Настройка сервера OpenVPN в Debian 10

Debian | Amber | Комментировать запись

Нужен безопасный доступ к Интернету со смартфона или ноутбука при подключении к незащищенной сети (например, к WiFi в отеле или кафе)? Виртуальная частная сеть (VPN) позволяет находиться в ненадежных сетях так, как если бы вы были подключены к частной сети. Трафик исходит от VPN-сервера и передается до места назначения.

Вместе с HTTPS эта настройка позволяет защитить ваши логины и транзакции. Вы можете обойти географические ограничения и цензуру, защитить свое местоположение и любой незашифрованный HTTP-трафик.

OpenVPN – это полнофункциональное открытое средство VPN SSL, которое поддерживает широкий диапазон конфигураций. В этом мануале вы научитесь настраивать сервер OpenVPN на вашем выделенном сервере Debian 10, а также настраивать доступ к Windows, OS X, iOS и Android.

Требования

Для работы вам понадобится сервер Debian 10, полностью настроенный по этому мануалу. Все действия по настройке OpenVPN нужно будет выполнять в сессии пользователя sudo.

Кроме того, вам понадобится отдельный компьютер, который будет служить вашим центром сертификации (ЦС или CA). Технически для этого возможно использовать сервер OpenVPN или локальную машину, но этого делать не рекомендуется, так как это подвергает VPN некоторым уязвимостям безопасности. По  официальной документации OpenVPN вы должны разместить свой ЦС на автономной машине, предназначенной для импорта и подписания запросов на сертификаты. Потому в этом мануале предполагается, что ваш ЦС находится на отдельном сервере Debian 10, который также настроили по этому мануалу.

Обратите внимание: если при настройке этих серверов вы отключите парольную аутентификацию, в дальнейшем вы можете столкнуться с трудностями при передаче файлов между ними. Чтобы устранить эту проблему, вы можете повторно включить парольную аутентификацию на каждом сервере. В качестве альтернативы вы можете создать пару ключей SSH для каждого сервера, а затем добавить открытый SSH-ключ сервера OpenVPN в файл authorized_keys ЦС-машины (и в обратном направлении).

Читайте также: Установка SSH-ключей в Debian 10

1: Установка OpenVPN и EasyRSA

Сначала установите пакет OpenVPN на сервер. Пакет OpenVPN доступен в репозиториях Debian по умолчанию, поэтому для установки можно использовать apt.

Обновите локальный индекс пакетов и установите OpenVPN:

sudo apt update
sudo apt install openvpn

OpenVPN – это протокол TLS/SSL VPN. Это значит, что для шифрования трафика между сервером и клиентами он использует сертификаты. Чтобы выдавать доверенные сертификаты, нужно создать собственный центр сертификации (ЦС). Для этого понадобится последняя версия пакета EasyRSA, который позволяет собирать инфраструктуры открытых ключей ЦС (PKI). Этот пакет можно найти на GitHub.

Как уже говорилось в требованиях, ЦС мы создадим на автономном сервере. Дело в том, что если злоумышленник попадет на ваш сервер, он сможет получить доступ к вашему закрытому ключу ЦС и использовать его для подписания новых сертификатов, предоставляя им доступ к VPN. Соответственно, управление ЦС с помощью автономной машины помогает предотвратить доступ неавторизованных пользователей к VPN. Обратите также внимание на то, что в качестве дополнительной меры предосторожности сервер ЦС рекомендуется отключить, если он не используется для подписи ключей.

Чтобы собрать инфраструктуру ЦС и PKI, загрузите последнюю версию EasyRSA с GitHub с помощью wget. Скопируйте ссылку на файл .tgz для последней версии, а затем вставьте ее в команду.

wget -P ~/ https://github.com/OpenVPN/easy-rsa/releases/download/v3.0.6/EasyRSA-unix-v3.0.6.tgz

Примечание: Это нужно сделать на обоих серверах.

Распакуйте архив:

cd ~
tar xvf EasyRSA-unix-v3.0.6.tgz

Вы успешно установили все необходимое программное обеспечение на обе машины. Теперь пора настроить переменные, используемые EasyRSA, и подготовить каталог CA, где вы будете генерировать ключи и сертификаты, необходимые для доступа к VPN.

2: Настройка переменных EasyRSA и сборка ЦС

EasyRSA поставляется вместе с конфигурационным файлом. Вы можете его отредактировать, чтобы определить количество переменных для вашего центра сертификации.

На машине CA перейдите в каталог EasyRSA:

cd ~/EasyRSA-v3.0.6/

В каталоге найдите файл vars.example. Скопируйте его и назовите копию vars без расширения.

cp vars.example vars

Откройте новый файл в текстовом редакторе:

nano vars

Внутри файла вы найдете переменные, которые позволяют определить, как будут создаваться сертификаты. Вам нужно изменить только некоторые из них.

. . .
#set_var EASYRSA_REQ_COUNTRY    "US"
#set_var EASYRSA_REQ_PROVINCE   "California"
#set_var EASYRSA_REQ_CITY       "San Francisco"
#set_var EASYRSA_REQ_ORG        "Copyleft Certificate Co"
#set_var EASYRSA_REQ_EMAIL      "me@example.net"
#set_var EASYRSA_REQ_OU         "My Organizational Unit"
. . .

