Ako vytvoriť server OpenVPN na Ubuntu 16.04

Úvod

OpenVPN je bezpečná VPN, ktorá využíva SSL (Secure Socket Layer) a ponúka širokú škálu funkcií. V tejto príručke sa budeme zaoberať procesom inštalácie OpenVPN na Ubuntu 16 s využitím hostiteľskej certifikačnej autority easy-rsa.

Inštalácia

Aby sme mohli začať, potrebujeme nainštalovať niekoľko balíkov:

sudo su
apt-get update
apt-get install openvpn easy-rsa

Certifikačná autorita

OpenVPN je SSL VPN, čo znamená, že funguje ako certifikačná autorita na šifrovanie prenosu medzi oboma stranami.

Nastaviť

Môžeme začať s nastavením certifikačnej autority nášho servera OpenVPN spustením nasledujúceho príkazu:

make-cadir ~/ovpn-ca

Teraz sa môžeme prepnúť do nášho čerstvo vytvoreného adresára:

cd ~/ovpn-ca

Konfigurovať

Otvorte súbor s názvom varsa pozrite sa na nasledujúce parametre:

export KEY_COUNTRY="US"
export KEY_PROVINCE="NJ"
export KEY_CITY="Matawan"
export KEY_ORG="Your Awesome Organization"
export KEY_EMAIL="me@your_awesome_org.com"
export KEY_OU="YourOrganizationUnit"

A upravte ich svojimi vlastnými hodnotami. Musíme tiež vyhľadať a upraviť nasledujúci riadok:

export KEY_NAME="server"

Stavať

Teraz môžeme začať budovať našu certifikačnú autoritu spustením nasledujúceho príkazu:

./clean-all
./build-ca

Dokončenie týchto príkazov môže trvať niekoľko minút.

Serverový kľúč

Teraz môžeme začať zostavovať kľúč nášho servera spustením nasledujúceho príkazu:

./build-key-server server

Zatiaľ čo serverpole by malo byť nahradené KEY_NAME, nastavili sme v varssúbore skôr. V našom prípade si môžeme ponechať server.

Proces zostavovania kľúča nášho servera môže položiť niekoľko otázok, napríklad vypršanie jeho platnosti. Na všetky tieto otázky odpovedáme pomocou y.

Silný kľúč

V ďalšom kroku vytvoríme silný Diffie-Hellmankľúč, ktorý bude použitý pri výmene našich kľúčov. Na vytvorenie príkazu zadajte nasledujúci príkaz:

./build-dh

HMAC

Teraz môžeme vytvoriť podpis HMAC na posilnenie overenia integrity TLS servera:

openvpn --genkey --secret keys/ta.key

Vygenerujte klientsky kľúč

./build-key client

Nakonfigurujte server

Keď sme úspešne vytvorili našu vlastnú certifikačnú autoritu, môžeme začať s kopírovaním všetkých potrebných súborov a konfiguráciou samotného OpenVPN. Teraz skopírujeme vygenerované kľúče a certifikáty do nášho adresára OpenVPN:

cd keys
cp ca.crt ca.key server.crt server.key ta.key dh2048.pem /etc/openvpn
cd ..

Potom môžeme skopírovať príklad konfiguračného súboru OpenVPN do nášho adresára OpenVPN spustením nasledujúceho príkazu:

gunzip -c /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz | tee /etc/openvpn/server.conf

Upravte súbor Config

Teraz môžeme začať upravovať našu konfiguráciu, aby vyhovovala našim potrebám. Otvorte súbor /etc/openvpn/server.confa odkomentujte nasledujúce riadky:

push "redirect-gateway def1 bypass-dhcp"
user nobody
group nogroup
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
tls-auth ta.key 0

Musíme tiež pridať nový riadok do našej konfigurácie. Pod tls-authriadok umiestnite nasledujúci riadok:

key-direction 0

Povoliť preposielanie

Pretože chceme našim klientom umožniť prístup na internet cez náš server, otvoríme nasledujúci súbor /etc/sysctl.confa odkomentujeme tento riadok:

net.ipv4.ip_forward=1

Teraz musíme použiť zmeny:

sysctl -p

NAT

Aby sme našim klientom VPN poskytli prístup na internet, musíme tiež vytvoriť pravidlo NAT. Toto pravidlo je krátka jedna vložka, ktorá vyzerá takto:

iptables -t nat -A POSTROUTING -s 10.8.0.0/16 -o eth0 -j MASQUERADE

Štart

Teraz môžeme spustiť náš server OpenVPN a nechať klientov pripojiť sa zadaním nasledujúceho kľúča:

service openvpn start

Záver

Týmto končíme náš návod. Užite si svoj nový server OpenVPN!