OpenVPN kapcsolat létrehozása Debian Lenny operációs rendszeren

Átírás

1 OpenVPN kapcsolat létrehozása Debian Lenny operációs rendszeren Szerver telepítése A legtöbb Linux disztribúció tartalmazza OpenVPN programot, melyet a csomagkezelővel egyszerűen feltelepíthetünk. apt-get update apt-get install openvpn Ezzel telepítette az OpenVPN-t az összes függőségével együtt. A tanúsítványok létrehozásához másolja át a /usr/share/doc/openvpn/examples/2.0/easy-rsa könyvtár tartalmát a /etc/openvpn/easy-rsa könyvtárba, majd állítsa be a generálandó tanúsítványok tulajdonságait. Ezt a vars fájl szerkesztésével teheti meg. Lehetőség van az alapértelmezett 1024 bites titkosítás helyett 2048 bites titkosítás beállítására is. Ezzel viszont nagyságrendekkel nem lesz biztonságosabb a VPN feletti kommunikáció, de a kulcsok generálása hosszabb időt vesz igénybe. A fájl végén található mezőket értelemszerűen töltse ki: export KEY_COUNTRY="HU" export KEY_PROVANCE="GYMS" export KEY_CITY="GYOR" export KEY_ORG="TILB" export KEY_ ="root@fekete9.tilb.sze.hu" A /etc/openvpn/easy-rsa könyvtárban állva adja ki rendre az alábbi parancsokat:../vars # környezeti változók beállítása./clean-all # meglévő tanúsítványok törlése a keys könyvtárból./build-dh # Diffie-Hellmann paraméter generálása./build-ca # CA tanusítvány generálása./build-key-server server # az OpenVPN szerver tanusítvány generálása./build-key client # a kliens tanusítvány generálása A parancsok futtatásakor az alábbi sorokat kell látnia: fekete9:/etc/openvpn/easy-rsa#../vars NOTE: If you run./clean-all, I will be doing a rm -rf on /etc/openvpn/easyrsa/keys fekete9:/etc/openvpn/easy-rsa#./clean-all fekete9:/etc/openvpn/easy-rsa#./build-ca Generating a 1024 bit RSA private key writing new private key to 'ca.key' You are about to be asked to enter information that will be incorporated 1

2 into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. Country Name (2 letter code) [HU]: State or Province Name (full name) [GYMS]: Locality Name (eg, city) [GYOR]: Organization Name (eg, company) [TILB]: Organizational Unit Name (eg, section) []: Common Name (eg, your name or your server's hostname) [TILB CA]: Address [root@fekete9.tilb.sze.hu]: fekete9:/etc/openvpn/easy-rsa#./build-dh Generating DH parameters, 1024 bit long safe prime, generator 2 This is going to take a long time *++*++* fekete9:/etc/openvpn/easy-rsa#./build-key-server server Generating a 1024 bit RSA private key writing new private key to 'server.key' You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. Country Name (2 letter code) [HU]: State or Province Name (full name) [GYMS]: Locality Name (eg, city) [GYOR]: Organization Name (eg, company) [TILB]: Organizational Unit Name (eg, section) []: Common Name (eg, your name or your server's hostname) [server]: Address [root@fekete9.tilb.sze.hu]: Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []: Using configuration from /etc/openvpn/easy-rsa/openssl.cnf Check that the request matches the signature Signature ok The Subject's Distinguished Name is as follows countryname :PRINTABLE:'HU' stateorprovincename :PRINTABLE:'GYMS' localityname :PRINTABLE:'GYOR' organizationname :PRINTABLE:'TILB' commonname :PRINTABLE:'server' address :IA5STRING:'root@fekete9.tilb.sze.hu' Certificate is to be certified until Nov 10 08:38: GMT (3650 days) Sign the certificate? [y/n]:y 1 out of 1 certificate requests certified, commit? [y/n]y Write out database with 1 new entries Data Base Updated fekete9:/etc/openvpn/easy-rsa#./build-key client Generating a 1024 bit RSA private key writing new private key to 'client.key' You are about to be asked to enter information that will be incorporated 2

