Nastavte si svoju vlastnú súkromnú sieť s OpenVPN

Vultr vám ponúka úžasné pripojenie k súkromnej sieti pre servery bežiace na rovnakom mieste. Niekedy však chcete, aby dva servery v rôznych krajinách / dátových centrách mohli komunikovať súkromne a bezpečne. Tento tutoriál vám ukáže, ako to dosiahnuť pomocou OpenVPN. Tu použité operačné systémy sú Debian a CentOS, len aby sme vám ukázali dve rôzne konfigurácie. Toto sa dá ľahko prispôsobiť pre Debian -> Debian, Ubuntu -> FreeBSD a tak ďalej.

• Počítač 1: Debian, bude fungovať ako server (Umiestnenie: NL)
• Počítač 2: CentOS, bude fungovať ako klient (Umiestnenie: FR)

Stroj 1

Začnite na počítači 1 inštaláciou OpenVPN:

apt-get install openvpn

Potom skopírujte vzorovú konfiguráciu a nástroj na generovanie kľúčov, easy-rsa, do /etc/openvpn:

cp -r /usr/share/doc/openvpn/examples/easy-rsa/ /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn

Predvolené hodnoty pre vaše kľúče už nie sú úplne bezpečné, ak to chcete opraviť, otvorte /etc/openvpn/easy-rsa/2.0/varssvoj obľúbený textový editor a upravte nasledujúci riadok:

export KEY_SIZE=4096

Ďalej sa uistite, že sa hodnoty načítajú do vašej aktuálnej relácie, prípadne vyčistite existujúce kľúče a vygenerujte svoju certifikačnú autoritu:

cd /etc/openvpn/easy-rsa/2.0
source ./vars
./clean-all
./build-ca

Budete vyzvaní na zadanie informácií. Uľahčite si život poskytnutím informácií o svojom serveri, napríklad kde sa nachádza a aké je/bude FQDN. Je to užitočné, keď potrebujete ladiť problémy:

Country Name (2 letter code) [US]:NL
State or Province Name (full name) [CA]:-
Locality Name (eg, city) [SanFrancisco]:Vultr Datacenter NL
Organization Name (eg, company) [Fort-Funston]:-
Organizational Unit Name (eg, section) [changeme]:-
Common Name (eg, your name or your server's hostname) [changeme]:yourserver1.yourdomain.tld
Name [changeme]:-
Email Address [[email protected]]:[email protected]

Ďalšou nevyhnutnosťou sú parametre pre výmenu kľúčov Diffie-Hellman. Aj tie je potrebné vygenerovať:

./build-dh

Dôležité : build-dhPríkaz je pomerne zložitý proces, ktorý môže trvať až desať minút, v závislosti od zdrojov vášho servera.

Na ďalšie zlepšenie bezpečnosti tohto pripojenia vygenerujeme statické tajomstvo, ktoré je potrebné distribuovať medzi všetkých klientov:

mkdir /etc/openvpn/keys
openvpn --genkey --secret /etc/openvpn/keys/ta.key

Teraz môžete vygenerovať kľúč pre server:

./build-key-server server1

Tento príkaz vás vyzve na zadanie niektorých informácií:

Country Name (2 letter code) [US]:NL
State or Province Name (full name) [CA]:-
Locality Name (eg, city) [SanFrancisco]:Vultr Datacenter NL
Organization Name (eg, company) [Fort-Funston]:-
Organizational Unit Name (eg, section) [changeme]:-
Common Name (eg, your name or your server's hostname) [server1]:yourserver1.yourdomain.tld
Name [changeme]:-
Email Address [[email protected]]:[email protected]

Posledným krokom je podpísanie žiadosti o certifikát, ktorá bola práve vygenerovaná pomocou kľúča CA:

1 out of 1 certificate requests certified, commit? [y/n]y

Skopírujte potrebné kľúče a certifikáty do samostatného priečinka:

cd /etc/openvpn/easy-rsa/2.0/keys
cp dh4096.pem ca.crt server1.crt server1.key /etc/openvpn/keys/
chmod 700 /etc/openvpn/keys
chmod 600 /etc/openvpn/keys/*

Teraz pre konfiguráciu, rozbaľte ho ...