Раскомментируйте следующие строки и укажите в них свои данные (только не оставляйте пустых полей):

. . .
set_var EASYRSA_REQ_COUNTRY    "US"
set_var EASYRSA_REQ_PROVINCE   "NewYork"
set_var EASYRSA_REQ_CITY       "New York City"
set_var EASYRSA_REQ_ORG        "DigitalOcean"
set_var EASYRSA_REQ_EMAIL      "admin@example.com"
set_var EASYRSA_REQ_OU         "Community"
. . .

Сохраните и закройте файл.

В каталоге EasyRSA есть скрипт easyrsa, который вызывается для выполнения задач, связанных с созданием и управлением CA. Запустите этот скрипт с параметром init-pki, чтобы инициировать инфраструктуру открытого ключа на сервере CA:

./easyrsa init-pki
. . .
init-pki complete; you may now create a CA or requests.
Your newly created PKI dir is: /home/8host/EasyRSA-v3.0.6/pki

После этого вызовите скрипт easyrsa с опцией build-ca. Это создаст ЦС и два важных файла – ca.crt и ca.key, открытую и закрытую часть SSL-сертификата.

• ca.crt – открытый файл сертификата CA. В контексте OpenVPN сервер и клиент используют его для информирования друг друга о том, что они являются частью одной доверенной сети и не участвуют в атаках man-in-the-middle. По этой причине серверу и всем вашим клиентам потребуется копия файла ca.crt.
• ca.key – закрытый ключ, который машина CA использует для подписи ключей и сертификатов серверов и клиентов. Если злоумышленник получит доступ к вашему CA и, в свою очередь, к вашему файлу ca.key, он сможет подписывать запросы на сертификаты и получать доступ к VPN. Вот почему файл ca.key должен находиться только на вашей машине CA; в идеале машина CA должна оставаться оффлайн, когда нет необходимости подписывать запросы.

Если вы не хотите указывать пароль при каждом взаимодействии с ЦС, вы можете ввести команду build-ca с параметром nopass:

./easyrsa build-ca nopass

В выводе будет предложено подтвердить Common Name для вашего ЦС:

. . .
Common Name (eg: your user, host, or server name) [Easy-RSA CA]:

Common Name – это имя для ссылки на этот компьютер в контексте центра сертификации. В качестве Common Name для CA можно ввести любую строку символов, но для простоты нажмите Enter, чтобы принять имя по умолчанию.

Теперь центр сертификации готов подписывать запросы на сертификаты.

3: Создание сертификата, ключа и файлов шифрования

Теперь пора создать сертификат и пару ключей, а также пару дополнительных файлы, которые используются в процессе шифрования.

На сервере OpenVPN откройте каталог EasyRSA:

cd EasyRSA-v3.0.6/

Теперь запустите сценарий easyrsa с параметром init-pki. Ранее вы уже выполняли эту команду на машине CA, а сейчас необходимо запустить ее здесь, потому что ваш сервер и CA будут иметь отдельные каталоги PKI:

./easyrsa init-pki

Затем снова вызовите сценарий easyrsa, на этот раз с параметром gen-req, после которого укажите common name машины. Опять же, common name может быть что угодно, но удобнее использовать описательное имя. В данном мануале в качестве имени сервера OpenVPN будет использоваться просто server. Обязательно включите опцию nopass. Иначе пароль будет защищать файл запроса, что впоследствии может привести к проблемам с правами.

Примечание: Если вы выберете другое имя вместо server, вам необходимо откорректировать некоторые из приведенных ниже команд. Например, при копировании сгенерированных файлов в каталог /etc/openvpn вам придется подставить правильные имена. Вам также придется впоследствии изменить файл /etc/openvpn/server.conf и указать правильные файлы .crt и .key.

./easyrsa gen-req server nopass

Эта команда создаст закрытый ключ для сервера и файл запроса сертификата server.req. Скопируйте ключ сервера в каталог /etc/openvpn/:

sudo cp ~/EasyRSA-v3.0.6/pki/private/server.key /etc/openvpn/

Используя безопасный метод (например, SCP, как в примере ниже), передайте файл server.req на ваш компьютер CA:

scp ~/EasyRSA-v3.0.6/pki/reqs/server.req 8host@your_CA_ip:/tmp

Теперь на сервере CA нужно открыть каталог EasyRSA:

cd EasyRSA-v3.0.6/

Снова примените сценарий easyrsa, импортируйте файл server.req, указав common name после пути файла:

./easyrsa import-req /tmp/server.req server

Затем подпишите запрос, запустив сценарий easyrsa с параметром sign-req, а после введите тип запроса и common name. Тип запроса может быть client либо server; для запроса сертификата сервера OpenVPN обязательно используйте тип запроса server:

./easyrsa sign-req server server

В выводе будет предложено подтвердить, что запрос поступает из надежного источника. Введите yes, затем нажмите Enter:

You are about to sign the following certificate.
Please check over the details shown below for accuracy. Note that this request
has not been cryptographically verified. Please be sure it came from a trusted
source or that you have verified the request checksum with the sender.
Request subject, to be signed as a server certificate for 1080 days:
subject=
commonName                = server
Type the word 'yes' to continue, or any other input to abort.
Confirm request details: yes

Если вы зашифровали свой ключ CA, сейчас вам будет предложено ввести пароль.

