Re: Easyrsa/OpenVPN: "dh key too small" doit-on re-générer les fichiers .key et .crt ?
Le 17 novembre 2024 Olivier a écrit :
> Je dois remplacer en urgence un serveur OpenVPN qui utilisait une clé
> DH de longueur jugée trop courte par la nouvelle version d'OpenVPN.
>
> 1. Si j'adopte un nouveau fichier DH, dois-je aussi re-générer les
> dizaines de certificats des clients du VPN ?
Diffie Hellman est uniquement du côté serveur. C'est indépendant de
Easyrsa, même si on peut l'utiliser pour générer la clef. Le .conf openvpn
suggère d'ailleurs : openssl dhparam -out dh2048.pem 2048
> 2. Si j'adopte une clé de grande longueur (4096 bits) "pour être
> tranquille", quel impact sur les performances du VPN ?
Diffie Hellman est utilisé juste lors des échanges de clefs SSL/TLS :
https://wiki.openssl.org/index.php/Diffie_Hellman
Donc pas d'impact de performances visible par rapport au reste.
Par contre il faut s'assurer que les clients peuvent utiliser la
longueur envisagée, donc ne sont pas d'une trop vieille version.
Reply to: