• ru
• VPN

?Обсуждения

VPN (англ. Virtual Private Network — виртуальная частная сеть) — обобщённое название технологий, позволяющих обеспечить одно или несколько сетевых соединений (логическую сеть) поверх другой сети (например, Интернет).

Подключение к провайдеру через VPN

На практике, чаще всего, встречается ситуация, когда пользователь имеет доступ в локальную сеть, но для выхода в интернет, ему необходимо воспользоваться VPN-соединением, использующим PPTP или L2TP протокол. Следовательно, для того, чтобы получить доступ в интернет, нужно установить VPN-соединение, а точнее (чаще всего) — по протоколу PPTP.

по протоколу PPTP

Для установки соединения с провайдером вам понадобится клиент pptp-linux. Смотрите подробное описание установки соединения по протоколу PPTP здесь.

по протоколу L2TP

Для установки соединения с провайдером вам понадобится программа OpenL2TP или демон xl2tpd. Смотрите подробное описание установки соединения по протоколу L2TP через программу OpenL2TP здесь, для демона xl2tpd — здесь.

с диска netinstall

В случае, если вы воспользовались установочным диском netinstall (debian-version—arch-netinst.iso), и находитесь в свежей, только что установленной системе, то вы сможете уже сейчас установить Интернет соединение по протоколу PPTP.

Собственно, весь подвох заключается в том, что при обычной (псевдо)графической установке, ставятся не все пакеты, а при экспертной установке (в расширенных параметрах установки) нам предоставляется возможность выбрать список пакетов (в т.ч. и нужный нам). В составе пакетов установочного диска netinstall находится пакет клиента pptp-linux, но отсутствует пакет с демоном xl2tpd.

Во время процесса установки системы

После процесса установки системы

После завершения обычной (псевдо)графической установки, проверьте ваш файл со списком ‘источников’, /etc/apt/sources.lists, на наличие строки, которая добавляет ‘источник’ репозитория пакетов с CD-ROM диска netinstall. В общем случае, строка, добавляющая ‘источник’, которая выглядит как deb cdrom:[Debian GNU/Linux release info]/ version main, уже присутствует в вашем файле /etc/apt/sources.lists, но закомментирована. В таком случае, просто раскомментируйте эту строку, подключив к APT, репозиторий пакетов, содержащийся на диске. Если же вы удалили строку или её часть, то воспользуйтесь утилитой apt-cdrom, введя команду

тем самым, добавив снова строку в файл /etc/apt/sources.lists, для подключения репозитория пакетов, находящегося на диске netinstall. Затем обновите список доступных пакетов в собственной базе данных системы пакетов APT командой

и можете обнаружить пакет pptp-linux в списке доступных

Обратите внимание, что программа apt-cdrom работает только, если ваш CD-ROM правильно настроен в системном файле настроек /etc/fstab.

Разумеется, конечно, пакеты-зависимости pptp-linux также присутствуют в списке доступных пакетов, при помощи диска netinstall.

Организация доступа через VPN

Ссылки

netinstall — Сетевая установка с минимальным компакт-диском

Руководство APT — Добавление CD-ROM в файл sources.list

Клиент PPTP — Официальный сайт «Клиент PPTP», клиент Linux, FreeBSD, NetBSD и OpenBSD для протокола от Microsoft — Point-to-Point Tunneling Protocol, PPTP

Клиент PPTP — Руководство по использованию в Debian

Установка бесплатного VPN на Debian – Ubuntu

Добрый день всем, кто оказался на данном сайте. В последнее время актуальность использования VPN возрастает. Многие не хотят или не могут арендовать сервер и установить на него свой VPN. Как написано например в этой статье. А возможно, некоторым это и не нужно. Так сказать не целесообразно выкидывать деньги ради того что бы просто зайти на тот же самый торрент… Давайте рассмотрим один из вариантов использования бесплатного и на мой взгляд надежного VPN решения. Это ProtonVPN, раньше я уже писал о нем, но, время идет и тот мануал уже не актуальный. То есть, установка самого клиента на 2020 год уже не актуальна, а все остальное “Регистрация”. По этому, в данной статье мы рассмотрим только установку их обновленного клиента. И так, давайте приступим. Данная инструкция подойдет для всех deb ориентированных дистрибутивов. Переходим в терминал и вводим следующие команды.

Установка бесплатного VPN

Сначала давайте установим необходимые пакеты:

После чего нужно скачать и установи сам клиент VPN, который расположен на github. Возможно, вам надо будет установить git. Он обычно есть в репозиториях и устанавливается командой “sudo apt install git”:

После того как вы скачаете с github клиент, переходим в папку:

Ну а теперь установим с помощью команды:

Сама установка не займет у много времени. А после успешной установки, давайте запустим сам клиент и введем свои регистрационные данные. Как зарегестрироваться на оффициальном сатйте можно прочесть в этой статье, официальный сайт расположен тут:

Стоит отметить, что пароль вводится 2 раза, не пугайтесь. Потом выбираете ваш тарифный план. В нашем случае, выбираем бесплатный (Free)

Далее нам предложат на выбор, по какому протоколу мы будем выходить в сеть, я выбиру UDP.

После чего подтверждаем наше решение указав букву “Y”

Подключение к VPN

Установка на этом завершена, можно подключаться. Команды для подключения я вынесу в самый низ статьи. И так, подключаемся к нашему бесплатному VPN. Подключаться я буду указав ключ “-f”, что означает подключение к самому быстрому серверу:

После чего проверяем, для этого переходим на любой сайт где можно посмотреть ваш ip адрес:

Настройка сервера OpenVPN в Debian 10

Нужен безопасный доступ к Интернету со смартфона или ноутбука при подключении к незащищенной сети (например, к WiFi в отеле или кафе)? Виртуальная частная сеть (VPN) позволяет находиться в ненадежных сетях так, как если бы вы были подключены к частной сети. Трафик исходит от VPN-сервера и передается до места назначения.

