Si vous utilisez OpenVPN et Easy-RSA (pour gérer simplement toute la cryptographie qu'il y a derrière), alors le certificat x509 de votre serveur VPN a une durée de vie d'un an, comme le certificat d'un-e utilisateur-rice de votre VPN. Non, je ne parle pas de votre AC mais bien du serveur VPN.

Pour le renouveler :

• On suppose qu'une seule AC est utilisée, la même pour votre serveur que pour vos utilisateur-trices et on suppose que c'est une AC perso (auto-générée avec Easy-RSA) ;

• On suppose qu'Easy-RSA travaille dans le dossier /etc/openvpn/easy-rsa/ ;

• On suppose que le serveur prend ses fichiers cryptos (cert de l'AC des clients, son certificat et sa clé à lui, les paramètres DH, etc.) dans /etc/openvpn/crypto/ ;

• Révoquer le certificat actuel :

  sudo -i
  cd /etc/openvpn/easy-rsa
  . ./vars
  ./revoke-full server
  rm /etc/openvpn/easy-rsa/keys/server.*

• Mettre à jour la liste des révocations :

  cp /etc/openvpn/easy-rsa/keys/crl.pem /etc/openvpn/crypto/crl.pem

• Générer une nouvelle paire de clés et un certificat :

  ./build-key-server server

Lorsqu'easy-rsa demande « Common Name (eg, your name or your server's hostname) », saisir le FQDN de votre serveur VPN genre vpn.arn-fai.net. Accepter tout le reste.

• Déplacer le nouveau certificat (et la clé privée) à l'emplacement de l'ancien :

  cp /etc/openvpn/easy-rsa/keys/server.{key,crt} /etc/openvpn/crypto/
  rm /etc/openvpn/easy-rsa/keys/server.{key,csr}

Pas de mv car il faut conserver le crt dans l'arborescence d'easy-rsa.

• Redémarrer OpenVPN pour que le nouveau certificat soit utilisé :

  systemctl restart openvpn@udp openvpn@tcp