OVPN (OpenVPN) своими руками

17.03.201617.03.2016 12 комментариев

Поделиться в Фейсбуке

Поделиться ВКонтакте

Твитнуть

В самом начале этого блога я писал, как обходить блокировки, но та инструкция немного устарела. Полагаю, пришла пора ее обновить, и я решил сделать это не в изначальном посте, а написать новый, исходя из текущих реалий. На выходе вы получите свой работающий OVPN (OpenVPN), подключающийся по одному клику. Итак, поехали…

Отмазка: подразумевается, что у вас уже есть сервер с Ubuntu на борту, если нет — заведите (чтобы это сделать есть две ссылки справа, одна на Linode, вторая на DigitalOcean). По опыту не все читатели понимают очевидные вещи, поэтому писать буду подробно.

#1: Установим и настроим OpenVPN сервер и его окружение

Обновимся…

apt-get update
apt-get upgrade

1 2	apt-get update apt-get upgrade

Теперь установим OpenVPN и Easy-RSA…

apt-get install openvpn easy-rsa

1	apt-get install openvpn easy-rsa

Конфиг по дефолту должен быть распакован в /etc/openvpn, поэтому делаем так…

gunzip -c /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz > /etc/openvpn/server.conf

1	gunzip -c /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz > /etc/openvpn/server.conf

Теперь надо открыть файл server.conf и отредактировать его…

nano /etc/openvpn/server.conf

1	nano /etc/openvpn/server.conf

В этот файлик необходимо внести некоторые изменения. Найдите секцию файла, которая выглядит примерно так:

# Diffie hellman parameters.
# Generate your own with:
#   openssl dhparam -out dh1024.pem 1024
# Substitute 2048 for 1024 if you are using
# 2048 bit keys.
dh dh1024.pem

# Diffie hellman parameters.

# Generate your own with:

# openssl dhparam -out dh1024.pem 1024

# Substitute 2048 for 1024 if you are using

# 2048 bit keys.

dh dh1024.pem

Замените dh1024.pem на dh2048.pem — это удвоит длину ключа RSA при генерации ключей сервера и клиента. Теперь вам надо найти вот эту секцию файла:

# If enabled, this directive will configure
# all clients to redirect their default
# network gateway through the VPN, causing
# all IP traffic such as web browsing and
# and DNS lookups to go through the VPN
# (The OpenVPN server machine may need to NAT
# or bridge the TUN/TAP interface to the internet
# in order for this to work properly).
;push "redirect-gateway def1 bypass-dhcp"

# If enabled, this directive will configure

# all clients to redirect their default

# network gateway through the VPN, causing

# all IP traffic such as web browsing and

# and DNS lookups to go through the VPN

# (The OpenVPN server machine may need to NAT

# or bridge the TUN/TAP interface to the internet

# in order for this to work properly).

;push "redirect-gateway def1 bypass-dhcp"

Раскомментируйте строку push “redirect-gateway def1 bypass-dhcp”, чтобы VPN-сервер отправлял клиентский трафик (то есть ваш) куда следует… В итоге, эта строка должна выглядеть так:

push "redirect-gateway def1 bypass-dhcp"

1	push "redirect-gateway def1 bypass-dhcp"

Далее ищем вот такую секцию:

# Certain Windows-specific network settings
# can be pushed to clients, such as DNS
# or WINS server addresses.  CAVEAT:
# http://openvpn.net/faq.html#dhcpcaveats
# The addresses below refer to the public
# DNS servers provided by opendns.com.
;push "dhcp-option DNS 208.67.222.222"
;push "dhcp-option DNS 208.67.220.220"

# Certain Windows-specific network settings

# can be pushed to clients, such as DNS

# or WINS server addresses. CAVEAT:

# http://openvpn.net/faq.html#dhcpcaveats

# The addresses below refer to the public

# DNS servers provided by opendns.com.

;push "dhcp-option DNS 208.67.222.222"

;push "dhcp-option DNS 208.67.220.220"

Аналогично, нужно раскомментировать строки push “dhcp-option DNS 208.67.222.222” и push “dhcp-option DNS 208.67.220.220”. В итоге, они должны выглядеть так:

push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"

1 2	push "dhcp-option DNS 208.67.222.222" push "dhcp-option DNS 208.67.220.220"