Вместе с HTTPS эта настройка позволяет защитить ваши логины и транзакции. Вы можете обойти географические ограничения и цензуру, защитить свое местоположение и любой незашифрованный HTTP-трафик.

OpenVPN – это полнофункциональное открытое средство VPN SSL, которое поддерживает широкий диапазон конфигураций. В этом мануале вы научитесь настраивать сервер OpenVPN на вашем выделенном сервере Debian 10, а также настраивать доступ к Windows, OS X, iOS и Android.

Требования

Для работы вам понадобится сервер Debian 10, полностью настроенный по этому мануалу. Все действия по настройке OpenVPN нужно будет выполнять в сессии пользователя sudo.

Кроме того, вам понадобится отдельный компьютер, который будет служить вашим центром сертификации (ЦС или CA). Технически для этого возможно использовать сервер OpenVPN или локальную машину, но этого делать не рекомендуется, так как это подвергает VPN некоторым уязвимостям безопасности. По официальной документации OpenVPN вы должны разместить свой ЦС на автономной машине, предназначенной для импорта и подписания запросов на сертификаты. Потому в этом мануале предполагается, что ваш ЦС находится на отдельном сервере Debian 10, который также настроили по этому мануалу.

• Предустановленный OpenVPN
• Безлимитный трафик и бекапы
• Управление через Webmin

Обратите внимание: если при настройке этих серверов вы отключите парольную аутентификацию, в дальнейшем вы можете столкнуться с трудностями при передаче файлов между ними. Чтобы устранить эту проблему, вы можете повторно включить парольную аутентификацию на каждом сервере. В качестве альтернативы вы можете создать пару ключей SSH для каждого сервера, а затем добавить открытый SSH-ключ сервера OpenVPN в файл authorized_keys ЦС-машины (и в обратном направлении).

1: Установка OpenVPN и EasyRSA

Сначала установите пакет OpenVPN на сервер. Пакет OpenVPN доступен в репозиториях Debian по умолчанию, поэтому для установки можно использовать apt.

Обновите локальный индекс пакетов и установите OpenVPN:

sudo apt update
sudo apt install openvpn

OpenVPN – это протокол TLS/SSL VPN. Это значит, что для шифрования трафика между сервером и клиентами он использует сертификаты. Чтобы выдавать доверенные сертификаты, нужно создать собственный центр сертификации (ЦС). Для этого понадобится последняя версия пакета EasyRSA, который позволяет собирать инфраструктуры открытых ключей ЦС (PKI). Этот пакет можно найти на GitHub.

Как уже говорилось в требованиях, ЦС мы создадим на автономном сервере. Дело в том, что если злоумышленник попадет на ваш сервер, он сможет получить доступ к вашему закрытому ключу ЦС и использовать его для подписания новых сертификатов, предоставляя им доступ к VPN. Соответственно, управление ЦС с помощью автономной машины помогает предотвратить доступ неавторизованных пользователей к VPN. Обратите также внимание на то, что в качестве дополнительной меры предосторожности сервер ЦС рекомендуется отключить, если он не используется для подписи ключей.

Чтобы собрать инфраструктуру ЦС и PKI, загрузите последнюю версию EasyRSA с GitHub с помощью wget. Скопируйте ссылку на файл .tgz для последней версии, а затем вставьте ее в команду.

Примечание: Это нужно сделать на обоих серверах.

tar xvf EasyRSA-unix-v3.0.6.tgz

Вы успешно установили все необходимое программное обеспечение на обе машины. Теперь пора настроить переменные, используемые EasyRSA, и подготовить каталог CA, где вы будете генерировать ключи и сертификаты, необходимые для доступа к VPN.

2: Настройка переменных EasyRSA и сборка ЦС

EasyRSA поставляется вместе с конфигурационным файлом. Вы можете его отредактировать, чтобы определить количество переменных для вашего центра сертификации.

На машине CA перейдите в каталог EasyRSA:

В каталоге найдите файл vars.example. Скопируйте его и назовите копию vars без расширения.

cp vars.example vars

Откройте новый файл в текстовом редакторе:

Внутри файла вы найдете переменные, которые позволяют определить, как будут создаваться сертификаты. Вам нужно изменить только некоторые из них.

. . .
#set_var EASYRSA_REQ_COUNTRY «US»
#set_var EASYRSA_REQ_PROVINCE «California»
#set_var EASYRSA_REQ_CITY «San Francisco»
#set_var EASYRSA_REQ_ORG «Copyleft Certificate Co»
#set_var EASYRSA_REQ_EMAIL «me@example.net»
#set_var EASYRSA_REQ_OU «My Organizational Unit»
. . .

Раскомментируйте следующие строки и укажите в них свои данные (только не оставляйте пустых полей):

. . .
set_var EASYRSA_REQ_COUNTRY «US»
set_var EASYRSA_REQ_PROVINCE «NewYork»
set_var EASYRSA_REQ_CITY «New York City»
set_var EASYRSA_REQ_ORG «DigitalOcean»
set_var EASYRSA_REQ_EMAIL «admin@example.com»
set_var EASYRSA_REQ_OU «Community»
. . .

Сохраните и закройте файл.

