OpenVPN установка и настройка в режиме маршрутизации

OpenVPN — свободная реализация технологии Виртуальной Частной Сети (VPN) с открытым исходным кодом для создания зашифрованных каналов типа точка-точка или сервер-клиенты между компьютерами. Она позволяет устанавливать соединения между компьютерами, находящимися за NAT-firewall, без необходимости изменения их настроек. OpenVPN была создана Джеймсом Йонаном (James Yonan) и распространяется под лицензией GNU GPL.
http://ru.wikipedia.org/wiki/OpenVPN

Задача: Организовать между сервером и клиентом защищенный туннель для возможности безопасного выхода в интернет клиента с любых открытых и потенциально не безопасных точек доступа в интернет. На пример из различных кафе с открытым wifi.

Настраиваем сервер

Для установки и настройки сервера достаточно скопировать в консоль строчку:

sudo wget -P/tmp http://kubuntu.ru/files/ovpn_install.sh; sudo chmod +x /tmp/ovpn_install.sh; sudo /tmp/ovpn_install.sh

команда скачает скрипт установки ovpn_install.sh, даст ему права на запуск и запустит на выполнение.

В завершении установки потребуется ответить на несколько простых вопросов для генерации сертификата и ключа для клиента, либо можно просто нажать несколько раз enter и дважды утвердительно ответить, нажав y в ответ на вопросы в конце генерации ключей.

После установки вы получите настроенный сервер OpenVPN работающий в режиме маршрутизации и принимающей соединения на 777 порту.

ovpn_install.sh

#!/bin/bash
# Срипт нужно запускать из под root!

# Устанавливаем OpenVPN и IPtables
apt-get update && apt-get -y install openvpn iptables;

# Копируем папку easy-rsa в более удобное место /etc/openvpn
mkdir /etc/openvpn/easy-rsa;
cp -R /usr/share/doc/openvpn/examples/easy-rsa/2.0/* /etc/openvpn/easy-rsa/;
cd /etc/openvpn/easy-rsa;

# Даем файлу настроек openssl правильное имя
cp openssl-1.0.0.cnf openssl.cnf

# Инициализируем переменные
. ./vars

# Очищаем от старых сертификатов и ключей папку keys
./clean-all

# Создаем ключи и сертификаты для сервера. При желании можно изменить параметры
# генерации сертификатов и ключей отредактировав файл vars
./pkitool --initca # Создаем Certificate Authority для сервера
./pkitool --server server # Создаем сертификат X.509 для сервера
./build-dh # Создаем ключ Диффи Хельман

# Копируем ключи и сертификаты сервера в /etc/openvpn
cp ./keys/ca.crt /etc/openvpn
cp ./keys/server.crt /etc/openvpn 
cp ./keys/server.key /etc/openvpn
cp ./keys/dh1024.pem /etc/openvpn 
 
# Скачиваем конфигурационный файл сервера ovpn_server.conf
wget -P/etc/openvpn/ http://kubuntu.ru/files/ovpn_server.conf;

# Запускаем OpenVPN
service openvpn start

# Генерируем ключи для клиента
source ./vars;
./build-key client1

exit;

ovpn_server.conf

# Работа OpenVPN в режиме демона
daemon

# Определяет локальный ip или имя хоста, на котором будет работать OpenVPN.
# Актуально, если на локальной машине несколько адресов.
; local 111.111.111.111

# Указываем, на каком порту принимать соединения. По умолчанию это 1194
# Лучше использовать нестандартный порт. 
port 777

# Указываем протокол (tcp или udp) tcp надёжней по стабильности соединения, а udp быстрей
proto tcp

# Указываем, что именно будем инкапсулировать в туннеле 
# (ethernet фреймы - tap или ip пакеты - tun)
dev tun

# Автоматически присваивает адреса всем клиентам (DHCP) в указанном диапазоне с маской сети. 
# Подключившиеся клиенты получат адреса в диапазоне между 10.8.0.1 и 10.8.0.254.
server 10.8.0.0 255.255.255.0

# В какой файл будем записывать выданные для VPN адреса
ifconfig-pool-persist ipp.txt

# Пинговать противоположную сторону туннеля каждые 10 сек, 
# если не отвечает в течении 120 сек считать туннель упавшим и запускать пересоединение.
keepalive 10 120