Эта опция указывает клиенту на необходимость использования сторонних DNS-серверов, это может помочь избежать утечек данных при работе с соединением. Можете заменить прописанные IP-адреса DNS-серверов на 8.8.8.8 и 8.8.4.4, а можете оставить те, которые есть (OpenDNS). С DNS разобрались, ищем теперь вот это:

# You can uncomment this out on
# non-Windows systems.
;user nobody
;group nogroup

# You can uncomment this out on

# non-Windows systems.

;user nobody

;group nogroup

Раскомментируем строки user nobody и group nogroup, чтобы получилось так:

user nobody
group nogroup

1 2	user nobody group nogroup

По умолчанию OpenVPN работает от рута и имеет полный доступ к машине — на мой взгляд это не есть правильно, поэтому мы только что сконфигурировали его работать от юзера nobody с группой nogroup. Это юзер без каких-либо привиллегий, обычно зарезервированный системой для работы недоверенных приложений. Теперь можно сохранить файл и выйти.

Базовая настройка OpenVPN сервера завершена, но есть еще нюансы, без которых работать нихрена не будет. В частности, есть такая системная опция sysctl, которая указывает ядру сервера на необходимость перенаправлять трафик от клиентских устройств в Интернет. В противном случае, трафик дальше вашего сервера никуда не пойдет. Нам такой вариант не нужен, поэтому включим перенаправление пакетов:

echo 1 > /proc/sys/net/ipv4/ip_forward

1	echo 1 > /proc/sys/net/ipv4/ip_forward

Нам также надо, чтобы эта настройка была постоянно, а не слетала при каждой перезагрузке сервера, поэтому:

nano /etc/sysctl.conf

1	nano /etc/sysctl.conf

Почти в самому верху файла вы должны увидеть такие строки:

# Uncomment the next line to enable packet forwarding for IPv4
#net.ipv4.ip_forward=1

1 2	# Uncomment the next line to enable packet forwarding for IPv4 #net.ipv4.ip_forward=1

Раскомментируйте строку net.ipv4.ip_forward, в итоге она должна выглядеть вот так:

# Uncomment the next line to enable packet forwarding for IPv4
net.ipv4.ip_forward=1

1 2	# Uncomment the next line to enable packet forwarding for IPv4 net.ipv4.ip_forward=1

Теперь можно сохранить этот файл и выйти. В Ubuntu, начиная с версии 14.04 есть такая штука — называется Uncomplicated Firewall (ufw), он нам понадобится. ufw это фронтенд для iptables, настроить его легко, нужно просто создать несколько правил и поправить конфиги, а затем включать файрвол. Поехали…

ufw allow ssh

1	ufw allow ssh

Мы будем настраивать OpenVPN на работу по протоколу UDP, поэтому ufw должен разрешать UDP-трафик через порт 1194.

ufw allow 1194/udp

1	ufw allow 1194/udp

Также, для самого ufw нужно задать правило перенаправления пакетов, откроем конфиг:

nano /etc/default/ufw

1	nano /etc/default/ufw

Ищем строку DEFAULT_FORWARD_POLICY=”DROP”. Ее значение нужно изменить с DROP на ACCEPT, чтобы в итоге получилось вот так:

DEFAULT_FORWARD_POLICY="ACCEPT"

1	DEFAULT_FORWARD_POLICY="ACCEPT"

Теперь надо добавить несколько дополнительных правил для ufw, чтобы включить NAT и маскарадинг для подключенных клиентов:

nano /etc/ufw/before.rules

1	nano /etc/ufw/before.rules

Сразу после этой секции:

#
# rules.before
#
# Rules that should be run before the ufw command line added rules. Custom
# rules should be added to one of these chains:
#   ufw-before-input
#   ufw-before-output
#   ufw-before-forward
#

# rules.before

# Rules that should be run before the ufw command line added rules. Custom

# rules should be added to one of these chains:

# ufw-before-input

# ufw-before-output

# ufw-before-forward

Надо добавить:

# START OPENVPN RULES
# NAT table rules
*nat
:POSTROUTING ACCEPT [0:0] 
# Allow traffic from OpenVPN client to eth0
-A POSTROUTING -s 10.8.0.0/8 -o eth0 -j MASQUERADE
COMMIT
# END OPENVPN RULES

# START OPENVPN RULES

# NAT table rules

*nat

:POSTROUTING ACCEPT [0:0]

# Allow traffic from OpenVPN client to eth0

-A POSTROUTING -s 10.8.0.0/8 -o eth0 -j MASQUERADE

COMMIT

# END OPENVPN RULES

Теперь можно сохранить файлик и выйти. Затем, включаем ufw:

ufw enable

1	ufw enable

ufw может спросить:

Command may disrupt existing ssh connections. Proceed with operation (y|n)?