В каталоге EasyRSA есть скрипт easyrsa, который вызывается для выполнения задач, связанных с созданием и управлением CA. Запустите этот скрипт с параметром init-pki, чтобы инициировать инфраструктуру открытого ключа на сервере CA:

./easyrsa init-pki
. . .
init-pki complete; you may now create a CA or requests.
Your newly created PKI dir is: /home/8host/EasyRSA-v3.0.6/pki

После этого вызовите скрипт easyrsa с опцией build-ca. Это создаст ЦС и два важных файла – ca.crt и ca.key, открытую и закрытую часть SSL-сертификата.

• ca.crt – открытый файл сертификата CA. В контексте OpenVPN сервер и клиент используют его для информирования друг друга о том, что они являются частью одной доверенной сети и не участвуют в атаках man-in-the-middle. По этой причине серверу и всем вашим клиентам потребуется копия файла ca.crt.
• ca.key – закрытый ключ, который машина CA использует для подписи ключей и сертификатов серверов и клиентов. Если злоумышленник получит доступ к вашему CA и, в свою очередь, к вашему файлу ca.key, он сможет подписывать запросы на сертификаты и получать доступ к VPN. Вот почему файл ca.key должен находиться только на вашей машине CA; в идеале машина CA должна оставаться оффлайн, когда нет необходимости подписывать запросы.

Если вы не хотите указывать пароль при каждом взаимодействии с ЦС, вы можете ввести команду build-ca с параметром nopass:

./easyrsa build-ca nopass

В выводе будет предложено подтвердить Common Name для вашего ЦС:

. . .
Common Name (eg: your user, host, or server name) [Easy-RSA CA]:

Common Name – это имя для ссылки на этот компьютер в контексте центра сертификации. В качестве Common Name для CA можно ввести любую строку символов, но для простоты нажмите Enter, чтобы принять имя по умолчанию.

Теперь центр сертификации готов подписывать запросы на сертификаты.

3: Создание сертификата, ключа и файлов шифрования

Теперь пора создать сертификат и пару ключей, а также пару дополнительных файлы, которые используются в процессе шифрования.

На сервере OpenVPN откройте каталог EasyRSA:

Теперь запустите сценарий easyrsa с параметром init-pki. Ранее вы уже выполняли эту команду на машине CA, а сейчас необходимо запустить ее здесь, потому что ваш сервер и CA будут иметь отдельные каталоги PKI:

Затем снова вызовите сценарий easyrsa, на этот раз с параметром gen-req, после которого укажите common name машины. Опять же, common name может быть что угодно, но удобнее использовать описательное имя. В данном мануале в качестве имени сервера OpenVPN будет использоваться просто server. Обязательно включите опцию nopass. Иначе пароль будет защищать файл запроса, что впоследствии может привести к проблемам с правами.

Примечание: Если вы выберете другое имя вместо server, вам необходимо откорректировать некоторые из приведенных ниже команд. Например, при копировании сгенерированных файлов в каталог /etc/openvpn вам придется подставить правильные имена. Вам также придется впоследствии изменить файл /etc/openvpn/server.conf и указать правильные файлы .crt и .key.

./easyrsa gen-req server nopass

Эта команда создаст закрытый ключ для сервера и файл запроса сертификата server.req. Скопируйте ключ сервера в каталог /etc/openvpn/:

Используя безопасный метод (например, SCP, как в примере ниже), передайте файл server.req на ваш компьютер CA:

Теперь на сервере CA нужно открыть каталог EasyRSA:

Снова примените сценарий easyrsa, импортируйте файл server.req, указав common name после пути файла:

./easyrsa import-req /tmp/server.req server

Затем подпишите запрос, запустив сценарий easyrsa с параметром sign-req, а после введите тип запроса и common name. Тип запроса может быть client либо server; для запроса сертификата сервера OpenVPN обязательно используйте тип запроса server:

./easyrsa sign-req server server

В выводе будет предложено подтвердить, что запрос поступает из надежного источника. Введите yes, затем нажмите Enter:

You are about to sign the following certificate.
Please check over the details shown below for accuracy. Note that this request
has not been cryptographically verified. Please be sure it came from a trusted
source or that you have verified the request checksum with the sender.
Request subject, to be signed as a server certificate for 1080 days:
subject=
commonName = server
Type the word ‘yes’ to continue, or any other input to abort.
Confirm request details: yes

Если вы зашифровали свой ключ CA, сейчас вам будет предложено ввести пароль.

Затем передайте подписанный сертификат обратно на VPN-сервер через безопасный метод:

scp pki/issued/server.crt 8host@your_server_ip:/tmp

Перед выходом с сервера CA переместите файл ca.crt на свой сервер:

scp pki/ca.crt 8host@your_server_ip:/tmp

Затем вернитесь на сервер OpenVPN и скопируйте server.crt и ca.crt в каталог /etc/openvpn/:

Перейдите в каталог EasyRSA:

Создайте в нем надежный ключ Диффи-Хеллмана, который будет использоваться при обмене ключами:

Эта операция займет несколько минут.

Затем можно создать подпись HMAC, чтобы усилить функции проверки целостности TLS:

sudo openvpn —genkey —secret ta.key

После этого скопируйте два новых файла в каталог /etc/openvpn/:

/EasyRSA-v3.0.6/ta.key /etc/openvpn/
sudo cp

4: Генерирование ключей клиента

Теперь можно создать клиентский сертификат и пару ключей. Это можно сделать на клиентской машине, а затем подписать сервером/CA в целях безопасности, но в этом мануале мы будем генерировать подписанный ключ на сервере – так проще. Это позволяет написать сценарий, который будет автоматически генерировать конфигурационные файлы клиентов, в которых будут необходимые ключи и сертификаты. Благодаря этому вам не придется передавать ключи, сертификаты и конфигурации на клиентские машины.