# Разрешает обмен трафиком между клиентами
client-to-client

# Оставляет без изменения устройства tun/tap при перезапуске OpenVPN
persist-tun

# Указывает не перечитавать файлы ключей при перезапуске туннеля
persist-key

# Влючаем сжатие трафика
comp-lzo

#Устанавливает максимальный размер MTU. По умолчанию tun-mtu равен 1500.
;tun-mtu 1460

# Дописывать сообщения в лог-файл, а не перезаписывать лог файл
log-append /var/log/openvpn.log

# Уровень подробности логов (от 0 до 11). По умолчанию 1
;verb 3

# Включаем маршрутизацию

# Разрешаем запуск внешних скриптов. Необходимо для установки правил iptables
script-security 2 system

# Будет выполняться при запуске.
# Включаем форвардинг и маскарадинг для возможности выхода в интернет клиентов
up "echo 1 > /proc/sys/net/ipv4/conf/all/forwarding && iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j MASQUERADE #"

# При наличии постоянного внешнего IP адреса лучше использовать следующее правило заменив 111.111.111.111 на ваш внешний IP
;up "echo 1 > /proc/sys/net/ipv4/conf/all/forwarding && iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to-source 111.111.111.111  #"

# Будет выполняться при остановке.
# Удаляем правило маскарадинг
down "iptables -t nat -D POSTROUTING -s 10.8.0.0/24 -j MASQUERADE #"
;down "iptables -t nat -D POSTROUTING -s 10.8.0.0/24 -j SNAT --to-source 111.111.111.111 #"

# Пути к файлам и сертификатам
ca ca.crt  # Cертификат СА (центра сертификации)
cert server.crt # Cертификат сервера, подписанный СА
key server.key # Ключ шифрования сервера
dh dh1024.pem # Файл с Diffie-Hellman-параметрами

# Передаем клиенту конфигурационные параметры

# Указываем клиенту DNS сервера
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"

# Влючаем сжатие трафика у клиентов
push "comp-lzo"

# Делаем у клиентов VPN тунель шлюзом по умолчанию
push "redirect-gateway"

Проверить правильность установки можно посмотрев активные сетевые устройства командой ifconfig
В случае успешной установки в списке сетевых карточек должно появиться новое устройство tun0 с ip 10.8.0.1

Расположение конфигурационных файлов и сертификатов сервера

/etc/openvpn/ovpn_server.conf   # Файл конфигурации сервера
/etc/openvpn/ca.crt  # Cертификат СА (центра сертификации)
/etc/openvpn/server.crt # Cертификат сервера, подписанный СА
/etc/openvpn/server.key # Ключ шифрования сервера
/etc/openvpn/dh1024.pem # Файл с Diffie-Hellman-параметрами

Примечание: при загрузке системы автоматически поднимаются все VPN соединения, для которых в папке /etc/openvpn есть соответствующие файлы с расширением .conf.

Настраиваем клиента

Устанавливаем OpenVPN

sudo apt-get install -y openvpn

Переносим с сервера любыми доступными средствами ключ и сертификат клиента который мы сгенерировали при установке сервера.

Нам нужны следующие файлы:
/etc/openvpn/ca.crt # Cертификат СА (центра сертификации) /etc/openvpn/easy-rsa/keys/client1.crt # Сертификат клиента, подписанный CA /etc/openvpn/easy-rsa/keys/client1.key # Ключ шифрования клиента

Копируем их в папку /etc/openvpn на компьютере-клиенте

Скачиваем и редактируем файл конфигурации клиента ovpn_client.conf

sudo wget -P/etc/openvpn http://kubuntu.ru/files/ovpn_client.conf; sudo nano /etc/openvpn/ovpn_client.conf

ovpn_client.conf

client

# Указываем IP адес нашего сервера и порт к которому будем подключаться
remote 111.111.111.111 777

dev tun
proto tcp

persist-key
persist-tun

# Включаем сжатие траффика
comp-lzo

# Сертификаты и ключи клиента
ca ca.crt
cert client1.crt
key client1.key

# Изменяем DNS записи на указанные сервером
script-security 2 system
up /etc/openvpn/update-resolv-conf 
down /etc/openvpn/update-resolv-conf 

