התקן את שרת ה- VPN שלך עם OpenVPN על שרת אובונטו 10.04

התקן את שרת ה- VPN שלך עם OpenVPN על שרת אובונטו 10.04

תשומת לב

לאחר זמן מה בלי לפרסם אני מביא לך את המדריך הזה של כיצד ליצור VPN משלך על שרת אובונטו, או להתחבר למחשב הביתי או לשימוש באינטרנט בבטחה ברשתות Wi-Fi לא מאובטחות.

OpenVPN זו תוכנה שפועלת כלקוח ושרת בהתאם לאופן שבו אנו מגדירים אותה, אני מבהיר שישנן שתי גרסאות לכך:
* תוכנת קהילת OpenVPN: זו הגרסה בה נשתמש והיא 100% קוד פתוח
* שרת גישה OpenVPN: זו הגרסה בתשלום, אתה יכול להשתמש בחינם רק עד 2 משתמשים, המשתמשים הנוספים זולים מאוד, יש לה גם תוספות כגון פאנל לניהול אתרים, זה סופר קל להגדרה ועוד.

מבוא

OpenVPN הוא מוצר תוכנה שיצר ג'יימס יונאן בשנת 2001 ומאז הוא משתפר.

שום פיתרון אחר אינו מציע תערובת כזו של אבטחה, אבטחה, קלות שימוש ותכונות עשירות ברמה ארגונית.

זהו פתרון מרובה צורות המפשט מאוד את התצורה של רשתות VPN, ומשאיר אחריו את הזמנים של פתרונות קשים אחרים לתצורה כגון IPsec והופך אותו לנגיש יותר עבור אנשים חסרי ניסיון בסוג זה של טכנולוגיה.

נניח שעלינו לתקשר עם ענפים שונים בארגון. להלן נראה כמה פתרונות שהוצעו במענה לצרכים מסוג זה.

בעבר התקשרו באמצעות דואר, טלפון או פקס. כיום ישנם גורמים המחייבים יישום פתרונות קישוריות מתוחכמים יותר בין משרדי הארגונים ברחבי העולם.

גורמים אלה הם:

האצת התהליכים העסקיים וכתוצאה מכך הגידול בצורך בחילופי מידע גמישים ומהירים.
* לארגונים רבים יש כמה סניפים במקומות שונים כמו גם עובדי טלפון מרוחקים מהבית, אשר צריכים להחליף מידע ללא כל דיחוי, כאילו הם ביחד פיזית.
* הצורך ברשתות מחשבים לעמוד בסטנדרטים גבוהים של אבטחה המבטיחים אותנטיות, שלמות וזמינות.

מקור: ויקיפדיה

השרת:

מדריך זה מיועד לשרת אובונטו 10.04, אני מתאר לעצמי שהוא עובד בגירסאות והפצות אחרות, יש לנו שרת אובונטו כבר מותקן ועובד.
אנו מתקינים את OpenVPN וגם את OpenSSL מכיוון שהאבטחה מבוססת על ssl.

sudo apt-get -y להתקין openvpn sudo apt-get -y להתקין openssl

אנו מגדירים את הדמון של OpenVPN לא להתחיל אוטומטית עם המערכת
אנו מגיבים על הכל על ידי הוספת # לתחילת כל שורה.

sudo nano / etc / default / openvpn

הסר גם את סקריפט ההפעלה, כדי למנוע את התחלתו אם אתה מגדיר את התצורה

sudo update-rc.d -f /etc/init.d/openvpn להסיר

כעת אנו יוצרים את הקובץ openvpn.conf ב- / etc / openvpn /

sudo nano /etc/openvpn/server.conf

ושמנו את התצורה הזו

dev tun proto tcp port 1194 ca /etc/openvpn/keys/ca.crt cert /etc/openvpn/keys/server.crt key /etc/openvpn/keys/server.key dh /etc/openvpn/keys/dh2048.pem משתמש אף אחד לא קבוצה קבוצה שרת 10.6.0.0 255.255.255.0 ifconfig-pool-persist /etc/openvpn/clients.txt status /etc/openvpn/status.txt persist-key persist-tun push "redirect-gateway def1" push "route 192.168.0.0 .255.255.255.0 10 "keepalive 120 3 פועל 3 comp-lzo max-clients XNUMX

כפי שאתה יכול לראות את זה ניתן להתאים אישית, זו דוגמה שנבדקה

אם אינך רוצה להשתמש ב- vpn לאינטרנט מאובטח, כלומר אל תגלוש באינטרנט מ- VPN, הסר את השורה "redirect-gateway".