Затем передайте подписанный сертификат обратно на VPN-сервер через безопасный метод:

scp pki/issued/server.crt 8host@your_server_ip:/tmp

Перед выходом с сервера CA переместите файл ca.crt на свой сервер:

scp pki/ca.crt 8host@your_server_ip:/tmp

Затем вернитесь на сервер OpenVPN и скопируйте server.crt и ca.crt в каталог /etc/openvpn/:

sudo cp /tmp/{server.crt,ca.crt} /etc/openvpn/

Перейдите в каталог EasyRSA:

cd EasyRSA-v3.0.6/

Создайте в нем надежный ключ Диффи-Хеллмана, который будет использоваться при обмене ключами:

./easyrsa gen-dh

Эта операция займет несколько минут.

Затем можно создать подпись HMAC, чтобы усилить функции проверки целостности TLS:

sudo openvpn --genkey --secret ta.key

После этого скопируйте два новых файла в каталог /etc/openvpn/:

sudo cp ~/EasyRSA-v3.0.6/ta.key /etc/openvpn/
sudo cp ~/EasyRSA-v3.0.6/pki/dh.pem /etc/openvpn/

4: Генерирование ключей клиента

Теперь можно создать клиентский сертификат и пару ключей. Это можно сделать на клиентской машине, а затем подписать сервером/CA в целях безопасности, но в этом мануале мы будем генерировать подписанный ключ на сервере – так проще. Это позволяет написать сценарий, который будет автоматически генерировать конфигурационные файлы клиентов, в которых будут необходимые ключи и сертификаты. Благодаря этому вам не придется передавать ключи, сертификаты и конфигурации на клиентские машины.

Создайте один клиентский ключ/сертификат. Если у вас больше одного клиента, вы можете повторить этот процесс необходимое количество раз. Передайте скрипту уникальное значение для каждого клиента. В мануале клиент условно называется client1.

Создайте структуру каталогов в домашнем каталоге для хранения сертификата клиента и файлов ключей:

mkdir -p ~/client-configs/keys

Поскольку сертификаты и ключи клиентов, а также файлы конфигурации будут находиться в этом каталоге, вы должны закрыть доступ к нему:

chmod -R 700 ~/client-configs

Затем вернитесь в каталог EasyRSA и запустите скрипт easyrsa с опцией gen-req и nopass, указав common name клиента:

cd ~/EasyRSA-v3.0.6/
./easyrsa gen-req client1 nopass

Нажмите Enter, чтобы подтвердить common name. Скопируйте client1.key в /client-configs/keys/:

cp pki/private/client1.key ~/client-configs/keys/

Передайте файл client1.req на сервер CA:

scp pki/reqs/client1.req 8host@your_CA_ip:/tmp

Войдите на машину CA, перейдите в каталог EasyRSA и импортируйте запрос на сертификат:

ssh 8host@your_CA_ip
cd EasyRSA-v3.0.6/
./easyrsa import-req /tmp/client1.req client1

Затем подпишите запрос, как и для сервера. Но на этот раз укажите тип запроса client:

./easyrsa sign-req client client1

В ответ введите yes, чтобы подтвердить, что вы хотите подписать запрос сертификата и что он пришел из надежного источника:

Type the word 'yes' to continue, or any other input to abort.
Confirm request details: yes

Опять же, если вы зашифровали свой ключ CA, вам будет предложено ввести пароль.

Это создаст клиентский сертификат client1.crt, который нужно передать на сервер:

scp pki/issued/client1.crt 8host@your_server_ip:/tmp

По SSH подключитесь обратно на сервер OpenVPN и скопируйте сертификат клиента в каталог /client-configs/keys/:

cp /tmp/client1.crt ~/client-configs/keys/

Затем скопируйте ca.crt и ta.key в каталог /client-configs/keys/:

sudo cp ~/EasyRSA-v3.0.6/ta.key ~/client-configs/keys/
sudo cp /etc/openvpn/ca.crt ~/client-configs/keys/

Теперь все серверные и клиентские сертификаты и ключи сгенерированы и хранятся в соответствующих каталогах на сервере. Позже вам еще придется поработать с этими файлами. На данный момент вы можете перейти к настройке OpenVPN на сервере.

5: Настройка сервиса OpenVPN

Теперь пора настроить сервис OpenVPN. При этом используются созданные ранее учетные данные и файлы.

