install and configure openvpn server

Что такое Оpenvpn?

Openvpn — бесплатная реализация виртуальной частной сети (Virtual Private Network) создана Джеймсом Йонаном (James Yonan). Дает возможность создать так называемый тоннель для передачи данных между двумя машинами с шифрованием. Виртуальная частная сеть потому, что тоннель создается по уже существующей сети (Интернет соединение). Одна из особенностей Оpenvpn в том, что все передаваемые данные шифруются и если даже кто-то перехватит данные, он их не сможет прочесть без ключа шифрования. Частная сеть потому, что доступ к сети могут иметь только сотрудники компании, например, то есть только машины, которые вошли в виртуальную сеть. Openvpn предоставляет несколько методов аутентификации: сертификатную (certificates) и с помощью логина пароля (based), смарт карты, можно также совмещать.

Установка Оpenvpn на Centos 5.4.

В данной статье опишу установку виртуальной частной сети Оpenvpn с шифрованием в режиме клиент\сервер (client/server mode) с сертификатным методом аутентификации. Технология клиент\сервер дает возможность подключать n-е количество клиентов к виртуальной сети и устанавливать частную сеть клиентских машин как с сервером, так и между собой.

Нужно убедиться что на сервере включено перенаправление ip (IP forwarding) и перенаправление TUN пакетов (TUN packet forwarding):

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -A FORWARD -i tun+ -j ACCEPT

Данная установка проводилась на openvz VPS сервере, по этому открываем для ВПС нужные интерфейсы, как описано в openvz wiki:

vzctl set 101 —devices c:10:200:rw —save
vzctl set 101 —capability net_admin:on —save
vzctl exec 101 mkdir -p /dev/net
vzctl exec 101 mknod /dev/net/tun c 10 200
vzctl exec 101 chmod 600 /dev/net/tun

Перед установкой на сервере были установлены уже RPM пакеты openssl и openssl-devel. Также ставим lzo билиотеку для компресии(сжимания) передаваемого трафика по создаваемой сети и С++ компилятор.

yum install gcc-c++
cd /usr/local/src/
wget http://www.oberhumer.com/opensource/lzo/download/lzo-2.00.tar.gz
tar -xzf lzo-2.00.tar.gz
cd lzo-2.00
./configure && make &&make install

Ставим pkcs11-helper, для больших возможностей в будущем по настройке виртуальной частной сети Оpenvpn, если будите использовать стандарт шифрования pkcs11. Я так понимаю, что на данном этапе можно было бы и без это обойтись.

cd /usr/local/src/
wget http://www.opensc-project.org/files/pkcs11-helper/pkcs11-helper-1.07.tar.bz2
tar -xjf pkcs11-helper-1.07.tar.bz2
cd pkcs11-helper-1.07
./configure && make && make install
cd ../

Ставим сам openvpn (на сайте разработчиков можно выбрать нужную версию ). Обычно устанавливается в системные папки по умолчанию. Я предпочел, что бы все поставилось и находилось в одной папке — /usr/local/openvpn, для этого добавляем —prefix=/usr/local/openvpn.

wget http://openvpn.net/release/openvpn-2.1.1.zip
cd ../openvpn-2.1.1
./configure —prefix=/usr/local/openvpn
make && make install

Создаем папку /usr/local/openvpn/keys где будут сохраняться сертификаты и ключи. Копируем папки easy-rsa в /usr/local/openvpn для генерации сертификатов. Папка easy-rsa должна находиться в корне директории с исходниками.

mkdir /usr/local/openvpn/keys
cp -rp /usr/local/src/openvpn-2.1.1/easy-rsa /usr/local/openvpn/
Создаем master CA(Certigicate Authority) certificate/key:
cd /usr/local/openvpn/easy-rsa/2.0
source ./vars #(или ./vars)
./clean-all
./build-ca

Нужно будет заполнить предложенные поля:

Country Name (2 letter code) [KG]:
State or Province Name (full name) [NA]:
Locality Name (eg, city) [BISHKEK]:
Organization Name (eg, company) [OpenVPN-TEST]:
Organizational Unit Name (eg, section) []:
Common Name (eg, your name or your server’s hostname) []:OpenVPN-CA
Email Address [me@myhost.mydomain]:

Генерим дальше сертификат, ключ сервера и клиентских машин, при генерации клиентских сертификатов поле Common Name для отдельного клиента должно быть уникальным, можно оставлять по умолчанию.

