В будущем планируется какой-либо продукт от КриптоПро, чтобы он сам следил на UNIX за CRL? Или может есть открытые продукты, которые можете порекомендовать?

Доброго времени суток.

Не поможете с проблемкой. Пытаюсь настроить nginx+gostengy+cryptopro. В режиме сервера все замечательно работает.

Никак не получается заставить работать в режиме клиента. Подключаемся по http шифруем своим клиентским сертификатом и отправляем.
Проблему локализовал до состояния. Клиентский сертификат неправильно сгенерирован. Удаленный сервер возвращает 400 в логах пишет о том что purpose у него нифига не клиентский.

собственно openssl это тоже подтверждает.

openssl x509 -purpose -noout -in client.crt.pem
Certificate purposes:
SSL client : No
...

Сертификат делал так

1. Утилитой cryptcp делается новый контейнер, генерятся ключи, посылается запрос на сертификат в тестовый УЦ
2. Сертификат добавляется в контейнер. (добавляется с OID для клиентского сертификата. Вот тут возможно и корень зла, потому что я не знаю точно что сюда писать)
3. Експорт в DER из контейнера (вот тут openssl x509 -purpose показывает что сертификат ниразу не клиентский)
4. Конвертация в PEM
5. Использование этого PEM в nginx

Собственно вопрос, Как правильно сгенерировать сертификат средствами криптопро который можно использовать как клиентский для подключения?
Сделать желательно в линуксе без графического интерфейса. Если не сложно напишите пример команды, а то я уже сжег все остатки мозгов своих.

да все так делал и с двумя и только с клиентским.

certmngr показыает эти OID
но похоже после експорта в .cer экспортируется без этих пропертей.

Напишите тривиальную утилиту — дёргайте из bash.

Ну это, если мне ехать только надо, а мне ещё и шашечки нужны. Тогда тривиальная утилита превратится в дополнительный язык в проекте, дополнительный CI\CD, дополнительные тесты и дополнительное звено, которое может сломаться и которое нужно поддерживать. Но в целом направлении мысли понял, спасибо.