Создайте один клиентский ключ/сертификат. Если у вас больше одного клиента, вы можете повторить этот процесс необходимое количество раз. Передайте скрипту уникальное значение для каждого клиента. В мануале клиент условно называется client1.

Создайте структуру каталогов в домашнем каталоге для хранения сертификата клиента и файлов ключей:

Поскольку сертификаты и ключи клиентов, а также файлы конфигурации будут находиться в этом каталоге, вы должны закрыть доступ к нему:

Затем вернитесь в каталог EasyRSA и запустите скрипт easyrsa с опцией gen-req и nopass, указав common name клиента:

/EasyRSA-v3.0.6/
./easyrsa gen-req client1 nopass

Нажмите Enter, чтобы подтвердить common name. Скопируйте client1.key в /client-configs/keys/:

Передайте файл client1.req на сервер CA:

scp pki/reqs/client1.req 8host@your_CA_ip:/tmp

Войдите на машину CA, перейдите в каталог EasyRSA и импортируйте запрос на сертификат:

ssh 8host@your_CA_ip
cd EasyRSA-v3.0.6/
./easyrsa import-req /tmp/client1.req client1

Затем подпишите запрос, как и для сервера. Но на этот раз укажите тип запроса client:

./easyrsa sign-req client client1

В ответ введите yes, чтобы подтвердить, что вы хотите подписать запрос сертификата и что он пришел из надежного источника:

Type the word ‘yes’ to continue, or any other input to abort.
Confirm request details: yes

Опять же, если вы зашифровали свой ключ CA, вам будет предложено ввести пароль.

Это создаст клиентский сертификат client1.crt, который нужно передать на сервер:

scp pki/issued/client1.crt 8host@your_server_ip:/tmp

По SSH подключитесь обратно на сервер OpenVPN и скопируйте сертификат клиента в каталог /client-configs/keys/:

Затем скопируйте ca.crt и ta.key в каталог /client-configs/keys/:

/client-configs/keys/
sudo cp /etc/openvpn/ca.crt

Теперь все серверные и клиентские сертификаты и ключи сгенерированы и хранятся в соответствующих каталогах на сервере. Позже вам еще придется поработать с этими файлами. На данный момент вы можете перейти к настройке OpenVPN на сервере.

5: Настройка сервиса OpenVPN

Теперь пора настроить сервис OpenVPN. При этом используются созданные ранее учетные данные и файлы.

Для начала нужно скопировать образец файла OpenVPN в каталог конфигурации, чтобы его можно было использовать в качестве основы для установки:

sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn/
sudo gzip -d /etc/openvpn/server.conf.gz

Откройте файл в текстовом редакторе:

sudo nano /etc/openvpn/server.conf

Сначала найдите раздел HMAC и директиву tls-auth. Удалите точку с запятой в начале строки, чтобы раскомментировать tls-auth. Под этим параметром добавьте key-direction со значением «0»:

tls-auth ta.key 0 # This file is secret
key-direction 0

Затем найдите раздел шифров, а в нем закомментированные строки cipher. AES-256-CBC обеспечивает хороший уровень шифрования и хорошо поддерживается. Удалите точку с запятой, чтобы раскомментировать AES-256-CBC:

Ниже вы можете добавить строку auth, чтобы выбрать алгоритм HMAC. SHA256 – хороший выбор:

Затем найдите директиву dh, которая определяет параметры Диффи-Хеллмана. Из-за недавних изменений, внесенных в EasyRSA, имя ключа Диффи-Хеллмана может отличаться от того, что указано в файле конфигурации сервера. Если нужно, измените имя файла, указанное здесь, удалив 2048 – имя должно совпадать с ключом, сгенерированным на предыдущем этапе:

Теперь найдите настройки user и group и удалите “;” в начале этих строк:

user nobody
group nogroup

Принудительное перенаправление трафика на VPN (опционально)

В приведенных выше настройках будет создано VPN-соединение между двумя машинами, но подключение к туннелю не будет выполняться принудительно. Если вы хотите использовать VPN для маршрутизации всего трафика, вам нужно переместить настройки DNS на клиентские компьютеры.

Вы можете сделать это, раскомментировав несколько директив в server.conf, которые настраивают клиентские компьютеры для перенаправления всего веб-трафика через VPN. Найдите раздел redirect-gateway и удалите точку с запятой в начале строки redirect-gateway, чтобы раскомментировать ее:

push «redirect-gateway def1 bypass-dhcp»

Ниже найдите раздел dhcp-option. Удалите “;” в начале строк, чтобы раскомментировать их:

push «dhcp-option DNS 208.67.222.222»
push «dhcp-option DNS 208.67.220.220»

Это должно помочь клиентам переконфигурировать DNS для использования туннеля VPN в качестве шлюза по умолчанию.

Изменение порта и протокола (опционально)

По умолчанию сервер OpenVPN использует порт 1194 и протокол UDP для приема клиентских подключений. Если вам нужно использовать другой порт из-за ограничений сетевой среды, вы можете изменить параметр port. Если вы не размещаете веб-контент на своем сервере OpenVPN, можете использовать порт 443, поскольку он обычно разблокирован в брандмауэре.

# Optional!
port 443

Часто протокол ограничивается этим портом. Если это так, измените значение proto с UDP на TCP:

# Optional!
proto tcp

Если вы переключили протокол на TCP, вам нужно будет изменить значение директивы direct-exit-notify с 1 на 0, так как эта директива поддерживается только UDP. В противном случае TCP вызовет ошибки при запуске службы OpenVPN:

# Optional!
explicit-exit-notify 0

Если вам не нужно использовать другой порт, лучше оставить эти два параметра по умолчанию.

