Para gerar as chaves do servidor deve-se utilizar os scripts que estão dentro da pasta /etc/openvpn/easy-rsa. Primeiramente deve-se executar o script "./build-key-server" seguido de um nome que pode ser o que identifique seu servidor VPN:

# ./build-key-server "servidor"

(Troque a palavra entre aspas por um nome que identifique seu servidor, no exemplo utilizei palavra "servidor" mesmo)

Após digitar o comando ele repetirá as opções, como na geração do build-ca, após isso ele irá pedir para que você digite uma senha, é mais uma medida de segurança, mas inconveniente que toda vez que gerar um certificado válido para o servidor terá de digitar essa senha criada. Sugiro deixar em branco dando um "enter", após dizer se deseja assinar certificado responda "sim"/"yes" e depois se deseja salvar as configurações novamente responda sim, conforme figura abaixo. Dentro da pasta keys você pode ver resultado e certificados gerados. Agora vamos gerar as chaves para os clientes da VPN utilizando o script "build-key" seguido do nome que você quer dar ao cliente, você pode repetir esse passo para vários clientes.

Este script mostra a saída do comando openssl ao gerar as chaves e confirma parâmetros do certificado do servidor.

Agora só dar enter para confirmar os parâmetros já acertados no build-ca, dê um "enter" para confirmar e "Y" (yes) para confirmar criação da chave, "y" novamente para salvar.

Você pode repetir esse passo para criar as chaves dos clientes quantas vezes necessitar, dependendo do número de clientes que terão acesso ao servidor.

Agora você deve criar os parâmetros de "Diffie Hellman", para reforçar a segurança do servidor openvpn na troca de chaves públicas e privadas, esta medida visa implementar segurança extra na troca de chaves entre clientes e servidor.

Execute o comando abaixo:

# ./build-dh

Dependendo do seu equipamento esse comando pode demorar um pouco, ele gera a chave dh1034.pen, que possui parâmetros de Diffie e Hellman para melhor segurança entre comunicação cliente servidor na autenticação das chaves.

Obs.: Os arquivos .csr gerados podem ser apagados.

Agora já temos o nosso conjunto de chaves necessárias para comunicação através de uma VPN segura entre servidor e cliente.