נתונים אחרים שניתן לשנות:
* ca, cert, key ו- dh = הם הישות, האישורים, המפתח ו- Diffie Hellman של השרת, אנו ניצור אותם בהמשך.
* שרת 10.6.0.0 255.255.255.0 = הוא טווח ה- ip שה- vpn ישתמש בו, ישתמש באחרת אך לא ישתמש כמו זהה לרשת האמיתית.
* ifconfig-pool-persist ipp.txt = שמור שהוקצה לכל ip ב- vpn
* פרוטו ופורט = פרוטוקול ויציאה, אתה יכול להשתמש ב- tcp ו- utp, ב- utp זה לא נתן לי תוצאות טובות, היציאה היא שאתה יכול לשנות את זה.
* duplicate-cn = מאפשר להשתמש באותה תעודה ומפתח במספר לקוחות בו זמנית, אני ממליץ לא להפעיל אותה.
* up /etc/openvpn/openvpn.up = הוא סקריפט שנטען openvpn בעת ההפעלה, הוא משמש ל ROUTING ו- FORWARDING, ניצור אותו בהמשך.
* לקוח ללקוח = הוא למנוע ממשתמשי VPN לראות את עצמם, בהתאם למקרה שזה שימושי.
* comp-lzo = דחיסה, דחס את כל תעבורת ה- VPN.
* פועל 3 = מגדיל או מקטין את פרטי השגיאה בשרת.
* מקסימום לקוחות 30 = מספר המשתמשים המרבי המחובר לשרת בו זמנית, ניתן להגדיל או להקטין.
* push route = מאפשר לך לראות או להיות ברשת מאחורי שרת ה- VPN, היזהר שלא להפעיל לקוח ללקוח.
* לחץ «redirect = מאלץ את הלקוח להשתמש ב- VPN כשער.

עכשיו אנו יוצרים את הסקריפט כדי להגדיר ולהפעיל את שרת ה- VPN.

sudo nano /etc/init.d/vpnserver

ואנחנו מדביקים קוד זה, משנים את טווח ה- ip בהתאם לתצורת השלב הקודם

#! / bin / sh # vpnserver_start () {echo "VPN Server [OK]" echo 1> / proc / sys / net / ipv4 / ip_forward /etc/init.d/networking הפעלה> / dev / null / sbin / iptables -t nat -A POSTROUTING -s 10.6.0.0/24 -o eth0 -j MASQUERADE / usr / sbin / openvpn --config /etc/openvpn/server.conf 2 >> /etc/openvpn/error.txt 1 >> /etc/openvpn/normal.txt &} vpnserver_stop () {echo "Server VPN [NO]" / usr / bin / killall "openvpn" iptables -F iptables -X /etc/init.d/ רשת הפעלה מחדש> / dev / null} vpnserver_restart () {vpnserver_stop שינה 1 vpnserver_start} # מקרה "$ 1" ב'התחל ') vpnserver_start ;; 'עצור') vpnserver_stop ;; 'הפעל מחדש') vpnserver_restart ;; *) vpnserver_start ;; ש- C

עכשיו אנו מקצים לזה הרשאות הפעלה

sudo chmod + x /etc/init.d/vpnserver

גם ומה להגדיר כדי להתחיל אוטומטית עם המערכת

ברירות מחדל של sudo update-rc.d vpnserver

ובכן, כבר הגדרנו את OpenVPN, עכשיו עלינו להפעיל את מודול ה- TUN בגרעין, עם השורות האלה, אנחנו טוענים אותו וזהו

sudo modprobe טון sudo echo "tun" >> / etc / modules

כפי שתראו, התצורה לא הייתה כל כך קשה, אך כעת היא מגיעה לאט ביותר:

* צור 2048bit דיפי הלמן
* צור את רשות האישורים.
* צור את האישורים והמפתחות של השרת.
* צור אישורים ומפתחות לכל משתמש.