Для начала нужно скопировать образец файла OpenVPN в каталог конфигурации, чтобы его можно было использовать в качестве основы для установки:

sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn/
sudo gzip -d /etc/openvpn/server.conf.gz

Откройте файл в текстовом редакторе:

sudo nano /etc/openvpn/server.conf

Сначала найдите раздел HMAC и директиву tls-auth. Удалите точку с запятой в начале строки, чтобы раскомментировать tls-auth. Под этим параметром добавьте key-direction со значением «0»:

tls-auth ta.key 0 # This file is secret
key-direction 0

Затем найдите раздел шифров, а в нем закомментированные строки cipher. AES-256-CBC обеспечивает хороший уровень шифрования и хорошо поддерживается. Удалите точку с запятой, чтобы раскомментировать AES-256-CBC:

cipher AES-256-CBC

Ниже вы можете добавить строку auth, чтобы выбрать алгоритм HMAC. SHA256 – хороший выбор:

auth SHA256

Затем найдите директиву dh, которая определяет параметры Диффи-Хеллмана. Из-за недавних изменений, внесенных в EasyRSA, имя ключа Диффи-Хеллмана может отличаться от того, что указано в файле конфигурации сервера. Если нужно, измените имя файла, указанное здесь, удалив 2048 – имя должно совпадать с ключом, сгенерированным на предыдущем этапе:

dh dh.pem

Теперь найдите настройки user и group и удалите “;” в начале этих строк:

user nobody
group nogroup

Принудительное перенаправление трафика на VPN (опционально)

В приведенных выше настройках будет создано VPN-соединение между двумя машинами, но подключение к туннелю не будет выполняться принудительно. Если вы хотите использовать VPN для маршрутизации всего трафика, вам нужно переместить настройки DNS на клиентские компьютеры.

Вы можете сделать это, раскомментировав несколько директив в server.conf, которые настраивают клиентские компьютеры для перенаправления всего веб-трафика через VPN. Найдите раздел redirect-gateway и удалите точку с запятой в начале строки redirect-gateway, чтобы раскомментировать ее:

push "redirect-gateway def1 bypass-dhcp"

Ниже найдите раздел dhcp-option. Удалите “;” в начале строк, чтобы раскомментировать их:

push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"

Это должно помочь клиентам переконфигурировать DNS для использования туннеля VPN в качестве шлюза по умолчанию.

Изменение порта и протокола (опционально)

По умолчанию сервер OpenVPN использует порт 1194 и протокол UDP для приема клиентских подключений. Если вам нужно использовать другой порт из-за ограничений сетевой среды, вы можете изменить параметр port. Если вы не размещаете веб-контент на своем сервере OpenVPN, можете использовать порт 443, поскольку он обычно разблокирован в брандмауэре.

# Optional!
port 443

Часто протокол ограничивается этим портом. Если это так, измените значение proto с UDP на TCP:

# Optional!
proto tcp

Если вы переключили протокол на TCP, вам нужно будет изменить значение директивы direct-exit-notify с 1 на 0, так как эта директива поддерживается только UDP. В противном случае TCP вызовет ошибки при запуске службы OpenVPN:

# Optional!
explicit-exit-notify 0

Если вам не нужно использовать другой порт, лучше оставить эти два параметра по умолчанию.

Настройка нестандартных учетных данных (опционально)

Если ранее вы указали другое имя в команде ./build-key-server, измените строки cert и key, чтобы указать соответствующие файлы .crt и .key. Если вы использовали значение по умолчанию server, ничего менять не нужно.

cert server.crt
key server.key

Сохраните и закройте файл.

6: Конфигурации сети сервера

Затем нужно настроить некоторые моменты в работе сервера, чтобы OpenVPN мог правильно маршрутизировать трафик.

Во-первых, нужно разрешить серверу пересылать трафик. Это довольно важно для функциональности, которую мы хотим предоставить VPN-серверу.

Эта настройка находится в файле /etc/sysctl.conf:

sudo nano /etc/sysctl.conf

Найдите строку net.ipv4.ip_forward и удалите символ #, чтобы раскомментировать ее.

net.ipv4.ip_forward=1

Сохраните и закройте файл.

Чтобы обновить настройки в текущей сессии, введите:

sudo sysctl -p
net.ipv4.ip_forward = 1

Если вы следовали мануалу по начальной настройке сервера в требованиях, вы уже настроили брандмауэр UFW. Независимо от того, используете ли вы брандмауэр для блокирования нежелательного трафика (что рекомендуется делать почти всегда), сейчас нужно настроить брандмауэр для управления определенным количеством трафика, поступающего на сервер. Нам нужно изменить файл правил, чтобы настроить маскарадинг iptables – эта функция обеспечивает динамический NAT, что позволяет правильно маршрутизировать клиентские соединения.

Прежде чем мы откроем конфигурации брандмауэра, чтобы добавить маскарадинг, нужно определить открытый сетевой интерфейс машины. Для этого введите:

ip route | grep default

Открытый интерфейс будет указан в выводе после dev. Например, в этом случае это интерфейс wlp11s0:

default via 203.0.113.1 dev eth0 proto static

Определив интерфейс, связанный с маршрутом по умолчанию, откройте файл /etc/ufw/before.rules, чтобы добавить соответствующую конфигурацию:

sudo nano /etc/ufw/before.rules

Правила UFW обычно добавляются с помощью команды ufw. Однако правила, перечисленные в файле before.rules, считываются и вводятся в действие до того, как будут загружены обычные правила UFW. В начало файла добавьте выделенные ниже строки. Это установит политику по умолчанию для цепочки POSTROUTING в таблице nat и будет маскировать весь трафик, поступающий из VPN. Не забудьте заменить wlp11s0 в строке -A POSTROUTING интерфейсом, который вы определили ранее.

