Потребовалось однажды настроить VPN на сервере, дабы просто и без лишних сложностей с пробросом портов через ssh и выпячиванием в интернет разных ненужных там сервисов вроде SQL, иметь доступ ко всем его ресурсам. Самым известным и популярным решением для этого является openvpn, его-то я и решился завести. На сервере (а там gentoo, да) будет запущен, соответственно, сервер, авторизующий клиентов по ключам и пускающий их во внутреннюю маршрутизируемую подсеть класса C (да, 192.168.100.0/24 нам вполне будет достаточно и притаскивать 10.0.0.0/8 для сеточки на полтора клиента мы не станем).
Для начала проверяем use-флаги и собираем openvpn. Из флагов нам понадобятся lzo для поддержки компрессии трафика этим методом, ssl для шифрования и examples для установки дополнительных примеров конфигурации и документации. plugins и pam, который он тянет за собой, я отключил за ненадобностью в данном конкретном случае. Накрутив флаги, собираем:
emerge -av openvpn
Если все прошло как надо - приступаем к настройке.
Первое, что нам понадобится - создать инфраструктуру ключей (PKI) для сервера. В статье все достаточно подробно и пошагово расписано, но для тех, кому лень читать заграничный текст, я перевел ее тут, так что делаем как сказано. На выходе мы получаем необходимый набор ключей для сервера и клиентов. Каталог, в котором мы плодили ключи, оставляем себе на будущее - вдруг еще одному клиенту надо будет дать ключ, или обновить ключи после старения... Весь полученный набор копируем серверу в /etc/openvpn/keys.
Теперь серверу надо сделать конфиг. Никакого примера в поставке не идет, но я не забыл включить флаг examples и в /usr/share/doc/openvpn-2.3.8/ у меня есть каталог examples с примерами конфигов и прочего на все случаи жизни. Оттуда мы берем server.conf.bz2:
bzcat /usr/share/doc/openvpn-2.3.8/examples/sample/sample-config-files/server.conf.bz2 > /etc/openvpn/openvpn.conf
и начинаем править его для собственных нужд.
################################################# # Sample OpenVPN 2.0 config file for # # multi-client server. # # # # This file is for the server side # # of a many-clients <-> one-server # # OpenVPN configuration. # # # # OpenVPN also supports # # single-machine <-> single-machine # # configurations (See the Examples page # # on the web site for more info). # # # # This config should work on Windows # # or Linux/BSD systems. Remember on # # Windows to quote pathnames and use # # double backslashes, e.g.: # # "C:\\Program Files\\OpenVPN\\config\\foo.key" # # # # Comments are preceded with '#' or ';' # ################################################# # Which local IP address should OpenVPN # listen on? (optional) ;local a.b.c.d # Which TCP/UDP port should OpenVPN listen on? # If you want to run multiple OpenVPN instances # on the same machine, use a different port # number for each one. You will need to # open up this port on your firewall. port 1294 ; выберем нестандартный порт, чтобы китайцам ; было сложнее # TCP or UDP server? ;proto tcp proto udp ; современные каналы связи не так плохи, ; можно использовать и udp, будет чуть быстрее # "dev tun" will create a routed IP tunnel, # "dev tap" will create an ethernet tunnel. # Use "dev tap0" if you are ethernet bridging # and have precreated a tap0 virtual interface # and bridged it with your ethernet interface. # If you want to control access policies # over the VPN, you must create firewall # rules for the the TUN/TAP interface. # On non-Windows systems, you can give # an explicit unit number, such as tun0. # On Windows, use "dev-node" for this. # On most systems, the VPN will not function # unless you partially or fully disable # the firewall for the TUN/TAP interface. ;dev tap dev tun # SSL/TLS root certificate (ca), certificate # (cert), and private key (key). Each client # and the server must have their own cert and # key file. The server and all clients will # use the same ca file. # # See the "easy-rsa" directory for a series # of scripts for generating RSA certificates # and private keys. Remember to use # a unique Common Name for the server # and each of the client certificates. # # Any X509 key management system can be used. # OpenVPN can also use a PKCS #12 formatted key file # (see "pkcs12" directive in man page). ca