# Лог файл
;log /var/log/openvpn.log

# Подробность лог файла (0-11) по умолчанию 1
;verb 4

Запуск openvpn:
sudo service openvpn start

Остановка openvpn:
sudo service openvpn stop

Настраиваем подключение к серверу через Network-Manager

Для этого устанавливаем пакет network-manager-openvpn
sudo apt-get install network-manager-openvpn
и добавляем новое соединение OpenVPN указав адрес нашего сервера и расположение ключей и сертификатов

Для генерации дополнительных ключей и сертификатов для других клиентов, на сервере выполняем:

cd /etc/openvpn/easy-rsa/ sudo source ./vars sudo ./build-key client2

Примечание: для каждого клиента должно быть указано своё уникальное имя (в данном случае client2).

Ресурсы по теме:

Вложение	Размер
ovpn_install.sh	1.66 кб
ovpn_server.conf	4.22 кб
ovpn_client.conf	672 байта

Комментарии (24)

Гость - 27 Сентябрь, 2012 - 16:36

Самая лучшая how-to статья для типового решения (" Организовать между сервером и клиентом защищенный туннель для возможности безопасного выхода в интернет клиента с любых открытых и потенциально не безопасных точек доступа в интернет. На пример из различных кафе с открытым wifi."). Все заработало сразу. Единственная опечатка "sudo sevice openvpn start".

ответить

dm - 27 Сентябрь, 2012 - 16:41

Единственная опечатка "sudo sevice openvpn start".

Поправил.

ответить

dyug - 27 Сентябрь, 2012 - 17:11

Вопрос:
"Настраиваем клиента"
и
"Настраиваем подключение к серверу через Network-Manager"
это две параллельные процедуры, как на мой склероз...

В общем случае при использовании НМ процедура "Настраиваем клиента" не нужна.
Во всяком случае, я ее не использовал.
разве что инсталляция собственно опенвпн на клиента

еще одно:
"Примечание: при загрузке системы автоматически поднимаются все VPN соединения, для которых в папке /etc/openvpn есть соответствующие файлы с расширением .conf."
это не так.
для понимания, советую заглянуть в /etc/default/openvpn :-)
там можно указать что нужно стартовать, а что не нужно стартовать.

ответить

dm - 27 Сентябрь, 2012 - 17:31

Вопрос:
"Настраиваем клиента"
и
"Настраиваем подключение к серверу через Network-Manager"
это две параллельные процедуры, как на мой склероз.
В общем случае при использовании НМ процедура "Настраиваем клиента" не нужна.

Естественно, настраивать клиента нужно либо через НМ, либо через консоль.

"Примечание: при загрузке системы автоматически поднимаются все VPN соединения, для которых в папке /etc/openvpn есть соответствующие файлы с расширением .conf."

У меня кажется по умолчанию стартовались все конфиги с любыми названиями с расширением .conf

В любом случае, статья в подшивке и доступна для редактирования, если есть что исправить или добавить милости просим.

ответить

Flameflower - 27 Сентябрь, 2012 - 20:36

К слову, весьма удобно клиентам генерить файлы pkcs12.
./build-key-pkcs12
И клиенту отдаем уже контейнер, если надо, с паролем и конфиг.
Единственное в этом случае настройка средстами NM невозможна.

ответить

dm - 27 Сентябрь, 2012 - 21:23

Да, я знаю, но так как у себя клиента настраивал именно через НМ потому генерил раздельно.

ответить

dyug - 28 Сентябрь, 2012 - 10:18

Я что имел в виду: то, что из текста непонятно, что нужно настраивать или клиента или через нм.
Может добавить фразу перед настройкой клиента "варианты настройки клиентской стороны"
и соответственно
"настройка клиента в консоли с автоматическим подьемом при старте"
"настройка клиента в GUI через нетворк манагер"
Разумеется - про установку опенвпн нужно вынести в выше описания вариантов

по вопросу старта конфигов:
файл /etc/default/openvpn
# This is the configuration file for /etc/init.d/openvpn # # Start only these VPNs automatically via init script. # Allowed values are "all", "none" or space separated list of # names of the VPNs. If empty, "all" is assumed. # The VPN name refers to the VPN configutation file name. # i.e. "home" would be /etc/openvpn/home.conf # #AUTOSTART="all" #AUTOSTART="none" #AUTOSTART="home office"
Как написано белым по черному :-) если все закоментировано - то пускаются все, но можно ограничить автозапуск только указанными туннелями.
Я просто этим пользовался, когда были переезды точек подключения, и нужно было их отключать.