./build-key-server server
./build-key client1
./build-key client2

Создаем Diffie Hellman параметры:

./build-dh

Должно выдать следующее:

ai:easy-rsa # ./build-dh
Generating DH parameters, 1024 bit long safe prime, generator 2
This is going to take a long time
……………..+…………………………………….
……………….+………….+……………..+………
………………………………..

Копируем следующие сгенеренные файлы в папку /usr/local/openvpn/keys.

cp ca.crt ca.key dh1024.pem server.crt server.key client*.crt client*.key /usr/local/openvpn/keys

Копируем примеры конфигурационных файлов (она находятся в корне папки с исходниками).

cp -rp /usr/local/src/openvpn-2.1.1/sample-config-files /usr/local/openvpn

Там теперь можем найти пример конфигурационного файла сервера server.conf

Мой конфиг сервера:

port 1194
proto tcp
dev tun
ca keys/ca.crt
cert keys/server.crt
key keys/server.key # This file should be kept secret
dh keys/dh1024.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push «route 10.8.0.0 255.255.255.0″
push «dhcp-option DNS 10.8.0.1″
client-to-client
keepalive 10 120
comp-lzo
max-clients 10
user nobody
group nobody
persist-key
persist-tun
status openvpn-status.log
log openvpn.log
log-append openvpn.log
verb 3

Дальше создаем скрипт запуска и остановки сервера виртуальной частной сети openvpn.

cp /usr/local/src/openvpn-2.1.1/sample-scripts/openvpn.init /etc/rc.d/init.d/openvpn

В файле /etc/rc.d/init.d/openvpn изменяем путь к бинарнику запуска сервера openvpn.

openvpn=»/usr/local/openvpn/sbin/openvpn»

Чтобы ничего больше не менять, делаем символическую ссылку:

ln -s /usr/local/openvpn /etc/openvpn
chmod 755 /etc/rc.d/init.d/openvpn
chkconfig —add openvpn

Запускаем наш Openvpn сервер

/etc/init.d/openvpn start

Ставим на машине-клиенте openvpn-клиент (скачать его можно на сайте разработчика). Я ставил на Windiws XP, никаких дополнительных интерфейсов настроек сети руками настраивать не нужно было. Конфигурационный файл клиента у меня находится в C:\Program Files\OpenVPN\config, вот что в нем прописано client.conf:

client
dev tup
proto tcp
remote <ip адрес openvz сервера> 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca keys/ca.crt
cert keys/client2.crt
key keys/client2.key
comp-lzo
verb 3
pull

Как видите сертификаты клиента и мастер сертификат ca.crt у меня скопированы с openvpn сервера в папку C:\Program Files\OpenVPN\config\keys

После этого запускаем openvpn клиент, и можем соединиться с сервером, где стоит наш openvpn сервер используя ip адрес 10.8.0.1. Таким образом, используя openvpn сеть с нашей простой настройкой решает как минимум две пролемы:

1. Безопасность передачи данных. Так как используется SSL шифрование при передаче данных, даже если кто-то будет перехватывать трафик, расшифровать переданную информацию не сможет.

2. Количество передаваемого трафика. Использование библиотеки lzo (сжатие передаваемых данных) дает возможность уменьшить количество передаваемого трафика, соответственно это способствует ускорению передачи данных.

Опубликовано в Установка/Настройка ПО

Рубрики