Настройка нестандартных учетных данных (опционально)

Если ранее вы указали другое имя в команде ./build-key-server, измените строки cert и key, чтобы указать соответствующие файлы .crt и .key. Если вы использовали значение по умолчанию server, ничего менять не нужно.

cert server.crt
key server.key

Сохраните и закройте файл.

6: Конфигурации сети сервера

Затем нужно настроить некоторые моменты в работе сервера, чтобы OpenVPN мог правильно маршрутизировать трафик.

Во-первых, нужно разрешить серверу пересылать трафик. Это довольно важно для функциональности, которую мы хотим предоставить VPN-серверу.

Эта настройка находится в файле /etc/sysctl.conf:

sudo nano /etc/sysctl.conf

Найдите строку net.ipv4.ip_forward и удалите символ #, чтобы раскомментировать ее.

Сохраните и закройте файл.

Чтобы обновить настройки в текущей сессии, введите:

sudo sysctl -p
net.ipv4.ip_forward = 1

Если вы следовали мануалу по начальной настройке сервера в требованиях, вы уже настроили брандмауэр UFW. Независимо от того, используете ли вы брандмауэр для блокирования нежелательного трафика (что рекомендуется делать почти всегда), сейчас нужно настроить брандмауэр для управления определенным количеством трафика, поступающего на сервер. Нам нужно изменить файл правил, чтобы настроить маскарадинг iptables – эта функция обеспечивает динамический NAT, что позволяет правильно маршрутизировать клиентские соединения.

Прежде чем мы откроем конфигурации брандмауэра, чтобы добавить маскарадинг, нужно определить открытый сетевой интерфейс машины. Для этого введите:

ip route | grep default

Открытый интерфейс будет указан в выводе после dev. Например, в этом случае это интерфейс wlp11s0:

default via 203.0.113.1 dev eth0 proto static

Определив интерфейс, связанный с маршрутом по умолчанию, откройте файл /etc/ufw/before.rules, чтобы добавить соответствующую конфигурацию:

sudo nano /etc/ufw/before.rules

Правила UFW обычно добавляются с помощью команды ufw. Однако правила, перечисленные в файле before.rules, считываются и вводятся в действие до того, как будут загружены обычные правила UFW. В начало файла добавьте выделенные ниже строки. Это установит политику по умолчанию для цепочки POSTROUTING в таблице nat и будет маскировать весь трафик, поступающий из VPN. Не забудьте заменить wlp11s0 в строке -A POSTROUTING интерфейсом, который вы определили ранее.

#
# rules.before
#
# Rules that should be run before the ufw command line added rules. Custom
# rules should be added to one of these chains:
# ufw-before-input
# ufw-before-output
# ufw-before-forward
#
# START OPENVPN RULES
# NAT table rules
*nat
:POSTROUTING ACCEPT [0:0] # Allow traffic from OpenVPN client to eth0 (change to the interface you discovered!)
-A POSTROUTING -s 10.8.0.0/8 -o eth0 -j MASQUERADE
COMMIT
# END OPENVPN RULES
# Don’t delete these required lines, otherwise there will be errors
*filter
. . .

Сохраните и закройте файл.

Также UFW нужно разрешить пересылать пакеты по умолчанию. Для этого откройте /etc/default/ufw:

sudo nano /etc/default/ufw

Внутри найдите директиву DEFAULT_FORWARD_POLICY. Измените DROP на ACCEPT:

Сохраните и закройте файл.

Затем нужно настроить брандмауэр для поддержки трафика OpenVPN. Если вы не изменили порт и протокол в файле /etc/openvpn/server.conf, вам нужно будет открыть UDP-трафик на порт 1194. Если вы изменили порт и/или протокол, откорректируйте здесь эти значения.

Также нужно добавить SSH-порт, если вы забыли добавить его, следуя инструкциям в предварительных требованиях:

sudo ufw allow 1194/udp
sudo ufw allow OpenSSH

Теперь нужно отключить и снова включить UFW, чтобы брандмауэр считал все новые параметры из всех файлов.

sudo ufw disable
sudo ufw enable

Теперь сервер может правильно обрабатывать трафик OpenVPN.

7: Запуск и автозагрузка сервиса OpenVPN

Сейчас можно запустить OpenVPN на сервере. Это делается с помощью утилиты systemctl.

Вам нужно запустить сервер OpenVPN, указав имя конфигурационного файла в качестве переменной экземпляра после имени unit-файла systemd. Файл конфигурации сервера называется /etc/openvpn/server.conf, поэтому мы добавим @server после unit-файла:

sudo systemctl start openvpn@server

Убедитесь, что сервис успешно запущен:

sudo systemctl status openvpn@server

Если все работает, вы увидите:

openvpn@server.service — OpenVPN connection to server
Loaded: loaded (/lib/systemd/system/openvpn@.service; disabled; vendor preset: enabled)
Active: active (running) since Wed 2019-07-17 03:39:24 UTC; 29s ago
Docs: man:openvpn(8)
https://community.openvpn.net/openvpn/wiki/Openvpn24ManPage
https://community.openvpn.net/openvpn/wiki/HOWTO
Main PID: 3371 (openvpn)
Status: «Initialization Sequence Completed»
Tasks: 1 (limit: 3587)
Memory: 1.2M
Group: /system.slice/system-openvpn.slice/openvpn@server.service
└─3371 /usr/sbin/openvpn —daemon ovpn-server —status /run/openvpn/server.status 10 —cd /etc/openvpn —config /etc/openvpn/server.conf —writepid /run/openvpn/