#
# rules.before
#
# Rules that should be run before the ufw command line added rules. Custom
# rules should be added to one of these chains:
#   ufw-before-input
#   ufw-before-output
#   ufw-before-forward
#
# START OPENVPN RULES
# NAT table rules
*nat
:POSTROUTING ACCEPT [0:0] # Allow traffic from OpenVPN client to eth0 (change to the interface you discovered!)
-A POSTROUTING -s 10.8.0.0/8 -o eth0 -j MASQUERADE
COMMIT
# END OPENVPN RULES
# Don't delete these required lines, otherwise there will be errors
*filter
. . .

Сохраните и закройте файл.

Также UFW нужно разрешить пересылать пакеты по умолчанию. Для этого откройте /etc/default/ufw:

sudo nano /etc/default/ufw

Внутри найдите директиву DEFAULT_FORWARD_POLICY. Измените DROP на ACCEPT:

DEFAULT_FORWARD_POLICY="ACCEPT"

Сохраните и закройте файл.

Затем нужно настроить брандмауэр для поддержки трафика OpenVPN. Если вы не изменили порт и протокол в файле /etc/openvpn/server.conf, вам нужно будет открыть UDP-трафик на порт 1194. Если вы изменили порт и/или протокол, откорректируйте здесь эти значения.

Также нужно добавить SSH-порт, если вы забыли добавить его, следуя инструкциям в предварительных требованиях:

sudo ufw allow 1194/udp
sudo ufw allow OpenSSH

Теперь нужно отключить и снова включить UFW, чтобы брандмауэр считал все новые параметры из всех файлов.

sudo ufw disable
sudo ufw enable

Теперь сервер может правильно обрабатывать трафик OpenVPN.

7: Запуск и автозагрузка сервиса OpenVPN

Сейчас можно запустить OpenVPN на сервере. Это делается с помощью утилиты systemctl.

Вам нужно запустить сервер OpenVPN, указав имя конфигурационного файла в качестве переменной экземпляра после имени unit-файла systemd. Файл конфигурации сервера называется /etc/openvpn/server.conf, поэтому мы добавим @server после unit-файла:

sudo systemctl start openvpn@server

Убедитесь, что сервис успешно запущен:

sudo systemctl status openvpn@server

Если все работает, вы увидите:

openvpn@server.service - OpenVPN connection to server
Loaded: loaded (/lib/systemd/system/openvpn@.service; disabled; vendor preset: enabled)
Active: active (running) since Wed 2019-07-17 03:39:24 UTC; 29s ago
Docs: man:openvpn(8)
https://community.openvpn.net/openvpn/wiki/Openvpn24ManPage
https://community.openvpn.net/openvpn/wiki/HOWTO
Main PID: 3371 (openvpn)
Status: "Initialization Sequence Completed"
Tasks: 1 (limit: 3587)
Memory: 1.2M
Group: /system.slice/system-openvpn.slice/openvpn@server.service
└─3371 /usr/sbin/openvpn --daemon ovpn-server --status /run/openvpn/server.status 10 --cd /etc/openvpn --config /etc/openvpn/server.conf --writepid /run/openvpn/

Вы также можете проверить, доступен ли интерфейс OpenVPN tun0, набрав:

ip addr show tun0

Вы должны увидеть результат:

3: tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN group default qlen 100
link/none
inet 10.8.0.1 peer 10.8.0.2/32 scope global tun0
valid_lft forever preferred_lft forever
inet6 fe80::dd60:3a78:b0ca:1659/64 scope link stable-privacy
valid_lft forever preferred_lft forever

Если все работает правильно, добавьте сервис в автозагрузку:

sudo systemctl enable openvpn@server

8: Создание инфраструктуры клиентской конфигурации

Создание конфигурационных файлов для клиентов OpenVPN может быть затруднительно, так как каждый клиент должен иметь собственную конфигурацию, и при этом она должна совпадать с настройками, указанными в конфигурации сервера. Вместо того чтобы создавать файлы, которые можно использовать только на одном клиенте, создайте инфраструктуру конфигурации клиента, которую вы можете использовать для создания конфигурационных файлов на ходу. Сначала вы создадите базовый конфигурационный файл, а затем напишете скрипт, который позволит генерировать уникальные конфигурационные файлы клиентов, сертификаты и ключи.

Создайте в своем домашнем каталоге структуру каталогов для хранения файлов:

mkdir -p ~/client-configs/files

Затем скопируйте образец конфигурации клиента в каталог, чтобы использовать его в качестве базовой конфигурации:

cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf ~/client-configs/base.conf

Откройте этот новый файл в текстовом редакторе:

nano ~/client-configs/base.conf

В него нужно внести несколько поправок.

Сначала найдите директиву remote. Она указывает клиенту адрес сервера OpenVPN. Это должен быть внешний IP-адрес вашего сервера OpenVPN. Если вы изменили порт, который прослушивает сервер OpenVPN, замените 1194 новым номером порта.

. . .
# The hostname/IP and port of the server.
# You can have multiple remote entries
# to load balance between the servers.
remote your_server_ip 1194
. . .