אנו מעתיקים את הדוגמאות easy-rsa כדי ליצור את היישות, האישורים, המפתחות וההצפנה, המשתמשים ב- OpenVPN,

sudo cp -R / usr / share / doc / openvpn / דוגמאות / easy-rsa / / etc / openvpn /

כעת עליך להזין את התיקיה אליה נמצאים כלי השירות שהעתקנו וליצור את תיקיית המפתחות

sudo cp -R / usr / share / doc / openvpn / דוגמאות / easy-rsa / / etc / openvpn / cd /etc/openvpn/easy-rsa/2.0 sudo mkdir מקשים

עלינו לערוך רק את קובץ ה- vars שנמצא ב /etc/openvpn/easy-rsa/2.0

sudo nano /etc/openvpn/easy-rsa/2.0/vars

ואנחנו משנים ערכים אלה

ייצא KEY_DIR = "$ EASY_RSA / מפתחות"

ידי

ייצא KEY_DIR = "/ etc / openvpn / easy-rsa / 2.0 / keys"

זה ליצור כן או כן ב /etc/openvpn/easy-rsa/2.0/keys
אנו ממשיכים, אנו גם משנים את הפרמטרים עבור דיפי הלמן של 2048 ביט

ייצא KEY_SIZE = 1024

ידי

ייצא KEY_SIZE = 2048

חסרים לנו רק הנתונים עבור הישות המנפיקה

ייצא KEY_COUNTRY = "ארה"ב" ייצוא KEY_PROVINCE = "CA" ייצוא KEY_CITY = "SanFrancisco" ייצוא KEY_ORG = "פורט-פונסטון" ייצוא KEY_EMAIL = "me@myhost.mydomain"

שנה כל ערך עבור מדינתך, מחוזך, עירך, החברה והדואר שלך
דוגמה

ייצוא KEY_COUNTRY = "AR" ייצוא KEY_PROVINCE = "SF" ייצוא KEY_CITY = "ארמסטרונג" ייצוא KEY_ORG = "LAGA-Systems" ייצוא KEY_EMAIL = "info@lagasystems.com.ar"

כפי שאתה רואה AR = ארגנטינה, SF = סנטה פה (המחוז שלי) והאחרים מבינים זה את זה.
ובכן, עכשיו אנחנו מוכנים להתחיל, בצע את הצעדים האלה עד הסוף, כי טעות אחת והכל נהרס.

אנחנו מבצעים

מקור ./vars

ומבקש מאיתנו לנקות במקרה שיש ישויות, תעודות ומפתחות, אנו עושים זאת בהנאה

./לנקות הכל

עכשיו אנו מייצרים את אבטחת דיפי הלמן של 2048 ביט

./build-dh

עכשיו אנו מייצרים את רשות ההסמכה, היא תבקש מהם את אותם הנתונים כמו בתיקי ה- vars, אני ממליץ להשלים כל אחד מהם, למרות שהם כבר שם, זה לא משנה

./build-ca

כעת אנו יכולים ליצור את האישורים והמפתחות תחילה את השרת, לשנות את השרת לשם שאתה אוהב, הוא יבקש את אותם הנתונים כמו בקבצי vars, אני ממליץ להשלים כל אחד מהם, למרות שהם כבר שם , זה לא משנה.

שרת ./build-key-server

יש לנו כבר את האישורים ומפתחות השרת, עכשיו הלקוח, שנה את הלקוח לשם כלשהו שתרצה,
הוא יבקש את אותם הנתונים כמו בקבצי ה- vars. אני ממליץ להשלים כל אחד מהם, למרות שהם כבר שם, זה לא משנה.