ответить

Гость - 23 Октябрь, 2012 - 17:17

Подскажите пожалуйста, у меня 2 компьютера соединины пачкордом , у компа1 есть доступ в интернет через вай фай. Комп2 подключён пачкордом к компу1. Мне надо чтобы комп2 мог выходить в иннет через комп1. Делаю по вашему мануалу и комп2 не подключается по vpn вообще. Настраиваю на компе2 как у вас показано и не хочет подключаться. Я так понял шлюз ставить вместо 111.111.111.111 ип адрес компа1 с иннетом. ЧТо не так?

ответить

dyug - 24 Октябрь, 2012 - 09:59

Вам, Гость, нужен не впн, а простой роутинг и маскарадинг.
в поиске вбить слова "раздача интернета"

ответить

Гость - 29 Октябрь, 2012 - 20:00

Нет, мне нужен именно впн, такое уж задание... как мне сделать то чт мне нужно с помощью впн?

ответить

dyug - 29 Октябрь, 2012 - 22:09

Вы меня конечно простите, но то, что Вам хочется - называется лечение гланд через задний проход.
Оно реализуемо, конечно, и я знаю, что именно надо сделать.
Но описывать извращения я не буду.

ответить

Chibiko - 27 Сентябрь, 2012 - 20:42

в Windows 7 нужно запускать OpenVPN клиент с правами администратора, тогда если на сервере настроено выдавать маршруты автоматически, то на клиенте маршруты прописывать не надо.

либо руками надо прописывать маршруты на клиенте такие же как вы выдаете на сервере, предварительно удалив имеющиеся командой route delete узел

либо использовать OpenVPN GUI, зайти в свойства значка, вкладка совместимость, запускать от имени администратора.
И затем запустив ее, выбирать в контекстном меню конфиг, который надо использовать.

либо запускать как в инструкции на http://openvpn.net/index.php/open-so...ion/howto.html только создать батник для этого примерно такого содержания:

runas /user:Администратор "\"C:\OpenVPN\bin\openvpn.exe\" --pause-exit --config \"%1\""
где вместо %1 путь к файлу конфига.

При этом маршруты должны быть прописаны в конфиге сервера во всех случаях, тогда они корректно добавляются в таблицу маршрутизации клиента.

Для меня в случае Windows 7 наиболее предпочтительным оказался вариант с OpenVPN GUI, так как при одном и том же результате нужно выполнить меньше действий.

С восьмёркой не тестировались? (Каюсь, не искал/читал/делал с этим глюконафтом покачто ничего, поэтому и интерисуюсь, может и на будущее...)

Это пока все вопросы, ибо зоопарк большой, преимущественно на мастдае, в будущем планирую кое-что дурацкое... обязательно отпишусь. если не уволят раньше 8)

ответить

Flameflower - 27 Сентябрь, 2012 - 21:04

Вообще на венде после установки openvpn можно в настройках службы задать запуск автоматически. В этом случае при загрузке системы впн будет подниматься автоматически и необходимые маршруты уже прилетят при старте системы.

ответить

Chibiko - 27 Сентябрь, 2012 - 21:15

Ах, да, совсем забыл (или это не в эту тему? О_о) возможно ли используя OpenVPN "перекинуть" порты? В данном случае COM-порты 8) В данном случае именно для жёлтой бухгалтерской программы. Именно в случае если VPN-сервер на линуксе, а сервер программы крутиться на мастдае?
вот такой вот частный случай....