Убедитесь также, что протокол указан правильно.

proto udp

Затем раскомментируйте директивы user и group, удалив “;”:

# Downgrade privileges after initialization (non-Windows only)
user nobody
group nogroup

Найдите директивы ca, cert и key. Закомментируйте эти директивы, так как сертификаты и ключи нужно добавить внутри самого файла:

# SSL/TLS parms.
# See the server config file for more
# description.  It's best to use
# a separate .crt/.key file pair
# for each client.  A single ca
# file can be used for all clients.
#ca ca.crt
#cert client.crt
#key client.key

Также раскомментируйте директиву tls-auth, чтобы добавить ta.keyпрямо в конфигурационный файл клиента:

# If a tls-auth key is used on the server
# then every client must also have the key.
#tls-auth ta.key 1

Параметры cipher и auth должны отражать значения из файла /etc/openvpn/server.conf.

cipher AES-256-CBC
auth SHA256

Затем добавьте где-нибудь в файле директиву key-direction. Для работы с сервером должно быть установлено значение «1»:

key-direction 1

В завершение добавьте несколько закомментированных строк. Их нужно включить в каждый конфиг, но активировать их можно только для клиентов Linux, которые поставляются с файлом /etc/openvpn/update-resolv-conf . Этот скрипт использует утилиту resolvconf для обновления информации DNS для клиентов Linux.

# script-security 2
# up /etc/openvpn/update-resolv-conf
# down /etc/openvpn/update-resolv-conf

Если ваш клиент работает на Linux и имеет файл /etc/openvpn/update-resolv-conf , вы должны раскомментировать эти строки в сгенерированном файле конфигурации клиента OpenVPN.

Сохраните файл, когда закончите.

Теперь создайте простой скрипт для компиляции базовой конфигурации с соответствующими сертификатами, ключами и файлами шифрования. Он поместит сгенерированную конфигурацию в каталог ~/client-configs/files.

Создайте и откройте файл make_config.sh:

nano ~/client-configs/make_config.sh

Вставьте в него такой сценарий, вместо 8hostукажите имя своего пользователя:

#!/bin/bash
# First argument: Client identifier
KEY_DIR=/home/8host/client-configs/keys
OUTPUT_DIR=/home/8host/client-configs/files
BASE_CONFIG=/home/8host/client-configs/base.conf
cat ${BASE_CONFIG} \
<(echo -e '<ca>') \
${KEY_DIR}/ca.crt \
<(echo -e '</ca>\n<cert>') \
${KEY_DIR}/${1}.crt \
<(echo -e '</cert>\n<key>') \
${KEY_DIR}/${1}.key \
<(echo -e '</key>\n<tls-auth>') \
${KEY_DIR}/ta.key \
<(echo -e '</tls-auth>') \
> ${OUTPUT_DIR}/${1}.ovpn

Сохраните и закройте файл.

Сделайте его исполняемым.

chmod 700 ~/client-configs/make_config.sh

Этот скрипт создаст копию файла base.conf, который вы создали, соберет все файлы сертификатов и ключей клиента, извлечет их содержимое, добавит их в копию базового файла конфигурации и экспортирует все это содержимое в новый конфигурационный файл клиента. Это означает, что вместо того, чтобы отдельно управлять конфигурацией каждого клиента, его сертификатом и ключами, вы сможете хранить всю информацию в одном месте. Преимущество этого заключается в том, что если вам когда-либо понадобится добавить клиента в будущем, вы сможете просто запустить этот скрипт, чтобы быстро создать конфигурацию и убедиться, что вся важная информация доступна.

Обратите внимание: при добавлении каждого нового клиента вам необходимо будет создать для него новые ключи и сертификаты, прежде чем вы сможете запустить этот скрипт и создать его конфигурационный файл.

9: Генерирование клиентской конфигурации

Теперь можно легко создавать файлы конфигурации клиента.

Если вы следовали руководству, вы создали клиентский сертификат и ключ client1.crt и client1.key, выполнив команду ./build-key client1 в разделе 4. Чтобы создать конфигурацию для этих учетных данных, нужно перейти в каталог ~/client-configs и использовать созданный вами сценарий:

cd ~/client-configs
sudo ./make_config.sh client1

Если все сработало правильно, в каталоге ~/client-configs/files появится файл client1.ovpn.

ls ~/client-configs/files
client1.ovpn

Теперь необходимо перенести файл конфигурации клиента на клиентское устройство. Например, это может быть ваш локальный компьютер или мобильное устройство.

Приложения, используемые вами для осуществления этой передачи, зависят от вашего выбора и операционной системы устройства. Но лучше бы приложение использовало SFTP (SSH file transfer protocol) или SCP (Secure Copy). Это позволяет передать конфиденциальные данные клиента по зашифрованному соединению.

Ниже приведен пример команды SFTP с файлом client1.ovpn. Эту команду можно запустить с вашего локального компьютера (OS X или Linux). Она помещает файл .ovpn в домашний каталог:

sftp 8host@your_server_ip:client-configs/files/client1.ovpn ~/

Также вы можете использовать следующие приложения и мануалы:

• WinSCP
• Использование SFTP для безопасного обмена файлами с удаленным сервером
• Безопасное управление файлами сервера с помощью Filezilla

10: Клиентская конфигурация

Теперь мы обсудим, как установить клиентский профиль VPN в Windows, OS X, iOS и Android. Эти разделы не зависят друг от друга, поэтому их не нужно выполнять последовательно – просто выберите нужную вам систему и следуйте инструкциям.

