Unter OpenBSD (getestet mit OpenBSD 7.9) hat sich folgende Konfiguration als funktionierend herausgestellt:

remote vpn.ext.c-base.org 1194
verify-x509-name vpn.ext.c-base.org name
client
dev tun
dns-updown disable
user _openvpn
group _openvpn
persist-tun
comp-lzo
script-security 2
auth-user-pass /usr/local/etc/openvpn/client/c-base.secret
key-direction 1
<tls-auth>
... ganz viel Schlüsselmaterial... gekürzt

Die Zeile dns-updown disable sollte nur verwendet werden, wenn man einen eigenen Resolver verwendet, der die Zone cbrp3.cbase.org an 10.0.1.254 delegieren kann und man es als störend empfindet, dass OpenVPN die Datei /etc/resolv.conf modifiziert,

Die entsprechenden Einträge für einen unbound-Resolver sehen wie folgt aus: (Ausschnitt aus /etc/unbound/unbound.conf)

stub-zone:
        name: "cbrp3.c-base.org."
        stub-addr: 10.0.1.254

stub-zone:
        name: "1.0.10.in-addr.arpa."
        stub-addr: 10.0.1.254

In der Datei /usr/local/etc/openvpn/client/c-base.secret stehen Benutzername und Klartext-Kennwort etwa so:

bernd
MeInStReNgGeHe1mEsKENNw0rt%

Unter OpenBSD ist das OpenVPN-Paket in der “mbedtls”-Variante zu verwenden, nicht die andere einfachere Version, welche nur ein veraltetes und daher nicht zulässiges Verschlüsselungsverfahren unterstützt. Bei OpenBSD 7.9 heißt das zu benutzende Paket openvpn-2.7.2-mbedtls