Очередной головняк подарил Easy-RSA. CA был создан на 3.0.3, понадобилось выпустить клиентский сертификат при помощи обновленного Easy-RSA.