Соединение OpenVPN будет называться так же, как файл .ovpn. В данном примере это означает, что соединение будет называться client1.ovpn для первого созданного файла клиента.

Система Windows

Установка

Приложение OpenVPN для Windows можно найти здесь. Выберите подходящую версию инсталлятора.

Примечание: Для установки OpenVPN требуются административные права.

После установки OpenVPN скопируйте файл .ovpn в:

C:\Program Files\OpenVPN\config

Когда вы запустите OpenVPN, он автоматически увидит профиль и сделает его доступным.

OpenVPN должен запускаться как администратор каждый раз, когда он используется даже с помощью административных учетных записей. Чтобы не кликать правой кнопкой мыши и не выбирать Run as administrator каждый раз, когда вы используете VPN, вы можете настроить такой запуск, но это должно быть сделано из учетной записи администратора. Это также означает, что стандартным пользователям необходимо будет ввести пароль администратора для использования OpenVPN. С другой стороны, стандартные пользователи не могут правильно подключиться к серверу, если у приложения OpenVPN на клиенте нет прав администратора, поэтому необходимы повышенные привилегии.

Чтобы приложение OpenVPN всегда запускалось как администратор, кликните по нему правой кнопкой мыши и выберите Properties. В нижней части вкладки Compatibility нажмите Change settings for all users. В новом окне установите флажок Run this program as an administrator.

Подключение

Каждый раз, когда вы запускаете GUI OpenVPN, Windows спрашивает, хотите ли вы разрешить программе вносить изменения на компьютер. Здесь нужно выбрать Yes. Запуск клиентского приложения OpenVPN только помещает апплет в системный трей, чтобы VPN можно было подключать и отключать по мере необходимости; фактически это не создает VPN-соединения.

После запуска OpenVPN инициируйте соединение; для этого войдите в апплет панели задач и кликните правой кнопкой мыши по значку OpenVPN. Откроется контекстное меню. Выберите client1 в верхней части меню (это наш профиль client1.ovpn) и нажмите Connect.

Откроется окно состояния, показывающее вывод лога при установлении соединения, а после подключения клиента появится сообщение.

Отключить VPN  можно так же: зайдите в апплет панели задач, кликните правой кнопкой мыши по OpenVPN, выберите профиль клиента и нажмите Disconnect.

macOS

Установка

Tunnelblick – это свободный и открытый клиент OpenVPN для Mac OS X. Загрузить последний образ можно отсюда. Кликните дважды по загруженному файлу .dmg и следуйте инструкциям.

В конце установки Tunnelblick спросит, есть ли у вас файлы конфигурации. Легче ответить No и дать Tunnelblick закончить установку. Откройте окно Finder и дважды щелкните client1.ovpn. Tunnelblick установит профиль клиента. Для этого требуются административные привилегии.

Подключение

Запустите Tunnelblick, дважды кликнув по Tunnelblick в папке Applications. После запуска в строке меню в верхней правой части экрана появится значок Tunnelblick для управления соединениями. Нажмите на значок, а затем выберите пункт меню Connect, чтобы начать VPN-соединение. Выберите соединение client1.

Linux

Установка

Если вы используете Linux, у вас есть множество инструментов, которые вы можете использовать в зависимости от вашего дистрибутива. Утилиты подключения могут также быть в среде рабочего стола или диспетчера окон.

Однако самым универсальным способом подключения является программное обеспечение OpenVPN.

В Ubuntu или Debian вы можете установить его так же, как и на сервере:

sudo apt update
sudo apt install openvpn

В CentOS нужно добавить репозиторий EPEL, после чего можно установить программу.

sudo yum install epel-release
sudo yum install openvpn

Настройка

Проверьте, содержит ли ваш дистрибутив скрипт /etc/openvpn/update-resolv-conf:

ls /etc/openvpn
update-resolv-conf

Затем отредактируйте конфигурационный файл клиента OpenVPN, который вы передали:

nano client1.ovpn

Раскомментируйте три строки, которые вы поместили ранее, чтобы настроить параметры DNS, если вы смогли найти файл update-resolv-conf:

script-security 2
up /etc/openvpn/update-resolv-conf
down /etc/openvpn/update-resolv-conf

В CentOS нужно изменить значение group с nogroup на nobody:

group nobody

Сохраните и закройте файл.

Теперь вы можете подключиться к VPN, просто направив команду openvpn в файл конфигурации клиента:

sudo openvpn --config client1.ovpn

Это должно подключить вас к вашему серверу.

IOS

Установка

В iTunes App Store найдите и установите OpenVPN Connect, официальное клиентское приложение iOS OpenVPN. Чтобы перенести конфигурацию клиента iOS на устройство, подключите его непосредственно к компьютеру.

