http://mikrotik.moscow Новое в теме Сертификат Openssl CA не распознаётся как CA форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 04 Aug 2026 16:38:16 -0400 Сертификат Openssl CA не распознаётся как CA RouterOS в форуме RouterOS.
Спасибо, бро!!! RouteOS 6.48.2 по-прежнему работает.
08.06.2021 22:38:00, Dix.]]> http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377567 http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377567 Tue, 08 Jun 2021 22:38:00 -0400 RouterOS Сертификат Openssl CA не распознаётся как CA RouterOS в форуме RouterOS.
Если в последних версиях что-то не изменилось, это не так, сертификаты, сгенерированные извне, работали нормально.
03.06.2020 14:01:00, Sob.]]> http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377566 http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377566 Wed, 03 Jun 2020 14:01:00 -0400 RouterOS Сертификат Openssl CA не распознаётся как CA RouterOS в форуме RouterOS.
Не совсем так. CA-сертификаты без флага «A» не могут использоваться для проверки клиентских сертификатов на open-vpn сервере (опция «require client certificate»). В результате вам нужно генерировать ВСЕ сертификаты, которые будут использоваться для VPN на Mikrotik ИСКЛЮЧИТЕЛЬНО.
03.06.2020 12:06:00, iw2ngg.]]> http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377565 http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377565 Wed, 03 Jun 2020 12:06:00 -0400 RouterOS Сертификат Openssl CA не распознаётся как CA RouterOS в форуме RouterOS.
Привет, я столкнулся с той же проблемой флага «Authority» у импортированных CA-сертификатов в RouterOS. Поэтому я написал этот пост http://forum.mikrotik.com/t/correction-request-authority-flag-for-import-ca-certificate-autority-in-routeros/137960/1 с просьбой исправить реализацию.
26.03.2020 12:23:00, luca1234567.]]> http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377564 http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377564 Thu, 26 Mar 2020 12:23:00 -0400 RouterOS Сертификат Openssl CA не распознаётся как CA RouterOS в форуме RouterOS.
Зачем вам нужен флаг A? Импортированные сертификаты отлично работают и без него. Единственная разница в том, что импортированные сертификаты нельзя использовать для выпуска новых сертификатов.
15.03.2017 07:01:00, mrz.]]> http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377563 http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377563 Wed, 15 Mar 2017 07:01:00 -0400 RouterOS Сертификат Openssl CA не распознаётся как CA RouterOS в форуме RouterOS.
Да, это решение “проблемы”. Ладно, значит нужно изменить конфигурационный файл, здесь важен только раздел [ v3_ca ]…

[ v3_ca ]
subjectKeyIdentifier=hash  
authorityKeyIdentifier=keyid:always,issuer:always  
basicConstraints = CA:true  
keyUsage = cRLSign, keyCertSign  
nsComment = "Generated by RouterOS"  

Спасибо, чувак!
11.03.2017 00:49:00, tvrebac.]]> http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377562 http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377562 Sat, 11 Mar 2017 00:49:00 -0500 RouterOS Сертификат Openssl CA не распознаётся как CA RouterOS в форуме RouterOS.
Думаю, я тоже пробовал это, но не сработало. Я ещё сгенерировал CA прямо на Routerboard, экспортировал его, удалил CA, импортировал предыдущий экспорт — и всё равно не появился флаг A. Придётся тестировать на новых версиях с исправлениями и потом выложу результаты. Спасибо!
27.01.2017 19:44:00, tvrebac.]]> http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377561 http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377561 Fri, 27 Jan 2017 19:44:00 -0500 RouterOS Сертификат Openssl CA не распознаётся как CA RouterOS в форуме RouterOS.
Привет! Прошло какое-то время после вопроса, но, возможно, это кому-то пригодится. Нужно установить nsComment=“Generated by RouterOS” в сертификате CA, чтобы при импорте получить флаг «A» (authority).
13.09.2016 07:42:00, AOEUMagnus.]]> http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377560 http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377560 Tue, 13 Sep 2016 07:42:00 -0400 RouterOS Сертификат Openssl CA не распознаётся как CA RouterOS в форуме RouterOS.
У меня проблема с CA-сертификатом, сгенерированным с помощью openssl, который RouterOS (начиная с версии 6.28 и позже) не распознаёт как CA. Для создания CA была использована следующая команда:  
openssl req -new -newkey rsa:2048 -config openssl_mikrotik-capsman_v1.cnf -keyout ca.key -out ca.crt -nodes -x509 -days 3650  

Я также пытался сгенерировать CA прямо на RouterOS, и он корректно распознаётся как CA-сертификат. Но если я экспортирую этот сертификат и импортирую его обратно, он уже не распознаётся как CA.  

На версиях RouterOS 6.27 и ниже всё работает нормально. Может кто-то знает, в чём проблема с моей настройкой или это баг в RouterOS?  

Вот файл openssl_mikrotik-capsman_v1.cnf (без комментариев):  

RANDFILE = ./.rnd  

[ ca ]
default_ca = CA_default  

[ CA_default ]
dir = .  
certs = $dir  
crl_dir = $dir  
database = $dir/index.txt  
new_certs_dir = $dir  

certificate = $dir/ca.crt  
serial = $dir/serial  
crl = $dir/crl.pem  
private_key = $dir/ca.key  
RANDFILE = $dir/.rand  

x509_extensions = basic_exts  

crl_extensions = crl_ext  

default_days = 3650  
default_crl_days = 30  
default_md = sha256  

policy = policy_anything  

[ policy_anything ]
countryName = optional  
stateOrProvinceName = optional  
localityName = optional  
organizationName = optional  
organizationalUnitName = optional  
commonName = supplied  
name = optional  
emailAddress = optional  

[ req ]
default_bits = 2048  
default_keyfile = privkey.pem  
default_md = sha256  
distinguished_name = req_distinguished_name  
x509_extensions = v3_ca  

[ req_distinguished_name ]
countryName = Country Name (2 letter code)  
countryName_default = HR  
countryName_min = 2  
countryName_max = 2  

stateOrProvinceName = State or Province Name (full name)  
stateOrProvinceName_default = PGZ  

localityName = Locality Name (eg, city)  
localityName_default = Kastav  

0.organizationName = Organization Name (eg, company)  
0.organizationName_default = MyCompany d.o.o.  

organizationalUnitName = Organizational Unit Name (eg, section)  
organizationalUnitName_default = CAPsMAN Test  

commonName = Common Name (eg, YOUR name)  
commonName_max = 64  

emailAddress = Email Address  
emailAddress_max = 40  
emailAddress_default = pki@mycompany.lan  

[ basic_exts ]
basicConstraints = CA:FALSE  
subjectKeyIdentifier = hash  
authorityKeyIdentifier = keyid,issuer:always  

[ v3_ca ]
subjectKeyIdentifier = hash  
authorityKeyIdentifier = keyid:always,issuer:always  
basicConstraints = CA:true  
keyUsage = cRLSign, keyCertSign  

[ crl_ext ]
authorityKeyIdentifier = keyid:always,issuer:always
11.10.2015 21:23:00, tvrebac.]]> http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377559 http://mikrotik.moscow/forum/forum57/83534-sertifikat-openssl-ca-ne-raspoznayetsya-kak-ca/message377559 Sun, 11 Oct 2015 21:23:00 -0400 RouterOS