Πώς να δημιουργήσετε έναν διακομιστή OpenVPN στο Ubuntu 16.04

Εισαγωγή

Το OpenVPN είναι ένα ασφαλές VPN που χρησιμοποιεί SSL (Secure Socket Layer) και προσφέρει ένα ευρύ φάσμα δυνατοτήτων. Σε αυτόν τον οδηγό θα καλύψουμε τη διαδικασία εγκατάστασης του OpenVPN στο Ubuntu 16 χρησιμοποιώντας την αρχή πιστοποιητικού που φιλοξενείται από την easy-rsa.

Εγκαθιστώ

Για να ξεκινήσουμε, χρειαζόμαστε εγκατεστημένα ορισμένα πακέτα:

sudo su
apt-get update
apt-get install openvpn easy-rsa

Αρχή έκδοσης πιστοποιητικών

Το OpenVPN είναι ένα SSL VPN, που σημαίνει ότι λειτουργεί ως Αρχή Πιστοποιητικών για να κρυπτογραφεί την κίνηση μεταξύ των δύο μερών.

Ρύθμιση

Μπορούμε να ξεκινήσουμε με τη ρύθμιση της Αρχής Πιστοποιητικών του διακομιστή μας OpenVPN εκτελώντας την ακόλουθη εντολή:

make-cadir ~/ovpn-ca

Μπορούμε τώρα να μεταβούμε στον νέο μας κατάλογο:

cd ~/ovpn-ca

Διαμορφώστε

Ανοίξτε το αρχείο με το όνομα varsκαι ρίξτε μια ματιά στις παρακάτω παραμέτρους:

export KEY_COUNTRY="US"
export KEY_PROVINCE="NJ"
export KEY_CITY="Matawan"
export KEY_ORG="Your Awesome Organization"
export KEY_EMAIL="me@your_awesome_org.com"
export KEY_OU="YourOrganizationUnit"

Και επεξεργαστείτε τα με τις δικές σας αξίες. Πρέπει επίσης να αναζητήσουμε και να επεξεργαστούμε την ακόλουθη γραμμή:

export KEY_NAME="server"

Χτίζω

Μπορούμε τώρα να ξεκινήσουμε τη δημιουργία της Αρχής Πιστοποιητικών μας εκτελώντας την ακόλουθη εντολή:

./clean-all
./build-ca

Αυτές οι εντολές μπορεί να χρειαστούν μερικά λεπτά για να ολοκληρωθούν.

Κλειδί διακομιστή

Τώρα, μπορούμε να ξεκινήσουμε τη δημιουργία του κλειδιού του διακομιστή μας εκτελώντας την ακόλουθη εντολή:

./build-key-server server

Ενώ το serverπεδίο θα πρέπει να αντικατασταθεί με το KEY_NAMEέχουμε ορίσει στο varsαρχείο νωρίτερα. Στην περίπτωσή μας, μπορούμε να κρατήσουμε server.

Η διαδικασία κατασκευής του κλειδιού του διακομιστή μας μπορεί να κάνει μερικές ερωτήσεις, όπως η λήξη της. Απαντάμε σε όλες αυτές τις ερωτήσεις με y.

Δυνατό κλειδί

Στο επόμενο βήμα, δημιουργούμε ένα ισχυρό Diffie-Hellmanκλειδί το οποίο θα χρησιμοποιηθεί κατά την ανταλλαγή των κλειδιών μας. Πληκτρολογήστε την ακόλουθη εντολή για να δημιουργήσετε μία:

./build-dh

HMAC

Μπορούμε τώρα να δημιουργήσουμε μια υπογραφή HMAC για να ενισχύσουμε την επαλήθευση ακεραιότητας TLS του διακομιστή:

openvpn --genkey --secret keys/ta.key

Δημιουργήστε ένα κλειδί πελάτη

./build-key client

Ρυθμίστε τις παραμέτρους του διακομιστή

Μόλις δημιουργήσουμε με επιτυχία τη δική μας Αρχή έκδοσης πιστοποιητικών, μπορούμε να ξεκινήσουμε με την αντιγραφή όλων των απαραίτητων αρχείων και τη διαμόρφωση του ίδιου του OpenVPN. Τώρα, θα αντιγράψουμε τα κλειδιά και τα πιστοποιητικά που δημιουργήθηκαν στον κατάλογό μας OpenVPN:

cd keys
cp ca.crt ca.key server.crt server.key ta.key dh2048.pem /etc/openvpn
cd ..

Στη συνέχεια, μπορούμε να αντιγράψουμε ένα παράδειγμα αρχείου διαμόρφωσης OpenVPN στον κατάλογό μας OpenVPN εκτελώντας την ακόλουθη εντολή:

gunzip -c /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz | tee /etc/openvpn/server.conf

Επεξεργαστείτε το Config

Μπορούμε τώρα να αρχίσουμε να επεξεργαζόμαστε τις ρυθμίσεις μας για να ταιριάζουν στις ανάγκες μας. Ανοίξτε το αρχείο /etc/openvpn/server.confκαι αφαιρέστε το σχόλιο στις ακόλουθες γραμμές:

push "redirect-gateway def1 bypass-dhcp"
user nobody
group nogroup
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
tls-auth ta.key 0

Πρέπει επίσης να προσθέσουμε μια νέα γραμμή στη διαμόρφωση μας. Τοποθετήστε την ακόλουθη γραμμή κάτω από τη tls-authγραμμή:

key-direction 0

Να επιτρέπεται η προώθηση

Επειδή θέλουμε να επιτρέψουμε στους πελάτες μας να έχουν πρόσβαση στο Διαδίκτυο μέσω του διακομιστή μας, ανοίγουμε το ακόλουθο αρχείο /etc/sysctl.confκαι αφαιρούμε το σχόλιο αυτής της γραμμής:

net.ipv4.ip_forward=1

Τώρα πρέπει να εφαρμόσουμε τις αλλαγές:

sysctl -p

NAT

Για να παρέχουμε πρόσβαση στο Διαδίκτυο στους πελάτες VPN μας, πρέπει επίσης να δημιουργήσουμε έναν κανόνα NAT. Αυτός ο κανόνας είναι μια σύντομη γραμμή που μοιάζει με αυτό:

iptables -t nat -A POSTROUTING -s 10.8.0.0/16 -o eth0 -j MASQUERADE

Αρχή

Μπορούμε τώρα να ξεκινήσουμε τον διακομιστή μας OpenVPN και να αφήσουμε τους πελάτες να συνδεθούν πληκτρολογώντας το ακόλουθο κλειδί:

service openvpn start

συμπέρασμα

Αυτό ολοκληρώνει το σεμινάριο μας. Απολαύστε τον νέο σας διακομιστή OpenVPN!