Просмотр кода страницы OpenVPN установка и настройка сервера под Gentoo linux

[[Изображение:ovpntech_logo.png|thumb|OpenVPN]]
'''OpenVPN''' — свободная реализация технологии Виртуальной Частной Сети (VPN) с открытым исходным кодом для создания зашифрованных каналов типа точка-точка или сервер-клиенты между компьютерами. Более подробно можно почитать на [[wikipedia:ru:OpenVPN|WikiPedia]]

Встала у меня необходимость подключаться к компьютеру с серым IP, у которого нет никакой возможности получить белый IP.  Однако, вспомнив, что у меня есть домашний мини-сервер в белый постоянным IP было решено установить на него VPN сервер, к которому сможет подключиться компьютер с серым IP, а дальше уже, после подключения, сервер мог бы направлять запросы на клиента с серым IP.

==Настройка конфигурации ядра==
Для начала нам нужно пересобрать ядро системы с включённой опциец TUN/TAP. Я включил её не как отдельный LKM, а встроил в ядро.
{{Kernel| 3.1.6 kernel config с поддержкой TUN/TAP|<pre>
Device Drivers --->
	[*] Network device support --->
		<*>   Universal TUN/TAP device driver support
</pre>}}

Для того, чтобы вспомнить, как собрать ядро можно почитать краткий [[Gentoo_kernel_upgrade|мануал]]. После пересборки ядра незабываем загрузиться в него.

==Установка OpenVPN под Gentoo==
В Gentoo пакет ставится следующим образом:
{{package|net-misc/openvpn-2.2.2}}

Проверям ''USE'' флаги.
{{USEFlag|extended=yes|
{{EnableFlag|lzo}} 
{{EnableFlag|ssl}}}}
Остальные USE флаги были выключенны.

Далее как обычно
{{root|emerge openvpn}}

==Генерация сертификатов, ключей, а так же параметров Диффи-Хеллмана==
Процедура достаточно простая, однако, для более глубокого познания процесс можно почитать вот [http://openvpn.net/howto.html#pki тут].

Для генерации ключей надо установить пакет
{{root|emerge app-crypt/easy-rsa}}
если он не поставился у вас автоматом с openssl (это как я понимаю зависит от параметров компиляции openssl).

===Настройка параметров ключей===
В новой версии openVPN инструмент для настройки ключей уже не поставляется вместе с пакетом и его нужно установить отдельно.

{{root| emerge easy-rsa}}

{{note|При работе с интрументом, помогающим в создании Private Key Infrastructure (PKI) мы должны зайти в '''/usr/share/easy-rsa'''.}}

Сперва нам нужно создать файлик vars, где будут находиться все базовые параметры необходимые для создания PKI.

Сделать его можно на основе '''vars.example'''.

Для этого выполняем:

{{root|cd /usr/share/easy-rsa}}

{{root|cp vars.example vars}}


Теперь занёс в файл '''vars''' требуемые начальные параметры.

У меня получилось что-то типа:


{{File|/usr/share/easy-rsa/vars|
<syntaxhighlight lang="bash" line start="1" line="GESHI_FANCY_LINE_NUMBERS" enclose="div">
set_var EASYRSA_REQ_COUNTRY     "RU"
set_var EASYRSA_REQ_PROVINCE    "Russia"
set_var EASYRSA_REQ_CITY        "Moscow"
set_var EASYRSA_REQ_ORG         "Donik Corporation"
set_var EASYRSA_REQ_EMAIL       "admin@donik.org"
set_var EASYRSA_REQ_OU          "Donik Unit"

</syntaxhighlight>
}}

В принципе всё это не так важно =)

Так же в этом файле полезно будет обратить внимание на опции действия сертификатов (срок их жизни). Я Свои продлил с 825 дней до 3650

{{File|/usr/share/easy-rsa/vars|
<syntaxhighlight lang="bash" line start="1" line="GESHI_FANCY_LINE_NUMBERS" enclose="div">
# In how many days should the root CA key expire?
#
#set_var EASYRSA_CA_EXPIRE      3650

# In how many days should certificates expire?
#
set_var EASYRSA_CERT_EXPIRE     3650
</syntaxhighlight>
}}

===Процедура выпуска ключей===
Процедура состоит из этапов:

* Генерация ключа и сертификата удостоверяющего центра
* Генерация ключей и сертификатов сервера
* Генерация ключей и сертификатов клиентов
* Генерация файла Дефи-Хеллмана для безопастной авторизации

Теперь выполняем команды из той же папки, куда мы перешли чуть ранее {{path|/usr/share/easy-rsa}}:

Заходим в папку, если ещё не зашли
{{root|cd /usr/share/easy-rsa}}

Создаём инфраструктуру для генерации ключей
{{root|./easyrsa init-pki}}

Создаём ключ удостоверяющего центра, который и будет всё подписывать
{{root|./easyrsa build-ca}}

На вопрос '''Common Name''' можно ввести '''donik.org''', как адрес нашего удостоверяющего центра. Он нигде особо не понадобится.