3 into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. Country Name (2 letter code) [HU]: State or Province Name (full name) [GYMS]: Locality Name (eg, city) [GYOR]: Organization Name (eg, company) [TILB]: Organizational Unit Name (eg, section) []: Common Name (eg, your name or your server's hostname) [client]: Address [root@fekete9.tilb.sze.hu]: Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []: Using configuration from /etc/openvpn/easy-rsa/openssl.cnf Check that the request matches the signature Signature ok The Subject's Distinguished Name is as follows countryname :PRINTABLE:'HU' stateorprovincename :PRINTABLE:'GYMS' localityname :PRINTABLE:'GYOR' organizationname :PRINTABLE:'TILB' commonname :PRINTABLE:'client' address :IA5STRING:'root@fekete9.tilb.sze.hu' Certificate is to be certified until Nov 10 08:38: GMT (3650 days) Sign the certificate? [y/n]:y 1 out of 1 certificate requests certified, commit? [y/n]y Write out database with 1 new entries Data Base Updated fekete9:/etc/openvpn/easy-rsa# Az alábbi fájlokat jöttek létre: Fájlnév Elhelyezés Cél Titkos-e? ca.crt szerver + kliensek Root CA tanúsítvány NEM ca.key csak szerver Root CA titkos kulcs IGEN (hitelesítés szolgáltató) dh{n}.pem csak szerver Diffie Hellman NEM paraméter server.crt csak szerver szerver tanúsítvány NEM server.key csak szerver szerver titkos kulcs IGEN client{n}.crt csak kliens{n} kliens{n} tanúsítvány NEM client{n}.key csak kliens{n} kliens{n} titkos kulcs IGEN A táblázatból látható, hogy az OpenVPN szerveren az következő állományokra lesz szükségünk, ezért ezeket másolja át a /etc/openvpn/easy-rsa/keys könyvárból a /etc/openvpn könyvtárba. ca.crt dh1024.pem server.crt server.key 3

4 Másolja át a /usr/share/doc/openvpn/sample-config-files/server.conf.gz állományt a /etc/openvpn könyvtárba. Majd tömörítse ki. Ez a gzip d server.conf paranccsal végezhető el. A művelet során az eredeti fájl törlődik. A server.conf állományt szerkessze az alábbiak szerint: ;local port 1194 proto udp dev tun ca ca.crt cert server.crt key server.key dh dh1024.pem server ifconfig-pool-persist ipp.txt # IP-cím beállítása, csak ezen az IP-n fogad # kéréseket # portszám beállítása # protokoll beállítása # virtuális interfész beállítása # tun -> IP tunnel # tap -> Ethernet tunnel # Diffie-Hellmann paraméter # VPN IP-cím tartomány beállítása # kliens ip cím összerendelés ;push "route " # routolás helyi hálózathoz ;client-to-client # a felcsatlakozó kliensek "lássák egymást" keepalive # 10 mp időközönként pingeli a klienseket # hogy elérhető-e ha nincs válasz 120 mp-ig, # akkor bontottnak tekinti a kapcsolatot comp-lzo user nobody group nogroup persist-key persist-tun status openvpn-status.log verb 3 ;mute 20 # tömörítési eljárás beállítása # ne root jogosultságokkal fusson # naplófájl helye # mennyire legyen "bőbeszédű" a napló # ismétlődő üzenetek elnyomása Az OpenVPN szerver konfigurálása kész. Manuális indításnál a konzolra logol a szerver. Ez hibakeresésnél hasznos. Az alábbi sorokat kell látnia a képernyőn. Az utolsó sorban az Initialization Sequence Completed üzenetnek kell szerepelnie. fekete9:/etc/openvpn# openvpn server.conf Sat Nov 13 10:08: OpenVPN 2.1_rc11 i486-pc-linux-gnu [SSL] [LZO2] [EPOLL] [PKCS11] built on Sep Sat Nov 13 10:08: Diffie-Hellman initialized with 1024 bit key Sat Nov 13 10:08: /usr/bin/openssl-vulnkey -q -b m <modulus omitted> Sat Nov 13 10:08: TLS-Auth MTU parms [ L:1542 D:138 EF:38 EB:0 ET:0 EL:0 ] Sat Nov 13 10:08: ROUTE default_gateway= Sat Nov 13 10:08: TUN/TAP device tun0 opened Sat Nov 13 10:08: TUN/TAP TX queue length set to 100 Sat Nov 13 10:08: /sbin/ifconfig tun pointopoint mtu 1500 Sat Nov 13 10:08: /sbin/route add -net netmask gw Sat Nov 13 10:08: Data Channel MTU parms [ L:1542 D:1450 EF:42 EB:135 ET:0 EL:0 AF:3/1 ] Sat Nov 13 10:08: GID set to nogroup Sat Nov 13 10:08: UID set to nobody Sat Nov 13 10:08: Socket Buffers: R=[ >131072] S=[ >131072] Sat Nov 13 10:08: UDPv4 link local (bound): [undef]:1194 Sat Nov 13 10:08: UDPv4 link remote: [undef] Sat Nov 13 10:08: MULTI: multi_init called, r=256 v=256 Sat Nov 13 10:08: IFCONFIG POOL: base= size=62 Sat Nov 13 10:08: IFCONFIG POOL LIST Sat Nov 13 10:08: Initialization Sequence Completed 4