cd /etc/openvpn
gunzip server.conf.gz

... a výsledok otvorte vo server.confsvojom obľúbenom textovom editore. Konfigurácia by mala vyzerať podobne ako toto:

port 1194
proto udp
dev tun

ca keys/ca.crt
cert keys/server1.crt
key keys/server1.key 
dh keys/dh4096.pem
server 10.8.100.0 255.255.255.0
ifconfig-pool-persist ipp.txt

# Uncomment this if you have multiple clients
# and want them to be able to see each other
;client-to-client

keepalive 10 120
tls-auth keys/ta.key 0 

tls-cipher DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-CAMELLIA256-SHA:DHE-RSA-AES256-SHA:DHE-RSA-CAMELLIA128-SHA:DHE-RSA-AES128-SHA:CAMELLIA256-SHA:AES256-SHA:CAMELLIA128-SHA:AES128-SHA
cipher AES-256-CBC
auth SHA384
comp-lzo

user nobody
group nogroup

persist-key
persist-tun
verb 3
mute 20

Po reštartovaní služby by ste mali trochu sledovať svoj denník ...

service openvpn restart && tail -f /var/log/syslog

... aby ste sa uistili, že všetko funguje. Ak sa nezistia žiadne chyby, môžete vygenerovať kľúče pre svoj druhý server:

cd /etc/openvpn/easy-rsa/2.0
source ./vars
./build-key server2

Opäť budete vyzvaní na zadanie informácií:

Country Name (2 letter code) [US]:FR
State or Province Name (full name) [CA]:-
Locality Name (eg, city) [SanFrancisco]:Vultr Datacenter FR
Organization Name (eg, company) [Fort-Funston]:-
Organizational Unit Name (eg, section) [changeme]:-
Common Name (eg, your name or your server's hostname) 
[server2]:yourserver2.yourdomain.tld
Name [changeme]:-
Email Address [[email protected]]:[email protected]

Teraz musíte preniesť potrebné súbory na druhý server, najlepšie zašifrované:

cd /etc/openvpn/easy-rsa/2.0/keys
cp /etc/openvpn/keys/ta.key .
tar -cf vpn.tar ca.crt server2.crt server2.key ta.key
scp vpn.tar yourusername@server2:~/
rm vpn.tar

Stroj 2

Je čas prejsť na SSH pripojenie vášho druhého servera . Prvým krokom je inštalácia OpenVPN ...

yum install openvpn

... a deaktivovať firewalld. Náhradou budú obyčajné iptables.

systemctl stop firewalld
systemctl disable firewalld

Rozbaľte archív, ktorý ste práve presunuli na server, a správne nastavte povolenia pre súbory:

cd /etc/openvpn
mkdir keys
chmod 700 keys
cd keys
tar -xf ~/vpn.tar -C .
chmod 600 *

Vytvorte /etc/openvpn/client.confpomocou svojho obľúbeného textového editora. Malo by to vyzerať takto:

client
dev tun
proto udp

remote yourserver yourport
resolv-retry infinite
nobind
user nobody
group openvpn


persist-key
persist-tun

ca keys/ca.crt
cert keys/server2.crt
key keys/.key

ns-cert-type server
tls-auth keys/ta.key 1

tls-cipher DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-CAMELLIA256-SHA:DHE-RSA-AES256-SHA:DHE-RSA-CAMELLIA128-SHA:DHE-RSA-AES128-SHA:CAMELLIA256-SHA:AES256-SHA:CAMELLIA128-SHA:AES128-SHA
cipher AES-256-CBC
auth SHA384

remote-cert-tls server

comp-lzo
verb 3
mute 20

Posledným krokom je spustenie a aktivácia služby:

systemctl start [email protected]
systemctl enable [email protected]

Ak všetko funguje, nemali by ste mať problém s odoslaním príkazu ping na prvý server:

PING 10.8.100.1 (10.8.100.1) 56(84) bytes of data.
64 bytes from 10.8.100.1: icmp_seq=1 ttl=64 time=17.8 ms
64 bytes from 10.8.100.1: icmp_seq=2 ttl=64 time=17.9 ms
64 bytes from 10.8.100.1: icmp_seq=3 ttl=64 time=17.8 ms

Teraz máte súkromné ​​pripojenie cez internet!

Ak potrebujete vyriešiť nejaké chyby, skúste skontrolovať protokoly pomocou nasledujúceho príkazu:

journalctl -xn