Вы также можете проверить, доступен ли интерфейс OpenVPN tun0, набрав:

ip addr show tun0

Вы должны увидеть результат:

mtu 1500 qdisc pfifo_fast state UNKNOWN group default qlen 100
link/none
inet 10.8.0.1 peer 10.8.0.2/32 scope global tun0
valid_lft forever preferred_lft forever
inet6 fe80::dd60:3a78:b0ca:1659/64 scope link stable-privacy
valid_lft forever preferred_lft forever

Если все работает правильно, добавьте сервис в автозагрузку:

sudo systemctl enable openvpn@server

8: Создание инфраструктуры клиентской конфигурации

Создание конфигурационных файлов для клиентов OpenVPN может быть затруднительно, так как каждый клиент должен иметь собственную конфигурацию, и при этом она должна совпадать с настройками, указанными в конфигурации сервера. Вместо того чтобы создавать файлы, которые можно использовать только на одном клиенте, создайте инфраструктуру конфигурации клиента, которую вы можете использовать для создания конфигурационных файлов на ходу. Сначала вы создадите базовый конфигурационный файл, а затем напишете скрипт, который позволит генерировать уникальные конфигурационные файлы клиентов, сертификаты и ключи.

Создайте в своем домашнем каталоге структуру каталогов для хранения файлов:

Затем скопируйте образец конфигурации клиента в каталог, чтобы использовать его в качестве базовой конфигурации:

Откройте этот новый файл в текстовом редакторе:

В него нужно внести несколько поправок.

Сначала найдите директиву remote. Она указывает клиенту адрес сервера OpenVPN. Это должен быть внешний IP-адрес вашего сервера OpenVPN. Если вы изменили порт, который прослушивает сервер OpenVPN, замените 1194 новым номером порта.

. . .
# The hostname/IP and port of the server.
# You can have multiple remote entries
# to load balance between the servers.
remote your_server_ip 1194
. . .

Убедитесь также, что протокол указан правильно.

Затем раскомментируйте директивы user и group, удалив “;”:

# Downgrade privileges after initialization (non-Windows only)
user nobody
group nogroup

Найдите директивы ca, cert и key. Закомментируйте эти директивы, так как сертификаты и ключи нужно добавить внутри самого файла:

# SSL/TLS parms.
# See the server config file for more
# description. It’s best to use
# a separate .crt/.key file pair
# for each client. A single ca
# file can be used for all clients.
#ca ca.crt
#cert client.crt
#key client.key

Также раскомментируйте директиву tls-auth, чтобы добавить ta.keyпрямо в конфигурационный файл клиента:

# If a tls-auth key is used on the server
# then every client must also have the key.
#tls-auth ta.key 1

Параметры cipher и auth должны отражать значения из файла /etc/openvpn/server.conf.

cipher AES-256-CBC
auth SHA256

Затем добавьте где-нибудь в файле директиву key-direction. Для работы с сервером должно быть установлено значение «1»:

В завершение добавьте несколько закомментированных строк. Их нужно включить в каждый конфиг, но активировать их можно только для клиентов Linux, которые поставляются с файлом /etc/openvpn/update-resolv-conf . Этот скрипт использует утилиту resolvconf для обновления информации DNS для клиентов Linux.

# script-security 2
# up /etc/openvpn/update-resolv-conf
# down /etc/openvpn/update-resolv-conf

Если ваш клиент работает на Linux и имеет файл /etc/openvpn/update-resolv-conf , вы должны раскомментировать эти строки в сгенерированном файле конфигурации клиента OpenVPN.

Сохраните файл, когда закончите.

Теперь создайте простой скрипт для компиляции базовой конфигурации с соответствующими сертификатами, ключами и файлами шифрования. Он поместит сгенерированную конфигурацию в каталог

Создайте и откройте файл make_config.sh:

Вставьте в него такой сценарий, вместо 8hostукажите имя своего пользователя:

#!/bin/bash
# First argument: Client identifier
KEY_DIR=/home/8host/client-configs/keys
OUTPUT_DIR=/home/8host/client-configs/files
BASE_CONFIG=/home/8host/client-configs/base.conf
cat $ \
‘) \
$ /ca.crt \
\n ‘) \
$ /$ .crt \
\n ‘) \
$ /$ .key \
\n ‘) \
$ /ta.key \
‘) \
> $<OUTPUT_DIR>/$ .ovpn

Сохраните и закройте файл.

Сделайте его исполняемым.

Этот скрипт создаст копию файла base.conf, который вы создали, соберет все файлы сертификатов и ключей клиента, извлечет их содержимое, добавит их в копию базового файла конфигурации и экспортирует все это содержимое в новый конфигурационный файл клиента. Это означает, что вместо того, чтобы отдельно управлять конфигурацией каждого клиента, его сертификатом и ключами, вы сможете хранить всю информацию в одном месте. Преимущество этого заключается в том, что если вам когда-либо понадобится добавить клиента в будущем, вы сможете просто запустить этот скрипт, чтобы быстро создать конфигурацию и убедиться, что вся важная информация доступна.

Обратите внимание: при добавлении каждого нового клиента вам необходимо будет создать для него новые ключи и сертификаты, прежде чем вы сможете запустить этот скрипт и создать его конфигурационный файл.

9: Генерирование клиентской конфигурации

Теперь можно легко создавать файлы конфигурации клиента.