Здесь будет приведено описание завершения передачи iTunes. Откройте iTunes на компьютере и нажмите iPhone > apps. Прокрутите вниз до раздела File Sharing и кликните по OpenVPN. Пустое окно справа, OpenVPN Documents, предназначено для обмена файлами. Перетащите файл .ovpn в окно OpenVPN Documents.

Теперь запустите приложение OpenVPN на iPhone. Появится уведомление о том, что новый профиль готов к импорту. Нажмите зеленый плюсик, чтобы импортировать его.

Подключение

OpenVPN теперь готов к использованию с новым профилем. Запустите соединение, сдвинув кнопку Connect в положение On. Чтобы прервать соединение, нужно сдвинуть ту же кнопку в положение Off.

Примечание: Переключатель VPN в разделе Settings нельзя использовать для подключения к VPN. Если вы попытаетесь, вы сможете подключаться только с помощью приложения OpenVPN.

Android

Установка

Откройте Google Play Store. Найдите и установите Android OpenVPN Connect, официальное клиентское приложение Android OpenVPN.

Профиль .ovpn можно перенести, подключив устройство Android к компьютеру с помощью USB и скопировав файл. В качестве альтернативы, если у вас есть устройство для чтения SD-карт, вы можете использовать SD-карту устройства, скопировать профиль на нее и затем вставить карту обратно в Android-устройство.

Запустите приложение OpenVPN и откройте меню, чтобы импортировать профиль.

Затем перейдите к расположению сохраненного профиля (/sdcard/Download/) и выберите файл. Приложение сообщит, что профиль был импортирован.

Подключение

Чтобы подключиться, просто нажмите кнопку Connect. Программа спросит, доверяете ли вы OpenVPN-приложению. Нажмите OK, чтобы начать соединение. Чтобы отключиться от VPN, вернитесь в приложение OpenVPN и выберите Disconnect.

11: Тестирование VPN-соединения

Примечание: Этот метод проверки работает только в случае, если вы перенаправили весь трафик на VPN в разделе 5.

Теперь, когда  все установлено, нужно выполнить простую проверку, чтобы убедиться, что все работает правильно. Без VPN-подключения откройте браузер и перейдите в DNSLeakTest.

Сайт вернет IP-адрес, назначенный вашим провайдером интернет-услуг, так вас видят другие сайты в сети. Чтобы проверить настройки DNS через один и тот же сайт, нажмите Extended Test, и он расскажет вам, какие DNS-серверы вы используете.

Подключите клиент OpenVPN к VPN вашего сервера и обновите браузер. Теперь у вашего VPN-сервера должен появиться совершенно другой IP-адрес и в сети вас видят по-другому. Опять же, расширенный тест DNSLeakTest проверит ваши настройки DNS и подтвердит, что вы используете DNS-резолверы, настроенные вашим VPN.

12: Отзыв клиентских сертификатов

Иногда появляется необходимость отозвать сертификат клиента, чтобы предотвратить дальнейший доступ к серверу OpenVPN.

Для этого перейдите в каталог EasyRSA на машине CA:

cd EasyRSA-v3.0.6/

Запустите сценарий easyrsa с опцией revoke:

./easyrsa revoke client2

Чтобы подтвердить отзыв сертификата, введите yes:

Please confirm you wish to revoke the certificate with the following subject:
subject=
commonName                = client2
Type the word 'yes' to continue, or any other input to abort.
Continue with revocation: yes

После подтверждения действия CA полностью отзовет сертификат клиента. Тем не менее, сервер OpenVPN в настоящее время не имеет возможности проверить, были ли отозваны сертификаты клиентов, и у клиента все равно будет доступ к VPN. Чтобы исправить это, создайте список отзыва сертификатов (CRL) на вашем компьютере CA:

./easyrsa gen-crl

Это создаст файл crl.pem. Перенесите этот файл на ваш сервер OpenVPN:

scp ~/EasyRSA-3.0.4/pki/crl.pem 8host@your_server_ip:/tmp

На сервере OpenVPN скопируйте этот файл в каталог /etc/openvpn/:

sudo cp /tmp/crl.pem /etc/openvpn

Откройте конфигурационный файл OpenVPN:

sudo nano /etc/openvpn/server.conf

В нижней части файла добавьте параметр crl-verify, чтобы сервер OpenVPN проверял список отзыва сертификатов, который создается при каждой попытке подключения:

crl-verify crl.pem

Сохраните и закройте файл.

Перезапустите OpenVPN:

sudo systemctl restart openvpn@server

Теперь клиент не сможет подключаться к серверу с помощью старых учетных данных.

Чтобы отозвать сертификаты других клиентов, выполните следующие действия:

1. Отзовите сертификат с помощью команды ./easyrsa revoke client_name
2. Создайте новый CRL
3. Перенесите новый файл crl.pem на сервер OpenVPN и скопируйте его в каталог /etc/openvpn, чтобы перезаписать старый список.
4. Перезапустите службу OpenVPN.

Так вы сможете отозвать любые сертификаты клиентов.

Заключение

Теперь у вас есть безопасный доступ к интернету: ваши личные данные, локация и трафик полностью защищены от перехвата и цензуры.

Чтобы настроить больше клиентов, повторите разделы 4 и 9-11 для каждого дополнительного устройства. Чтобы отнять доступ у клиентов, выполните раздел 12.