je planche sur openvpn, et je désire modifier le script fourni dans openvpn 2.0 verify-cn ecrit en perl,
mais je suis très faché avec le perl.
En fait je désire controler L'O.U. (Organisation Unit) du certificat X509 (.P12) du client et non pas le cn (common name), pour autoriser l'accès a mon réseau seulement au personne appartenant a mon département.
auriez vous déja planché là dessus, des examples , la recherche sur le forum n'as rien donné, et sur google pareil.
ci-joint le dit script "verify-cn" appelé par la ligne "tls-verify ./verify-cn toto.dudu" dans le server.conf d'OpenVPN sous fedora:

#!/usr/bin/perl

# verify-cn -- a sample OpenVPN tls-verify script
#
# Return 0 if cn matches the common name component of
# X509_NAME_oneline, 1 otherwise.
#
# For example in OpenVPN, you could use the directive:
#
# tls-verify "./verify-cn Test-Client"
#
# This would cause the connection to be dropped unless
# the client common name is "Test-Client"

die "usage: verify-cn cn certificate_depth X509_NAME_oneline" if (@ARGV != 3);

# Parse out arguments:
# cn -- The common name which the client is required to have,
# taken from the argument to the tls-verify directive
# in the OpenVPN config file.
# depth -- The current certificate chain depth. In a typical
# bi-level chain, the root certificate will be at level
# 1 and the client certificate will be at level 0.
# This script will be called separately for each level.
# x509 -- the X509 subject string as extracted by OpenVPN from
# the client's provided certificate.
($cn, $depth, $x509) = @ARGV;

if ($depth == 0) {
# If depth is zero, we know that this is the final
# certificate in the chain (i.e. the client certificate),
# and the one we are interested in examining.
# If so, parse out the common name substring in
# the X509 subject string.

if ($x509 =~ /\/CN=([^\/]+)/) {
# Accept the connection if the X509 common name
# string matches the passed cn argument.
if ($cn eq ) {
exit 0;
}
}

# Authentication failed -- Either we could not parse
# the X509 subject string, or the common name in the
# subject string didn't match the passed cn argument.
exit 1;
}

# If depth is nonzero, tell OpenVPN to continue processing
# the certificate chain.
exit 0;

alors moi qui croyait rha etait plien de scripteur fou!!!!

A priori c'est juste une regexp mais faut que tu voies ce qui peut passer dans la variable $x509 d'abord ...

Un essai simple est de mettre OU dans le test pour voir s'il choppe quoi que ce soit ??

Le 23 août 2005 - 17 h 29, poluxxx a écrit : alors moi qui croyait rha etait plien de scripteur fou!!!!

C est vrai qu il faut l etre pour du PERL

Le 23 août 2005 - 19 h 34, iraysyvalo a écrit : A priori c'est juste une regexp mais faut que tu voies ce qui peut passer dans la variable $x509 d'abord ... Un essai simple est de mettre OU dans le test pour voir s'il choppe quoi que ce soit ??

je l'ai tenté mais rien de concret, il faudrais rediriger le résultat dans un log, tu n'aurais pas la ligne qu'il faut par hazard

print @ARGV devrait donner une idee du truc

merçi je teste dans la foulée

le print @ARGV envoi les donnée a quel endroi, ne pourrais t'on pas rediriger dans un fichier precis??

je l'ai intégré comme cela et je ne voit rien:

#!/usr/bin/perl

# verify-cn -- a sample OpenVPN tls-verify script
#
# Return 0 if cn matches the common name component of
# X509_NAME_oneline, 1 otherwise.
#
# For example in OpenVPN, you could use the directive:
#
# tls-verify "./verify-cn Test-Client"
#
# This would cause the connection to be dropped unless
# the client common name is "Test-Client"

die "usage: verify-cn cn certificate_depth X509_NAME_oneline" if (@ARGV != 3);

# Parse out arguments:
# cn -- The common name which the client is required to have,
# taken from the argument to the tls-verify directive
# in the OpenVPN config file.
# depth -- The current certificate chain depth. In a typical
# bi-level chain, the root certificate will be at level
# 1 and the client certificate will be at level 0.
# This script will be called separately for each level.
# x509 -- the X509 subject string as extracted by OpenVPN from
# the client's provided certificate.
($cn, $depth, $x509) = @ARGV;
print @ARGV;
if ($depth == 0) {
# If depth is zero, we know that this is the final
# certificate in the chain (i.e. the client certificate),
# and the one we are interested in examining.
# If so, parse out the common name substring in
# the X509 subject string.

if ($x509 =~ /\/CN=([^\/]+)/) {
# Accept the connection if the X509 common name
# string matches the passed cn argument.
if ($cn eq ) {
exit 0;
}
}

# Authentication failed -- Either we could not parse
# the X509 subject string, or the common name in the
# subject string didn't match the passed cn argument.
exit 1;
}

# If depth is nonzero, tell OpenVPN to continue processing
# the certificate chain.
exit 0;

Remplaces ton script par ceci :

enfin quelqu'un qui parle perl le bonheur merçi je teste demain matin

bon le script ne fait pas grands chose, parcontre je viens de récupere un script en perl exactement celui dont je révais et ça roule pour les amateurs je peux le communiquer, merçi a tous de votre aide surtout iraysyvalo!!!!!

De rien