keys/ca.crt cert keys/example.crt key keys/example.key # This file should be kept secret ; тут пишем созданные нами только что ключи и сертификаты, ; не забыв про каталог keys в котором они лежат. # Diffie hellman parameters. # Generate your own with: # openssl dhparam -out dh2048.pem 2048 dh keys/dh2048.pem ; тут тоже надо поправить каталог. # Network topology # Should be subnet (addressing via IP) # unless Windows clients v2.0.9 and lower have to # be supported (then net30, i.e. a /30 per client) # Defaults to net30 (not recommended) topology subnet # Configure server mode and supply a VPN subnet # for OpenVPN to draw client addresses from. # The server will take 10.8.0.1 for itself, # the rest will be made available to clients. # Each client will be able to reach the server # on 10.8.0.1. Comment this line out if you are # ethernet bridging. See the man page for more info. server 192.168.100.0 255.255.255.240 ; Тут указывается подсеть, сервер автоматически возьмет себе первый адрес. # Maintain a record of client <-> virtual IP address # associations in this file. If OpenVPN goes down or # is restarted, reconnecting clients can be assigned # the same virtual IP address from the pool that was # previously assigned. ifconfig-pool-persist ipp.txt # Uncomment this directive to allow different # clients to be able to "see" each other. # By default, clients will only see the server. # To force clients to only see the server, you # will also need to appropriately firewall the # server's TUN/TAP interface. client-to-client ; Здесь раскомментируем, если нужна связь клиент-клиент, ; в противном случае будет только клиент-сервер. # Uncomment this directive if multiple clients # might connect with the same certificate/key # files or common names. This is recommended # only for testing purposes. For production use, # each client should have its own certificate/key # pair. # # IF YOU HAVE NOT GENERATED INDIVIDUAL # CERTIFICATE/KEY PAIRS FOR EACH CLIENT, # EACH HAVING ITS OWN UNIQUE "COMMON NAME", # UNCOMMENT THIS LINE OUT. ;duplicate-cn ; Тут можно раскомментировать, если лень делать сертификаты на всех клиентов - ; будет возможно заходить множеству клиентов по одному сертификату. # The keepalive directive causes ping-like # messages to be sent back and forth over # the link so that each side knows when # the other side has gone down. # Ping every 10 seconds, assume that remote # peer is down if no ping received during # a 120 second time period. keepalive 10 120 # For extra security beyond that provided # by SSL/TLS, create an "HMAC firewall" # to help block DoS attacks and UDP port flooding. # # Generate with: # openvpn --genkey --secret ta.key # # The server and each client must have # a copy of this key. # The second parameter should be '0' # on the server and '1' on the clients. ;tls-auth ta.key 0 # This file is secret # Select a cryptographic cipher. # This config item must be copied to # the client config file as well. ;cipher BF-CBC # Blowfish (default) cipher AES-128-CBC # AES ;cipher DES-EDE3-CBC # Triple-DES ; Тут выбирается метод шифрования. ; На клиенте должен быть прописан такой же. # Enable compression on the VPN link. # If you enable it here, you must also # enable it in the client config file. comp-lzo yes ; включение сжатия. Есть варианты yes, no и adaptive - ; соответственно включено всегда, выключено всегда и ; автоматический выбор по мере надобности # The maximum number of concurrently connected # clients we want to allow. max-clients 14 ; Максимальное количество клиентов # It's a good idea to reduce the OpenVPN # daemon's privileges after initialization. # # You can uncomment this out on # non-Windows systems. user nobody group nobody # The persist options will try to avoid # accessing certain resources on restart # that may no longer be accessible because # of the privilege downgrade. persist-key persist-tun # Output a short status file showing # current connections, truncated # and rewritten every minute. status openvpn-status.log # Set the appropriate level of log # file verbosity. # # 0 is silent, except for fatal errors # 4 is reasonable for general usage # 5 and 6 can help to debug connection problems # 9 is extremely verbose verb 3
Вот примерно так это должно выглядеть.