Читайте также:  Как распаковать файлы windows

Если вы следовали руководству, вы создали клиентский сертификат и ключ client1.crt и client1.key, выполнив команду ./build-key client1 в разделе 4. Чтобы создать конфигурацию для этих учетных данных, нужно перейти в каталог

/client-configs и использовать созданный вами сценарий:

/client-configs
sudo ./make_config.sh client1

Если все сработало правильно, в каталоге

/client-configs/files появится файл client1.ovpn.

Теперь необходимо перенести файл конфигурации клиента на клиентское устройство. Например, это может быть ваш локальный компьютер или мобильное устройство.

Приложения, используемые вами для осуществления этой передачи, зависят от вашего выбора и операционной системы устройства. Но лучше бы приложение использовало SFTP (SSH file transfer protocol) или SCP (Secure Copy). Это позволяет передать конфиденциальные данные клиента по зашифрованному соединению.

Ниже приведен пример команды SFTP с файлом client1.ovpn. Эту команду можно запустить с вашего локального компьютера (OS X или Linux). Она помещает файл .ovpn в домашний каталог:

Также вы можете использовать следующие приложения и мануалы:

• WinSCP
• Использование SFTP для безопасного обмена файлами с удаленным сервером
• Безопасное управление файлами сервера с помощью Filezilla

10: Клиентская конфигурация

Теперь мы обсудим, как установить клиентский профиль VPN в Windows, OS X, iOS и Android. Эти разделы не зависят друг от друга, поэтому их не нужно выполнять последовательно – просто выберите нужную вам систему и следуйте инструкциям.

Соединение OpenVPN будет называться так же, как файл .ovpn. В данном примере это означает, что соединение будет называться client1.ovpn для первого созданного файла клиента.

Система Windows

Установка

Приложение OpenVPN для Windows можно найти здесь. Выберите подходящую версию инсталлятора.

Примечание: Для установки OpenVPN требуются административные права.

После установки OpenVPN скопируйте файл .ovpn в:

Когда вы запустите OpenVPN, он автоматически увидит профиль и сделает его доступным.

OpenVPN должен запускаться как администратор каждый раз, когда он используется даже с помощью административных учетных записей. Чтобы не кликать правой кнопкой мыши и не выбирать Run as administrator каждый раз, когда вы используете VPN, вы можете настроить такой запуск, но это должно быть сделано из учетной записи администратора. Это также означает, что стандартным пользователям необходимо будет ввести пароль администратора для использования OpenVPN. С другой стороны, стандартные пользователи не могут правильно подключиться к серверу, если у приложения OpenVPN на клиенте нет прав администратора, поэтому необходимы повышенные привилегии.

Чтобы приложение OpenVPN всегда запускалось как администратор, кликните по нему правой кнопкой мыши и выберите Properties. В нижней части вкладки Compatibility нажмите Change settings for all users. В новом окне установите флажок Run this program as an administrator.

Подключение

Каждый раз, когда вы запускаете GUI OpenVPN, Windows спрашивает, хотите ли вы разрешить программе вносить изменения на компьютер. Здесь нужно выбрать Yes. Запуск клиентского приложения OpenVPN только помещает апплет в системный трей, чтобы VPN можно было подключать и отключать по мере необходимости; фактически это не создает VPN-соединения.

После запуска OpenVPN инициируйте соединение; для этого войдите в апплет панели задач и кликните правой кнопкой мыши по значку OpenVPN. Откроется контекстное меню. Выберите client1 в верхней части меню (это наш профиль client1.ovpn) и нажмите Connect.

Откроется окно состояния, показывающее вывод лога при установлении соединения, а после подключения клиента появится сообщение.

Отключить VPN можно так же: зайдите в апплет панели задач, кликните правой кнопкой мыши по OpenVPN, выберите профиль клиента и нажмите Disconnect.

macOS

Установка

Tunnelblick – это свободный и открытый клиент OpenVPN для Mac OS X. Загрузить последний образ можно отсюда. Кликните дважды по загруженному файлу .dmg и следуйте инструкциям.

В конце установки Tunnelblick спросит, есть ли у вас файлы конфигурации. Легче ответить No и дать Tunnelblick закончить установку. Откройте окно Finder и дважды щелкните client1.ovpn. Tunnelblick установит профиль клиента. Для этого требуются административные привилегии.

Подключение

Запустите Tunnelblick, дважды кликнув по Tunnelblick в папке Applications. После запуска в строке меню в верхней правой части экрана появится значок Tunnelblick для управления соединениями. Нажмите на значок, а затем выберите пункт меню Connect, чтобы начать VPN-соединение. Выберите соединение client1.

Linux

Установка

Если вы используете Linux, у вас есть множество инструментов, которые вы можете использовать в зависимости от вашего дистрибутива. Утилиты подключения могут также быть в среде рабочего стола или диспетчера окон.

Однако самым универсальным способом подключения является программное обеспечение OpenVPN.

В Ubuntu или Debian вы можете установить его так же, как и на сервере:

sudo apt update
sudo apt install openvpn

В CentOS нужно добавить репозиторий EPEL, после чего можно установить программу.

sudo yum install epel-release
sudo yum install openvpn

Настройка

Проверьте, содержит ли ваш дистрибутив скрипт /etc/openvpn/update-resolv-conf:

ls /etc/openvpn
update-resolv-conf

Затем отредактируйте конфигурационный файл клиента OpenVPN, который вы передали:

Раскомментируйте три строки, которые вы поместили ранее, чтобы настроить параметры DNS, если вы смогли найти файл update-resolv-conf:

script-security 2
up /etc/openvpn/update-resolv-conf
down /etc/openvpn/update-resolv-conf

В CentOS нужно изменить значение group с nogroup на nobody:

Сохраните и закройте файл.