{{note|Последняя команда генерирует ключ и сертификат "Удостоверяющего центра" ;) }}

Удаляем пароль (passphrase) из ключа удостоверяющего центра

{{root|./easyrsa set-rsa-pass ca nopass}}

Он в принципе мог бы и сотаться, но для удобства его можно удалить.

{{Warning|У клиентов и сервера passphrase ключа важно удалить!}}


После инициализации приступаем к выпуску ключей для сервера и клиента.

====Выпускаем сертификат для сервера====
{{root|./easyrsa build-server-full server}}

Большинство параметров пройдут как и раньше по дефолту благодаря нашей подготовке в самом начале. На вопрос '''Common Name''' ввести '''server'''.

Удаляем passphrase
{{root|./easyrsa set-rsa-pass server nopass}}

====Выпускаем сертификат для клиента====
{{root|./easyrsa build-client-full client}}

Удаляем passphrase
{{root|./easyrsa set-rsa-pass client nopass}}

На вопрос '''Common Name''' нужно ввести имя клиента: '''client''', client2, client3 и т. д. если у нас много разных клиентов.

{{note|На вопросы о защите ключей паролем я везде вводил временный пароль, который потом удалял.То есть ключи нам нужны для сервера и клиентов БЕЗ паролей.}}

===Генерируем параметры Диффи-Хеллмана===
Этот файлик поможет произвести первое рукопожатие для авторизации по не безопастному протоколу, для последующей обмены ключами и установки безопастного конекта

{{root|./easyrsa gen-dh}}

===Куда какие ключи положить===
Теперь мы имеем в папке {{path|./pki}} сертификаты и ключи. В общем полный набор для всех (удостоверяющий центр (поможет в будущем генерировать новые ключи), сервер, клиенты)

{{warning|Важно, что файлы с расширением *.key являются приватными и их нужно защитить ограничением прав. Чтение и запись только владельцу: 600}}

Далее  мы должны по безопастному каналу переместить на клиента следующие файлы:
* ca.crt (сертификат удостоверяющего центра)
* client.crt (сертификат клиента для авторизации)
* client.req(запрос на выпуск сертификата, для туннеля он не нужен)
* client.key (приватный ключ клиента)

{{warning|ca.key это приватный файл '''НЕ''' для клиента! Это ключ удостоверяющего центра}}

Для большей безопастности можно использовать как авторизацию по ключу, а так же и шифрование по сертификату одновременно. Для этого перенесём файлы, которые нужны будут серверу в его специальную папку, путь к которой будем использовать в конфиге сервера.

После чего, забрав клиентские файлики мы можем забэкапить папку PKI и удалить с сервера. В будущем, если потребуется новый выпуск ключей клиентам, мы можем её восстановить, и используя уже имеющуюся инфраструктуру продолжить генерацию ключей клиентам.


{{root|mkdir -p /etc/openvpn/privnet}}

Переносим в паку выше файлы сервера:

* ca.crt
* dh.pem
* server.crt
* server.key
* server.req

==Конфигурирование OpenVPN сервера==
У меня достаточно простая конфигурация сервера, конфиг которого я постарался снабдить подробными комментариями (правда на английском):

{{root|nano -w /etc/openvpn/openvpn.conf}}
{{File|/etc/openvpn/openvpn.conf|
<syntaxhighlight lang="bash" line start="1" line="GESHI_FANCY_LINE_NUMBERS" enclose="div">
# non default port to prevent worm attacks!
port 2194

#udp is a bit faster but tcp is more stable, choosing tcp
proto tcp

#creating network tunnel for IP pachets management. we don't need TAP here for ethernet's frames management
dev tun

#paths to our certificates, private keys and Diffie Hellman params file
ca privnet/ca.crt
cert privnet/server.crt
key privnet/server.key
dh privnet/dh.pem

#encryption algorythm
data-ciphers AES-256-GCM:AES-256-CBC


#config VPN subnet as 10.8.0.0/24
server 10.8.0.0 255.255.255.0

#give clients same IPs if it's free when client connected respecting ipp.txt.
#zero at the end means don't recreate it automaticly.
ifconfig-pool-persist ipp.txt 0

#ping clients every 10 seconds and if no reply was recivied in 120 seconds then restart tunnel
keepalive 10 120

#Disable trafic compression for security reasons
allow-compression no

#what user and what group will be used to run openvpn service (not priviliged user used here)
user nobody
group nobody

#not reread key files after tunnel restarts
persist-key
#don't do anything to tun device after restarting openvpn
persist-tun

#file with clients that established connection at this moment
status openvpn-status.log
#set log verbose level to 3 out of 11
verb 3
#don't rewrite log file - only append at the end of file
log-append /var/log/openvpn.log

#allow client-to-client connections throught our server
client-to-client
</syntaxhighlight>
}}

Запускаем демон
{{root|/etc/init.d/openvpn start}}
и добавляем его в автозагрузку:
{{root|rc-update add openvpn default}}

===Указываем статические адреса клиента===
Данный метод согласно документации не даёт 100% гарантии, но вполне рабочий и очень простой.
Правим файлик ipp.txt занося туда CN клиента (у нас они шли как clint, client1, client2 и т.д.), а потом желаемый IP.