./ לקוח מפתח-בניין

יש לחזור על שלב זה עבור כל לקוח או משתמש שרוצה להתחבר ל- VPN, יש לנו כבר הכל לעבוד, לא, אנחנו צריכים להעתיק את הקבצים שאנחנו מייצרים למקום שאנחנו מגדירים ב- openvpn.conf
מאז העתק את תיקיית המפתחות אל / etc / openvpn /

sudo cp -R /etc/openvpn/easy-rsa/2.0/keys / etc / openvpn /

עכשיו אנחנו בודקים שהכל במקומו, אנחנו נכנסים לתיקיה / etc / openvpn / keys

cd / etc / openvpn / מקשים

ועם ls אנו רואים אם הקבצים הם
עכשיו אנו מייצרים קובץ אחד נוסף, זה נוצר על ידי openvpn

sudo openvpn --genkey - סוד ta.key

אתה צריך רק להעתיק את הקבצים ca.crt, client.crt, client.key, אם יצרת יותר לקוחות להעתיק את ה- crt והמפתח של כל אחד pendrive או אמצעי אחר, אל תשתמש בדוא"ל כדי לשלוח אותם, זה כמו לתת מפתח בית לזר.

מוכן, הכל בשרת, עכשיו אנחנו מתחילים אותו לבדוק שהכל נכון

התחל sudo /etc/init.d/vpnserver

אם אין שגיאות, כבר פועל ה- vpn שלנו, רק הלקוח חסר.

הלקוח:

מדריך זה מיועד לשולחן העבודה של אובונטו 10.04, אני מתאר לעצמי שהוא עובד בגרסאות אחרות והפצות, יש לנו אובונטו שכבר מותקן ועובד.
אנו מתקינים את OpenVPN וגם את OpenSSL מכיוון שהאבטחה מבוססת על ssl
וכפי שנשתמש במנהל הרשת של אובונטו, עלינו להתקין את התוספים עבור OpenVPN

sudo apt-get -y להתקין openvpn sudo apt-get -y להתקין openssl sudo aptitude -y להתקין מנהל-רשת-openvpn

כעת אנו יכולים להגדיר לקוח שלנו דוגמה לתצורה:

עם עורך טקסט, gedit יכול להיות, הדבק קוד זה

לקוח dev tun proto tcp מרחוק IP-OF-SERVER נמל resolv- נסה שוב אינסופי nobind # משתמש אף אחד # קבוצה אף אחד לא ממשיך-מקש להתמיד-tun ca ca. crt לקוח cert.crt מפתח client.key comp-lzo tun-mtu 1500 keepalive 10 120 פועל 4

הם משנים את הנתונים, IP-DEL-SERVER זה ה- IP הציבורי או האינטרנט של השרת ו- PORT שבאמצעותו הם הקצו בשרת, הקבצים ca.crt, client.crt ו- client.key הם אלה שיצרנו והעתקנו. לפני ב- pendrive או מה שלא יהיה.

אם יש לך IP ציבורי דינמי, אני ממליץ להשתמש בשירות DDNS (DyDNS, NO-IP, CDMon), ואל תשכח לפתוח ולהפנות מחדש את יציאת 1194 או את זו שבחרת לשרת.

הם שומרים את הקוד עם השם הרצוי להם אך עם סיומת .conf ובאותה תיקיה כמו הקבצים ca.crt, client.crt ו- client.key.

כעת פתח את מנהל הרשת של אובונטו ובכרטיסיית ה- VPN יש כפתור ייבוא, חפש את קובץ ה- .conf ששמרנו בעבר וזה הכל.

אני מקווה שזה יעזור לך, מכיוון שכדי לעבוד על openvpn עברתי על כל המדריכים והמדריכים שמצאתי.

תודה על הערותיך, אם יש שגיאה כלשהי זה תוצר הדמיון שלך, חחח