Теперь вы можете подключиться к VPN, просто направив команду openvpn в файл конфигурации клиента:

sudo openvpn —config client1.ovpn

Это должно подключить вас к вашему серверу.

Установка

В iTunes App Store найдите и установите OpenVPN Connect, официальное клиентское приложение iOS OpenVPN. Чтобы перенести конфигурацию клиента iOS на устройство, подключите его непосредственно к компьютеру.

Здесь будет приведено описание завершения передачи iTunes. Откройте iTunes на компьютере и нажмите iPhone > apps. Прокрутите вниз до раздела File Sharing и кликните по OpenVPN. Пустое окно справа, OpenVPN Documents, предназначено для обмена файлами. Перетащите файл .ovpn в окно OpenVPN Documents.

Теперь запустите приложение OpenVPN на iPhone. Появится уведомление о том, что новый профиль готов к импорту. Нажмите зеленый плюсик, чтобы импортировать его.

Подключение

OpenVPN теперь готов к использованию с новым профилем. Запустите соединение, сдвинув кнопку Connect в положение On. Чтобы прервать соединение, нужно сдвинуть ту же кнопку в положение Off.

Примечание: Переключатель VPN в разделе Settings нельзя использовать для подключения к VPN. Если вы попытаетесь, вы сможете подключаться только с помощью приложения OpenVPN.

Android

Установка

Откройте Google Play Store. Найдите и установите Android OpenVPN Connect, официальное клиентское приложение Android OpenVPN.

Профиль .ovpn можно перенести, подключив устройство Android к компьютеру с помощью USB и скопировав файл. В качестве альтернативы, если у вас есть устройство для чтения SD-карт, вы можете использовать SD-карту устройства, скопировать профиль на нее и затем вставить карту обратно в Android-устройство.

Запустите приложение OpenVPN и откройте меню, чтобы импортировать профиль.

Затем перейдите к расположению сохраненного профиля (/sdcard/Download/) и выберите файл. Приложение сообщит, что профиль был импортирован.

Подключение

Чтобы подключиться, просто нажмите кнопку Connect. Программа спросит, доверяете ли вы OpenVPN-приложению. Нажмите OK, чтобы начать соединение. Чтобы отключиться от VPN, вернитесь в приложение OpenVPN и выберите Disconnect.

11: Тестирование VPN-соединения

Примечание: Этот метод проверки работает только в случае, если вы перенаправили весь трафик на VPN в разделе 5.

Теперь, когда все установлено, нужно выполнить простую проверку, чтобы убедиться, что все работает правильно. Без VPN-подключения откройте браузер и перейдите в DNSLeakTest.

Сайт вернет IP-адрес, назначенный вашим провайдером интернет-услуг, так вас видят другие сайты в сети. Чтобы проверить настройки DNS через один и тот же сайт, нажмите Extended Test, и он расскажет вам, какие DNS-серверы вы используете.

Подключите клиент OpenVPN к VPN вашего сервера и обновите браузер. Теперь у вашего VPN-сервера должен появиться совершенно другой IP-адрес и в сети вас видят по-другому. Опять же, расширенный тест DNSLeakTest проверит ваши настройки DNS и подтвердит, что вы используете DNS-резолверы, настроенные вашим VPN.

12: Отзыв клиентских сертификатов

Иногда появляется необходимость отозвать сертификат клиента, чтобы предотвратить дальнейший доступ к серверу OpenVPN.

Для этого перейдите в каталог EasyRSA на машине CA:

Запустите сценарий easyrsa с опцией revoke:

./easyrsa revoke client2

Чтобы подтвердить отзыв сертификата, введите yes:

Please confirm you wish to revoke the certificate with the following subject:
subject=
commonName = client2
Type the word ‘yes’ to continue, or any other input to abort.
Continue with revocation: yes

После подтверждения действия CA полностью отзовет сертификат клиента. Тем не менее, сервер OpenVPN в настоящее время не имеет возможности проверить, были ли отозваны сертификаты клиентов, и у клиента все равно будет доступ к VPN. Чтобы исправить это, создайте список отзыва сертификатов (CRL) на вашем компьютере CA:

Это создаст файл crl.pem. Перенесите этот файл на ваш сервер OpenVPN:

На сервере OpenVPN скопируйте этот файл в каталог /etc/openvpn/:

sudo cp /tmp/crl.pem /etc/openvpn

Откройте конфигурационный файл OpenVPN:

sudo nano /etc/openvpn/server.conf

В нижней части файла добавьте параметр crl-verify, чтобы сервер OpenVPN проверял список отзыва сертификатов, который создается при каждой попытке подключения:

Сохраните и закройте файл.

sudo systemctl restart openvpn@server

Теперь клиент не сможет подключаться к серверу с помощью старых учетных данных.

Чтобы отозвать сертификаты других клиентов, выполните следующие действия:

1. Отзовите сертификат с помощью команды ./easyrsa revoke client_name
2. Создайте новый CRL
3. Перенесите новый файл crl.pem на сервер OpenVPN и скопируйте его в каталог /etc/openvpn, чтобы перезаписать старый список.
4. Перезапустите службу OpenVPN.

Так вы сможете отозвать любые сертификаты клиентов.

Заключение

Теперь у вас есть безопасный доступ к интернету: ваши личные данные, локация и трафик полностью защищены от перехвата и цензуры.

Чтобы настроить больше клиентов, повторите разделы 4 и 9-11 для каждого дополнительного устройства. Чтобы отнять доступ у клиентов, выполните раздел 12.