{{root|nano -w /etc/openvpn/ipp.txt}}
{{File|/etc/openvpn/ipp.txt|
<syntaxhighlight lang="bash" line start="1" line="GESHI_FANCY_LINE_NUMBERS" enclose="div">
client,10.8.0.4
</syntaxhighlight>
}}


{{Note|Важно, что у нас из-за tun айпишники будут выдаваться чётными числами и на 2 больше, чем указано в файлике. Например, указывае 10.8.0.4 мы получим на клиенте 10.8.0.6, а указав 10.8.0.8 на клиенте будет 10.8.0.10. При этом доступны к указанию следующие номера: 10.8.0.4; 10.8.0.8; 10.8.0.12; 10.8.0.16; 10.8.0.20; и т.д. То есть с шагом в 4 ареса. Однако, если указать 10.8.0.16, то будет адрес 10.8.0.18, а при указании 10.8.0.18 он же и будет выдаваться!}}

==Конфигурирование OpenVPN клиента под Windows 7 64 bit==
Для проверки работоспособности нашего сервера необходимо поставить VPN клиента на стороннюю машину и протестировать всё. Я выбрал Windows, так как использую его как свою десктоп ОС.

Сперва необходимо скачать программу с официального сайта [https://openvpn.net/index.php/open-source/downloads.html]. В самом низу страницы будет '''Windows Installer (64-bit)'''.

После установки программы заходим в папку {{path|c:\Program Files\OpenVPN\config\}} где, запустив блокнот от имени администратора, создаём конфиг '''client.ovpn''':

{{File|client.ovpn|
<syntaxhighlight lang="bash" line start="1" line="GESHI_FANCY_LINE_NUMBERS" enclose="div">
client
dev tun
proto tcp

#enforce server certificate verification by clients
remote-cert-tls server

remote YOUR_SERVER_IP_OR_DOMAIN 2194
resolv-retry infinite
nobind

#encryption algorythm
data-ciphers AES-256-GCM

#execute routing commands to cause all outgoing traffic to be redirected over the VPN
#redirect-gateway


persist-key
persist-tun

# Compression has been used in the past to break encryption
allow-compression no

verb 3

ca ca.crt
cert client.crt
key client.key


</syntaxhighlight>
}}

{{Note|Вместо YOUR_SERVER_IP_OR_DOMAIN нужно внести адрес, где установлен OpenVPN сервер.}}

Далее в папку с конфигом нам нужно положить наши ключи и сертификат, которые мы ранее выделили как клиентские:

* ca.crt 
* client.crt 
* client.req (не обязателен, он был нужен для запроса на выпуск ключа от удостоверяющего центра)
* client.key

После чего нам нужно запустить OpenVPN GUI от имени администратора и два раза кликнуть на иконке OpenVPN в трее. Проверить установку связи можно пингами в обе стороны.

{{root|ping 10.8.0.4}}

Если у клиента был выдан такой IP ;)
{{note|В win7 64 bit рекомендуется для тестирования отключить фаерволл, иначе пинги от сервера клиенту не пройдут.}}

==Конфигурирование OpenVPN клиента под Gentoo linux==
Может так получится, что параллельно с сервером нужно поднять ещё и клиента, или даже несколько клиентских коннектов. Для этого нужно

1) Создать символчиескую ссылку на файл запуска сервиса

{{root|ln -s /etc/init.d/openvpn /etc/init.d/openvpn.donikov}}

2) Затем нужно добавить в систему конфиг клиента (аналогичен тому, что есть в винде)


{{File|/etc/openvpn/donikov.conf|
<syntaxhighlight lang="bash" line start="1" line="GESHI_FANCY_LINE_NUMBERS" enclose="div">
client
dev tun
proto tcp

#enforce server certificate verification by clients
remote-cert-tls server

remote vpn.donik.org 2194
resolv-retry infinite
nobind

#encryption algorythm.
data-ciphers AES-256-GCM

persist-key
persist-tun

# Compression has been used in the past to break encryption
allow-compression no

verb 3

ca ca.crt
cert privnet_donikov/client.crt
key privnet_donikov/client.key

</syntaxhighlight>
}}

3) Затем новая служба запускается

{{root|/etc/init.d/openvpn.donikov start}}

4) И добавляется в автозапуск

{{root|rc-update add openvpn.donikov default}}

==Ссылки==
* [http://en.gentoo-wiki.com/wiki/OpenVPN Статья] на моём любимом сайте, которая легла в основу данного мануала
* [http://openvpn.net/index.php/open-source/documentation/howto.html#mitm Официальная] инструкция к OpenVPN
* [http://openvpn.net/index.php/download.html страница] скачивания программы
* [http://tuxnotes.ru/articles.php?a_id=26 Описание] на русском языке всех параметров конфига OpenVPN
* [http://habrahabr.ru/post/67238/ Пост] на Хабре, который дал пару подсказок для меня
* [[wikipedia:ru:TUN/TAP|TUN TAP на Wikipedia]]

[[Category:Index]]
[[Category:Linux]]