을 인증합니다.

이 보안 모델에는 VPN 관점에서 여러 가지 바람직한 기능이 있습니다:

 서버는 자체 인증서/키만 필요하며, 서버에 연결할 수 있는 모든 클라이언트의 개별 인증서를 알 필요가 없습니다.
 서버는 마스터 CA 인증서(아래에서 생성할)로 서명한 인증서를 가진 클라이언트만 허용합니다. 서버는 CA 개인 키 자체에 액세스하지 않고도 이 서명 확인을 수행할 수 있기 때문에 전체 PKI에서 가장 민감한 키인 CA 키가 완전히 다른 컴퓨터, 심지어 네트워크에 연결되지 않은 컴퓨터에도 있을 수 있습니다.
 개인 키가 손상된 경우, 해당 인증서를 CRL(인증서 해지 목록)에 추가하여 비활성화할 수 있습니다. CRL을 사용하면 전체 PKI를 다시 빌드할 필요 없이 손상된 인증서를 선택적으로 거부할 수 있습니다.
 서버는 일반 이름과 같은 내장된 인증서 필드를 기반으로 클라이언트별 액세스 권한을 적용할 수 있습니다. 

서버와 클라이언트 시계가 대략적으로 동기화되어야 하며 그렇지 않으면 인증서가 제대로 작동하지 않을 수 있습니다.
마스터 CA(인증 기관) 인증서 및 키 생성하기

이 섹션에서는 마스터 CA 인증서/키, 서버 인증서/키 및 3개의 개별 클라이언트에 대한 인증서/키를 생성합니다.

참고: 이제 Easy-RSA 버전 3이 Easy-RSA 버전 2보다 선호됩니다.

EasyRSA-3에는 빠른 시작 가이드가 있습니다.

또한 .inline 파일과 TLS Crypt V2 키를 관리하는 애드온 유틸리티인 Easy-TLS도 있습니다. (매우 유용합니다)

다음 지침은 Easy-RSA v2에서만 작동합니다.

PKI 관리의 경우, OpenVPN 2.2.x 이하 버전에 번들로 제공되는 스크립트 세트인 Easy-RSA 2를 사용하겠습니다. OpenVPN 2.3.x를 사용 중이신 경우, easy-rsa 이전 프로젝트 페이지에서 easy-rsa 2를 별도로 다운로드해야 할 수 있습니다. 또한, OpenVPN 소프트웨어 리포지토리에서 Debian 및 Ubuntu용 easy-rsa 2 패키지를 이용하실 수 있습니다.

Windows를 포함한 대부분의 OS에서 사용할 수 있는 easy-rsa 3도 사용하실 수 있으며, 자세한 내용은 해당 설명서를 참조하세요.

Linux, BSD 또는 유닉스 계열 OS를 사용하는 경우, 셸을 열고 easy-rsa 하위 디렉터리에 cd를 복사하세요. 배포판에서 제공한 RPM 또는 DEB 파일에서 OpenVPN을 설치한 경우, easy-rsa 디렉토리는 보통 /usr/share/doc/packages/openvpn 또는 /usr/share/doc/openvpn에서 찾을 수 있습니다(향후 OpenVPN 패키지 업그레이드가 수정 사항을 덮어쓰지 않도록 수정하기 전에 이 디렉토리를 /etc/openvpn 등의 다른 위치로 복사하는 것이 가장 좋습니다).

Windows를 사용하는 경우, (그리고 Easy-RSA 버전 2를 사용하는 경우) 명령 프롬프트 창을 열고 \Program Files\OpenVPN\easy-rsa로 이동합니다. 다음 배치 파일을 실행하여 구성 파일을 제자리에 복사합니다(이렇게 하면 기존의 모든 vars.bat 및 openssl.cnf 파일을 덮어씁니다):

init-config

이제 vars 파일(Windows에서는 vars.bat라고 함)을 편집하고 KEY\_COUNTRY, KEY\_PROVINCE, KEY\_CITY, KEY\_ORG 및 KEY\_EMAIL 파라미터를 설정합니다. 이 매개변수 중 어떤 것도 비워두지 마세요.

다음으로 PKI를 초기화합니다. Linux/BSD/Unix:

. ./vars
./clean-all
./build-ca

Windows에서는

vars

다음과 같은 오류 메시지가 표시되는 경우:

Easy-RSA \*vars\* 파일을 소싱하는 것 같습니다.
이 파일은 더 이상 필요하지 않으며 허용되지 않습니다. 다음 섹션을 참조하세요.
\*이 파일 사용 방법\* 섹션에서 자세한 내용을 확인하세요.