Jak vytvořit server OpenVPN na Ubuntu 16.04

Úvod

OpenVPN je bezpečná VPN, která využívá SSL (Secure Socket Layer) a nabízí širokou škálu funkcí. V této příručce se budeme zabývat procesem instalace OpenVPN na Ubuntu 16 s využitím hostované certifikační autority easy-rsa.

Nainstalujte

Abychom mohli začít, potřebujeme nainstalovat některé balíčky:

sudo su
apt-get update
apt-get install openvpn easy-rsa

Certifikační autorita

OpenVPN je SSL VPN, což znamená, že funguje jako certifikační autorita za účelem šifrování provozu mezi oběma stranami.

Založit

Můžeme začít s nastavením certifikační autority našeho serveru OpenVPN spuštěním následujícího příkazu:

make-cadir ~/ovpn-ca

Nyní se můžeme přepnout do našeho čerstvě vytvořeného adresáře:

cd ~/ovpn-ca

Konfigurovat

Otevřete soubor s názvem varsa podívejte se na následující parametry:

export KEY_COUNTRY="US"
export KEY_PROVINCE="NJ"
export KEY_CITY="Matawan"
export KEY_ORG="Your Awesome Organization"
export KEY_EMAIL="me@your_awesome_org.com"
export KEY_OU="YourOrganizationUnit"

A upravte je svými vlastními hodnotami. Musíme také vyhledat a upravit následující řádek:

export KEY_NAME="server"

Stavět

Nyní můžeme začít budovat naši certifikační autoritu spuštěním následujícího příkazu:

./clean-all
./build-ca

Dokončení těchto příkazů může trvat několik minut.

Serverový klíč

Nyní můžeme začít vytvářet klíč našeho serveru spuštěním následujícího příkazu:

./build-key-server server

Zatímco serverpole by mělo být nahrazeno KEY_NAME, nastavili jsme v varssouboru dříve. V našem případě můžeme zachovat server.

Proces sestavení klíče našeho serveru může klást několik otázek, například vypršení jeho platnosti. Na všechny tyto otázky odpovídáme pomocí y.

Silný klíč

V dalším kroku vytvoříme silný Diffie-Hellmanklíč, který bude použit při výměně našich klíčů. Chcete-li jej vytvořit, zadejte následující příkaz:

./build-dh

HMAC

Nyní můžeme vytvořit podpis HMAC pro posílení ověření integrity TLS serveru:

openvpn --genkey --secret keys/ta.key

Vygenerujte klientský klíč

./build-key client

Nakonfigurujte server

Jakmile úspěšně vytvoříme naši vlastní certifikační autoritu, můžeme začít s kopírováním všech potřebných souborů a konfigurací samotného OpenVPN. Nyní zkopírujeme vygenerované klíče a certifikáty do našeho adresáře OpenVPN:

cd keys
cp ca.crt ca.key server.crt server.key ta.key dh2048.pem /etc/openvpn
cd ..

Poté můžeme zkopírovat příklad konfiguračního souboru OpenVPN do našeho adresáře OpenVPN spuštěním následujícího příkazu:

gunzip -c /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz | tee /etc/openvpn/server.conf

Upravte Config

Nyní můžeme začít upravovat naši konfiguraci tak, aby vyhovovala našim potřebám. Otevřete soubor /etc/openvpn/server.confa odkomentujte následující řádky:

push "redirect-gateway def1 bypass-dhcp"
user nobody
group nogroup
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
tls-auth ta.key 0

Potřebujeme také přidat nový řádek do naší konfigurace. Pod tls-authřádek umístěte následující řádek:

key-direction 0

Povolit přeposílání

Protože chceme našim klientům umožnit přístup k internetu přes náš server, otevřeme následující soubor /etc/sysctl.confa odkomentujeme tento řádek:

net.ipv4.ip_forward=1

Nyní musíme použít změny:

sysctl -p

NAT

Abychom našim klientům VPN poskytli přístup k internetu, musíme také vytvořit pravidlo NAT. Toto pravidlo je krátký jednořádkový, který vypadá takto:

iptables -t nat -A POSTROUTING -s 10.8.0.0/16 -o eth0 -j MASQUERADE

Start

Nyní můžeme spustit náš server OpenVPN a nechat klienty připojit se zadáním následujícího klíče:

service openvpn start

Závěr

Tím náš tutoriál končí. Užijte si svůj nový server OpenVPN!