Ich gehe mal davon aus, dass das aktuelles MSI Paket sich im Ordner c:\temp befindet. Des weiteren müssen wir nur eine CMD-Box öffnen und nacheinander folgende Befehle ausführen:

set myDat=%date:~6,4%-%date:~3,2%-%date:~0,2%
xcopy "%appdata%\Securepoint SSL VPN\" "%appdata%\%myDat%-Securepoint SSL VPN.sik\" /S /y

Anschließend kann man den installierten Securepoint Client deinstallieren. Installiert man wieder exakt die gleiche Version, kann die Deinstallation übersprungen und direkt mit folgendem Befehl weiter gemacht werden.

msiexec /i c:\temp\openvpn-client-installer-2.0.33.msi /german

Vor dem ersten Start kopiert man die Sicherung wieder an den korrekten Platz. 

xcopy "%appdata%\%myDat%-Securepoint SSL VPN.sik\" "%appdata%\Securepoint SSL VPN\"  /S /y

Anschließend kann man den Securepoint Client starten und die Einstellungen prüfen. Mehr sollte nicht zu tun sein und bestenfalls sind alle weiteren Einstellungen noch vorhanden.

Manche Geräte können mit diesen unterschiedlichen Dateien nicht umgehen, weil z.B. kein richtiges Dateisystem vorhanden ist. Apple iPhone/iPad Apps wären z.B. so ein Fall.

Will man dort SSL-VPN (openVPN) verwenden, so muss die CA, Cert und Key direkt in der openVPN Konfigurationsdatei vorhanden sein.
Für diesen Fall habe ich ein kleines Script geschrieben. (Etwas abgewandelt welches ich im Securepoint Forum gefunden habe.

Dies Script geht davon aus, dass die Konfigurationsdaten entpackt in einem Verzeichnis liegen. Zu finden sind die Dateien in der Regel im „Data“ Verzeichnis wenn man das ZIP entpackt oder das TBLK-Verzeichnis umbenannt hat.

Hier nun aber erst mal das Script. Als ersten Parameter wird der Dateiname des openVPN-Files erwartet. Zweiter Parameter wie die neue Konfigurationsdatei benannt werden soll. Der dritte und letzte Parameter gibt an, ob die Originaldateien gelöscht oder behalten werden sollen.

Hier nun aber erst mal das Script:

#!/bin/sh
# Autor: Knut Herter
#
if [ -z "$1" ] || [ -z "$2" ] || [ -z "$3" ] ; then
		echo "\nKeine Parameter angegeben!"
		echo ""
 		echo "Parameter 1: <Dateiname>(ohne .ovpn)"
 		echo "Parameter 2: <Neuer Dateiname>(ohne .ovpn)"
 		echo "Parameter 3: <0 oder 1> 1 = Origignaldateien löschen"
		echo "\n"
 		exit 1
fi

for dat in ".ovpn" "-ca.pem" "-cert.pem" "-cert.key"; do
	if [ ! -f "$1$dat" ]; then
	    echo "$1$dat nicht vorhanden"
	    fehler=1
	fi
done

if [ $fehler ]; then echo "\nFehler, breche die Verarbeitung ab." 
 exit 1  
fi

grep -F -v -e "ca" -e "cert" -e "key" "$1".ovpn > $2.ovpn
{
echo '<ca>'
cat "$1"-ca.pem 
echo '</ca>'
echo '<cert>'
cat "$1"-cert.pem 
echo '</cert>'
echo '<key>'
cat "$1"-cert.key 
echo '</key>'
} >> $2.ovpn

if [ "$3" = "1" ]; then
for dat in ".ovpn" "-ca.pem" "-cert.pem" "-cert.key"; do
	rm -f $1$dat
done
fi

Anschließend kann man die erzeuge .ovpn-Datei z.B. auf seinem iPhone/iPad nutzen um sich mit dem SSL-VPN Server zu verbinden. 

Auch in Tunnelblick oder dem originalen Securepoint VPN Client kann diese Datei verwendet werden.

Manchmal „zerstören“ größere Windows Updates den für das VPN notwendigen Dienst „Securepoint VPN“. Beim Start von Windows kommt dann nur eine gewohnt langweilige Fehlermeldung „Dienst konnte nicht gestartet werden“. Zumindest so in etwa.

Um das Problem zu lösen und die vorhandenen Konfigurationsdateien behalten zu können kann wie folgt vorgegangen werden.

Zuerst beenden wir, sofern es gestartet ist den SSL VPN Client unten in der Iconleiste. Anschließend öffnen wir den Datei Explorer und wechseln in das Verzeichnis %AppData% . Dort befindet sich das Verzeichnis „Securepoint SSL VPN„. Dies sollten wir nun umbenennen. Z.B. in „_Securepoint SSL VPN„.