Теперь осталось сделать конфиг для клиента. Возьмем его оттуда же из примеров и поправим на свой вкус:
bzcat /usr/share/doc/openvpn-2.3.8/examples/sample/sample-config-files/client.conf.bz2 > ~/openvpn.conf
############################################## # Sample client-side OpenVPN 2.0 config file # # for connecting to multi-client server. # # # # This configuration can be used by multiple # # clients, however each client should have # # its own cert and key files. # # # # On Windows, you might want to rename this # # file so it has a .ovpn extension # ############################################## # Specify that we are a client and that we # will be pulling certain config file directives # from the server. client # Use the same setting as you are using on # the server. # On most systems, the VPN will not function # unless you partially or fully disable # the firewall for the TUN/TAP interface. ;dev tap dev tun # Windows needs the TAP-Win32 adapter name # from the Network Connections panel # if you have more than one. On XP SP2, # you may need to disable the firewall # for the TAP adapter. ;dev-node MyTap # Are we connecting to a TCP or # UDP server? Use the same setting as # on the server. ;proto tcp proto udp ; Тут не забыть вписать то же, что и в клиенте # The hostname/IP and port of the server. # You can have multiple remote entries # to load balance between the servers. remote 8.8.8.8 1294 ;remote my-server-2 1194 ; Указываем адрес и порт сервера, к которому мы будем подключаться. # Keep trying indefinitely to resolve the # host name of the OpenVPN server. Very useful # on machines which are not permanently connected # to the internet such as laptops. resolv-retry infinite # Most clients don't need to bind to # a specific local port number. nobind # Downgrade privileges after initialization (non-Windows only) ;user nobody ;group nobody ; Здесь стоит раскомментировать, но только для невиндовых клиентов. # Try to preserve some state across restarts. persist-key persist-tun # If you are connecting through an # HTTP proxy to reach the actual OpenVPN # server, put the proxy server/IP and # port number here. See the man page # if your proxy server requires # authentication. ;http-proxy-retry # retry on connection failures ;http-proxy [proxy server] [proxy port #] ; Можно вписать прокси # Wireless networks often produce a lot # of duplicate packets. Set this flag # to silence duplicate packet warnings. ;mute-replay-warnings # SSL/TLS parms. # See the server config file for more # description. It's best to use # a separate .crt/.key file pair # for each client. A single ca # file can be used for all clients. ca keys//ca.crt cert keys//nowhereman.crt key keys//nowhereman.key ; тут прописываем открытый ключ и сертификаты клиента. # Verify server certificate by checking that the # certicate has the correct key usage set. # This is an important precaution to protect against # a potential attack discussed here: # http://openvpn.net/howto.html#mitm # # To use this feature, you will need to generate # your server certificates with the keyUsage set to # digitalSignature, keyEncipherment # and the extendedKeyUsage to # serverAuth # EasyRSA can do this for you. remote-cert-tls server # If a tls-auth key is used on the server # then every client must also have the key. ;tls-auth ta.key 1 # Select a cryptographic cipher. # If the cipher option is used on the server # then you must also specify it here. cipher AES-128-CBC ; Метод шифрования. Должен быть таким же как и на сервере. # Enable compression on the VPN link. # Don't enable this unless it is also # enabled in the server config file. comp-lzo yes ; Сжатие. Должно быть таким же как на сервере. # Set log file verbosity. verb 4
Вот, собственно, и все. Остается закинуть клиенту файлики ca.crt, client1.crt, client1.key и созданный конфиг, и можно подключаться.
Да. Для виндовой версии конфиг надо переименовать в openvpn.ovpn.
- Войдите, чтобы оставлять комментарии