[8.930][BUG] UserPortal + SSL VPN = problem

Could you please check whether the user for SSL VPN have a CA assigned. 

1) In WebAdmin, go to "Support » Printable Configuration" and generate the report. 
2) In the configuration popup window click on "user object table (aaa-user)", find the user configured for SSL VPN.
3) Find the "certificate (x509_cert)" setting for that user, remember the REF_* string and click it.
4) Find the X509 certificate object for the REF string from 3), remember and click on the  name of the "peer certificate (certificate)".
5) Find the X509 certificate with private key object for the name from 4) and check the "issuer certificate (ca)" setting. It should not be empty, there should be a link to a X509 signing CA object.

If you don't have a link here, that's the problem. You could try to export the certificate, import it again and assign the imported certificate to the SSL VPN user.

Edit: another easy way to break this is to use backend groups with SSL VPN, do you?

Could you please check whether the user for SSL VPN have a CA assigned. (...)

It has. But the whole point is that the ca.crt in the OpenVPN chroot is empty.

Could you please check whether the user for SSL VPN have a CA assigned. (...)

It has. But the whole point is that the ca.crt in the OpenVPN chroot is empty.