OpenVPN: offenbar Problem mit p12 Zertifikat

[Solamanga]

Hallo,
ich habe OpenVPN 2.3.0 im Routing (Multiclient) Modus, Server auf einem PC (Win8-64) bereits seit längerem am Laufen, Authentifizierung ist zertifikatsbasiert (.p12 Zertifikate).

Jetzt habe ich mir (mit Hilfe von Links hier im Forum ein statisches OpenVPN 2.1_rc1) geholt und auf einer FBF7170 ans Laufen gebracht und zwar mit exakt denselben Zertifikatsdateien wie auf dem PC, siehe unten ein Auszug der Startmeldungen.
(Die Zertifikate hab ich per WinSCP vom PC auf die Box übertragen), funktioniert toll, Clients können sich einloggen, es klappt eben.

Wed Sep 11 13:18:28 2013 us=644889 NOTE: --mute triggered...
Wed Sep 11 13:18:28 2013 us=646804 192 variation(s) on previous 50 message(s) suppressed by --mute
Wed Sep 11 13:18:28 2013 us=649784 OpenVPN 2.1_rc1 mipsel-linux [SSL] [LZO2] [EPOLL] built on Jan 5 2007
Wed Sep 11 13:18:30 2013 us=609095 Diffie-Hellman initialized with 2048 bit key
Wed Sep 11 13:18:31 2013 us=34056 WARNING: file '/var/usb/vpn/Server.p12' is group or others accessible
Wed Sep 11 13:18:31 2013 us=36833 TLS-Auth MTU parms [ L:1542 D:138 EF:38 EB:0 ET:0 EL:0 ]
....... usw.

Nun folgendes:
Um ein halbwegs aktuelles OpenVPN zu haben, hab ich gestern das aktuelle freetz (1.2) runtergezogen und ein neues Image erstellt, OpenVPN statisch. Wenn ich diess Image starte, frägt er mich nach einem Zertifikatspasswort.
Ich gebe Enter ein, da kein Passwort vergeben wurde und OpenVPN meckert wg. Passwort Verification failed, s.u.

Wed Sep 11 12:52:42 2013 us=419919 OpenVPN 2.2.1 mipsel-linux [SSL] [LZO2] [MH] [IPv6 payload 20110424-2 (2.2RC2)] built on Sep 10 2013
Wed Sep 11 12:52:42 2013 us=424245 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Wed Sep 11 12:52:43 2013 us=895662 Diffie-Hellman initialized with 2048 bit key
Enter Private Key Password:
Wed Sep 11 12:54:00 2013 us=15159 WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this
Wed Sep 11 12:54:00 2013 us=21622 OpenSSL ERROR code: 121
Wed Sep 11 12:54:00 2013 us=22499 Error: private key password verification failed
Wed Sep 11 12:54:00 2013 us=22932 Exiting

Daraufhin hab ich auf einem PC per "openssl pkcs12 -clcerts -nokeys -in Server.p12" geprüft. Openssl frägt zwar nach einem Passwort, wenn ich da Enter eingebe kommt das Zertifikat aber raus, ist also OK.
Mache ich das gleiche mit einem statischen Openssl auf der Box, meckertOpenSSL "Mac verify error: invalid password?"
Daraufhin habe ich die Server.p12 per binary-FTP auf den PC gezogen und mit der Server.p12 vauf dem PC binär verglichen: identisch.

Was mache ICH falsch? Das Zertifikat ist OK, da a) eine ältere' OpenVPN Version und die aktuellste auf dem PC damit zurechtkommt. Gibt es da einen Bug in OpenVPN 2.2.1 (bzw. ein Problem in der freetz Variante?)
Oder fehlt da die .p12 Unterstützung???

Mit dem Kompilat eines Forumskolegen
Wed Sep 11 13:03:14 2013 us=564282 OpenVPN 2.2.0 mipsel-linux [SSL] [LZO2] [EPOLL] [MH] [IPv6 payload 20110424-2 (2.2RC2)] built on May 25 2011

passiert das gleiche....

Bitte befreit mich von den Tomaten auf meinen Augen ....

 

[MaxMuster]

Vermutlich wurde dein p12 Zertifikat mit einem cipher verschlüsselt, den das eingeschränkte OpenVPN der FB nicht kennt (ähnlich wie das Ticket hier bei "openWRT" ).
Damit gäbe es vermutlich diese "Lösungen" :
- Baue ein neues OpenVPN mit den benötigten ciphern im (Open-)SSL (vermutlich fehlt rc2, openssl wird im Freetz mit "no-rc2" gebaut)
- Packe das Zertifikat neu als pkcs12 mit einem "vorhandenen" cipher wie des (mit der Option "-descert") oder
- entpacke das Zertifikat und nutze die darin befindlichen Zertifikate/Schlüssel

 

[Solamanga]

Hallo MaxMuster!

Ich hab das Zertifikat entpackt und auch die CA.crt erzeugt; jetzt geht's. In der Tat: Fritzbox.openvpn --show-ciphers liefert weniger Cipher als das OpenVPN des PC.

Damit kann ich leben

Danke!!