ответить

dyug - 28 Сентябрь, 2012 - 10:05

технологически - нет.
фактически - любой программой, передающей порт. вплоть до нетката.
опенвпн - это программа организации туннелирования, и ей все равно, что идет внутри туннеля

ответить

mft - 9 Май, 2013 - 16:20

Хорошая статья.
Настроил, работает. Вот только мне надо чтобы VPN не был шлюзом по-умолчанию. Соответственно на сервере закомментил параметр:
# push "redirect-gateway"
Если использовать консольный клиент, всё работает как надо, по дефолту используется не VPN шлюз.
ivan@kubuntu-ivan:~$ route Таблица маршутизации ядра протокола IP Destination Gateway Genmask Flags Metric Ref Use Iface default 10.64.64.64 0.0.0.0 UG 0 0 0 ppp0 10.8.0.0 10.8.0.5 255.255.255.0 UG 0 0 0 tun0 10.8.0.5 * 255.255.255.255 UH 0 0 0 tun0 10.64.64.64 * 255.255.255.255 UH 0 0 0 ppp0
А вот если через NM, то всегда VPN шлюз по-умолчанию...
ivan@kubuntu-ivan:~$ route Таблица маршутизации ядра протокола IP Destination Gateway Genmask Flags Metric Ref Use Iface default 10.8.0.5 0.0.0.0 UG 0 0 0 tun0 10.8.0.0 10.8.0.5 255.255.255.0 UG 0 0 0 tun0 10.8.0.5 * 255.255.255.255 UH 0 0 0 tun0 10.64.64.64 * 255.255.255.255 UH 0 0 0 ppp0 ip-83-246-152-1 10.64.64.64 255.255.255.255 UGH 0 0 0 ppp0 link-local * 255.255.0.0 U 1000 0 0 tun0
В принципе как-то не напрягает, но NM как обычно всё делает по-своему.

ответить

mft - 9 Май, 2013 - 16:27

А нет, наврал! Нашёл там галку - "Использовать для ресурсов только этого соединения". С ней, все как надо))

ответить

Антоха - 21 Ноябрь, 2015 - 19:47

Существует ли софт с гуем для работы с большим количеством vpn-соединений.А точнее для работы с сервисом hidemy.ru?Неудобно каждый раз забивать в консоли новый коннект.
И ещё вопрос.Какая команда корректно останавливает openvpn и восстанавливает "родное" соединение?

ответить

dm - 21 Ноябрь, 2015 - 23:28

Существует ли софт с гуем для работы с большим количеством vpn-соединений.

А чем стандартный нетвок менеджер не устраивает? Он с опервпн работать умеет на сколько я помню. И гуевый и соединений много сделать можно.

Какая команда корректно останавливает openvpn и восстанавливает "родное" соединение?

sudo service openvpn stop

ответить

Гость - 21 Ноябрь, 2015 - 23:49

И гуевый и соединений много сделать можно.
Значит не разобрался.
В архиве который высылает hidemy.ru,помимо сертификата/ключа имеется куча этих "vpn-проксиков".Как их прикрутить в нетворке-хз.

sudo service openvpn stop
Я читал эту тему.И пробовал эту команду.Ничего не изменяется после выполнения.
P.S.Нет возможности писать с акка,ибо не дома.

ответить

dm - 22 Ноябрь, 2015 - 09:56

Я читал эту тему.И пробовал эту команду. Ничего не изменяется после выполнения.

Попробуйте это:

sudo killall openvpn

ответить

Антоха - 22 Ноябрь, 2015 - 10:02

Попробуйте это:
Благодарю.
Сейчас внимательно просмотрел варианты подключения предлагаемые hidemy.ru.В списке оказался PPTP и L2TP.Через эти протоколы удобно подключаться в нетворке (ибо всё понятно).Но помучаю всё же OpenVPN.

ответить

Гость - 7 Январь, 2016 - 14:17

Спасибо за пост. В некоторых случаях нужно быстро поднять тунель между двома точками. И самый быстрый способ с минимальной безопасностью, это общий ключ, как пишут, к примеру здесь - http://sysadm.pp.ua/linux/shifrovanie/openvpn-point-to-point.html . Генерацию ключей через OpenSSL никто не подскажет как делать?

ответить

dyug - 8 Январь, 2016 - 21:35

В гугле инструкций вагон и маленькая тележка.
Большая часть - пошаговая.
Как сгенерить ключи, как их передать, все есть..
Причем номер версии роли не играет. Где то с 2001 года ничего не менялось ни в путях ни в генерации.

ответить

OpenVPN установка и настройка в режиме маршрутизации

Настраиваем сервер

Настраиваем клиента

Настраиваем подключение к серверу через Network-Manager

Комментарии (24)

Вход в систему

Сети и интернет

Сейчас на сайте

Пользователи на сайте