Nun kann ganz klassisch der VPN Client unter den Apps deinstalliert werden.

Im nächsten Schritt laden wir von folgender URL den aktuellsten Client herunter: https://sourceforge.net/projects/securepoint/files/

Anschließend können wir wie gewohnt die Software mit den üblichen/gewohnten Optionen installieren. Vor dem ersten Start der Software muss man wieder mit dem Datei Explorer in das Verzeichnis %AppData% wechseln und das Verzeichnis „_Securepoint SSL VPN“ wieder korrekt zurück umbennen in „Securepoint SSL VPN„.

Nach dem Start der Software mit dem neuen Icon auf dem Desktop sind die vorigen Konfigurationen wieder vorhanden und funktionieren wie gewünscht.

Es wird dabei der Befehl zum Erstellen eines Benutzerzertifikats, als auch den Befehl zum Anlegen Benutzer selbst ausgegeben.

Voraussetzung dabei ist, dass eine entsprechende CA zuvor erstellt wurde. Die ID der CA wird für das Excel-Dokument benötigt und kann mit folgendem Befehl ganz einfach ermittelt werden:

ssh admin@10.68.0.1 'cert get' |grep "CA:TRUE"

Diese ID merken wir uns und tragen diese gleich in die Konfigurationsseite des Excel Dokuments ein.

Starten wir nun das Excel Dokument und wechseln auf das Blatt „Config“. Dort tragen wir an markierter Stelle die zuvor ermittelte ID der CA ein. Natürlich passen wir die Organisationsdaten auf unsere eigenen Bedürfnisse an.

Anschliessend wechseln wir wieder zum Blatt „Anwender“ und geben jeweils Vorname, Nachname, Mailadresse und Passwort ein. Oben wird auch noch ein zufälliges Passwort angeboten. Diese kann man in die Zwischenablage kopieren, sollte aber beim Einfügen aufpassen das nur die Werte in das Feld eingefügt werden!

In der Spalte „E“ befinden sich nun die CLI Befehle um die drei Beispiel-Zertifikate anzulegen. In der Spalte „F“ sind die Befehle um die Benutzer anzulegen.

Num muss man sich nur als admin auf der SecurePoint UTM mittels SSH anmelden und nacheinander die Befehle hinkopieren und ausführen.
Auf diese Art kann man sehr einfach viele Nutzer anlegen. Leider muss man in der Variante 1.3 meines Excel Dokuments im Anschluss über das Webinterface noch die Nutzerrechte anpassen. Für openVPN z.B. muss man im Benutzer noch das entsprechende Zertifikat zuordnen.
Die „grobe“ Arbeit ist aber erst mal getan und die Nutzer sind beim Abspeichern des Excel Dokuments auch gleich dokumentiert.

Wer mag kann das PRE beim Benutzer- und Zertifikatsnamen noch anpassen oder leer lassen. Dies kann man im Tabellenblatt „Config“ einfach bewerkstelligen.

chsh -s /usr/bin/passwd NUTZER

Somit kommt nach dem Login gleich die Passwort Änderungsanfrage und nach dem erfolgreichen Ändern wird der Nutzer auch gleich abgemeldet.

Um ein Zertifikat bei openVPN zurückzuziehen kann man wie folgt vorgehen:

cd /etc/openvpn/easy-rsa/
. ./vars
. ./revoke-full NUTZER

Die Dateien des NUTZER (.crt, .key, .csr) im Verzeichnis keys kann man dann ebenfalls löschen.

Die CRL muss nun auch an die richtige Stelle für den openVPN Server kopiert werden. Über den Eintrag „crl-verify keys/crl.pem“ in der openvpn.conf wird diese CRL dazu verwendet zurückgezogene Zertifikate zu blockieren.

cp -a keys/crl.pem /etc/openvpn/keys/

Anschauen kann man sich die CRL am einfachsten mit folgendem Befehl:

openssl crl -in keys/crl.pem -text

Sollte es den Benutzer ebenfalls nicht mehr geben, so sollte man natürlich auch den Benutzer löschen.

userdel -f -r NUTZER

Benutzer in PAM anlegen, (sicheres) Passwort vergeben:

useradd -M -s /usr/bin/passwd NUTZER
passwd NUTZER

Zertifikat generieren:

cd /etc/openvpn/easy-rsa/
. ./vars
. ./build-key NUTZER

…,mit sinnvollen Werten den Assistenten befüllen und anschließend gleich signieren.

Client-Konfiguration „zusammenbauen“

. ./gen-client-config

Die fertig zusammen gebaute Konfiguration inkl. Zertifikate ist anschliessend in der Datei NUTZER.ovpn zu finden.