5 A kliens kulcsát és tanúsítványát át kell másolni fehér gépre. Ehhez helyezze el /home/diak/ovpn könyvtárban az alábbi fájlokat, majd állítsa be azok tulajdonosát diak:diak ra. ca.crt client.crt client.key fekete9:/home/diak/ovpn# chown diak:diak./* Kliens telepítése Telepítse fel az OpenVPN csomagot a fehér gépre. FTP segítségével másolja át a kulcsokat a /etc/openvpn könyvtárba. Ha szükséges telepítse fel a ProFTP szervert a fekete gépen az aptget install proftpd paraccsal. Másolja át a /usr/share/doc/openvpn/sampleconfig-files/client.conf állományt a /etc/openvpn könyvtárba majd szerkessze azt az alábbiak szerint: client dev tun proto udp remote resolv-retry infinite nobind user nobody group nogroup persist-key persist-tun ca ca.crt cert client.crt key client.key ns-cert-type server comp-lzo verb 3 ;mute 20 # virtuális interfész meghatározása # protokoll beállítása # OpenVPN szerver IP címe # mennyiszer próbálkozzon az FQDN feloldásával # a kliens dedikált porton csatlakozzon # ne root jogosultságokkal fusson az OpenVPN kliens # tömörítés beállítása # mennyire legyen "bőbeszédű" a naplózás # ismétlődő üzenetek elnyomása Indítsa el az OpenVPN klienst a fehér gépen. Ha mindent jól csinált, az utolsó sorban itt is az Initialization Sequence Completed üzenet kell szerepeljen. feher9:/etc/openvpn# openvpn client.conf Sat Nov 13 10:59: OpenVPN 2.1_rc11 i486-pc-linux-gnu [SSL] [LZO2] [EPOLL] [PKCS11] built on Sep Sat Nov 13 10:59: /usr/bin/openssl-vulnkey -q -b m <modulus omitted> Sat Nov 13 10:59: LZO compression initialized Sat Nov 13 10:59: Control Channel MTU parms [ L:1542 D:138 EF:38 EB:0 ET:0 EL:0 ] Sat Nov 13 10:59: Data Channel MTU parms [ L:1542 D:1450 EF:42 EB:135 ET:0 EL:0 AF:3/1 ] Sat Nov 13 10:59: Local Options hash (VER=V4): ' ' Sat Nov 13 10:59: Expected Remote Options hash (VER=V4): '530fdded' Sat Nov 13 10:59: NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay 5

6 Sat Nov 13 10:59: Socket Buffers: R=[ >131072] S=[ >131072] Sat Nov 13 10:59: UDPv4 link local: [undef] Sat Nov 13 10:59: UDPv4 link remote: :1194 Sat Nov 13 10:59: TLS: Initial packet from :1194, sid=924bf2fa efd36be1 Sat Nov 13 10:59: VERIFY OK: depth=1, Sat Nov 13 10:59: VERIFY OK: nscerttype=server Sat Nov 13 10:59: VERIFY OK: depth=0, Sat Nov 13 10:59: Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key Sat Nov 13 10:59: Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication Sat Nov 13 10:59: Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key Sat Nov 13 10:59: Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication Sat Nov 13 10:59: Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA Sat Nov 13 10:59: [server] Peer Connection Initiated with :1194 Sat Nov 13 11:00: SENT CONTROL [server]: 'PUSH_REQUEST' (status=1) Sat Nov 13 11:00: PUSH: Received control message: 'PUSH_REPLY,route ,topology net30,ping 10,ping-restart 120,ifconfig ' Sat Nov 13 11:00: OPTIONS IMPORT: timers and/or timeouts modified Sat Nov 13 11:00: OPTIONS IMPORT: --ifconfig/up options modified Sat Nov 13 11:00: OPTIONS IMPORT: route options modified Sat Nov 13 11:00: ROUTE default_gateway= Sat Nov 13 11:00: TUN/TAP device tun0 opened Sat Nov 13 11:00: TUN/TAP TX queue length set to 100 Sat Nov 13 11:00: /sbin/ifconfig tun pointopoint mtu 1500 Sat Nov 13 11:00: /sbin/route add -net netmask gw Sat Nov 13 11:00: GID set to nogroup Sat Nov 13 11:00: UID set to nobody Sat Nov 13 11:00: Initialization Sequence Completed A működés ellenőrzéseként pingelje a címet a fehér gépről. feher9:/etc/openvpn# ping -c PING ( ) 56(84) bytes of data. 64 bytes from : icmp_seq=1 ttl=64 time=0.344 ms 64 bytes from : icmp_seq=2 ttl=64 time=0.311 ms 64 bytes from : icmp_seq=3 ttl=64 time=0.318 ms 64 bytes from : icmp_seq=4 ttl=64 time=0.322 ms ping statistics packets transmitted, 4 received, 0% packet loss, time 2999ms rtt min/avg/max/mdev = 0.311/0.323/0.344/0.025 ms feher9:/etc/openvpn# 6