1	Command may disrupt existing ssh connections. Proceed with operation (y\|n)?

Скажем, что да и нажмем энтер:

y

Если все было сделано правильно — напишет:

Firewall is active and enabled on system startup

1	Firewall is active and enabled on system startup

Можно проверить его статус (не обязательно):

ufw status

1	ufw status

Ответит, скорее всего, как-то так:

Status: active

To                         Action      From
--                         ------      ----
22                         ALLOW       Anywhere
1194/udp                   ALLOW       Anywhere
22 (v6)                    ALLOW       Anywhere (v6)
1194/udp (v6)              ALLOW       Anywhere (v6)

Status: active

To Action From

-- ------ ----

22 ALLOW Anywhere

1194/udp ALLOW Anywhere

22 (v6) ALLOW Anywhere (v6)

1194/udp (v6) ALLOW Anywhere (v6)

На этом настройка OpenVPN сервера и файрвола завершена, едем дальше ;-)

#2: Создадим сертификаты и ключи

OpenVPN использует сертификаты для того чтобы шифровать трафик между клиентом и сервером.

Настроим Certificate Authority (CA) и сгенерируем сертификат и ключ для OpenVPN сервера. OpenVPN поддерживает двухстороннюю авторизацию, основанную на сертификатах. Это означает, что клиент должен авторизовать сертификат сервера и сервер должен авторизовать сертификат клиента прежде чем взаимное доверительное соединение будет установлено. Для этой цели будем использовать скрипты Easy RSA, которые мы скопировали ранее. Поехали:

cp -r /usr/share/easy-rsa/ /etc/openvpn

1	cp -r /usr/share/easy-rsa/ /etc/openvpn

Создадим директорию для хранения ключей:

mkdir /etc/openvpn/easy-rsa/keys

1	mkdir /etc/openvpn/easy-rsa/keys

У Easy RSA есть файлик с переменными, который мы можем отредактировать (а можем и не трогать, это опционально), для того чтобы создавать сертификаты эксклюзивно для себя, своего бизнеса, и так далее. Эта информация копируется в сертификаты и ключи, и помогает идентифицировать ключи позднее. Откроем файл:

nano /etc/openvpn/easy-rsa/vars

1	nano /etc/openvpn/easy-rsa/vars

В этой секции:

export KEY_COUNTRY="US"
export KEY_PROVINCE="TX"
export KEY_CITY="Dallas"
export KEY_ORG="My Company Name"
export KEY_EMAIL="sammy@example.com"
export KEY_OU="MYOrganizationalUnit"

export KEY_COUNTRY="US"

export KEY_PROVINCE="TX"

export KEY_CITY="Dallas"

export KEY_ORG="My Company Name"

export KEY_EMAIL="sammy@example.com"

export KEY_OU="MYOrganizationalUnit"

Можете редактировать все, что находится в кавычках, вписывая ваши данные (по желанию). В том же файле, проследите, чтобы строка выглядела так:

export KEY_NAME="server"

1	export KEY_NAME="server"

Теперь надо сгенерить параметры Diffie-Hellman, это займет несколько минут (в зависимости от мощности сервера):

openssl dhparam -out /etc/openvpn/dh2048.pem 2048

1	openssl dhparam -out /etc/openvpn/dh2048.pem 2048

Сменим рабочую директорию:

cd /etc/openvpn/easy-rsa

1	cd /etc/openvpn/easy-rsa

Инициализируем PKI (Public Key Infrastructure):

. ./vars

. ./vars

Ответ должен быть таким:

NOTE: If you run ./clean-all, I will be doing a rm -rf on /etc/openvpn/easy-rsa/keys

1	NOTE: If you run ./clean-all, I will be doing a rm -rf on /etc/openvpn/easy-rsa/keys

Теперь очистим рабочую директорию от любых возможных старых (или демо) ключей:

./clean-all

1	./clean-all

Почти финал… Осталось сделать билд CA, в процессе спросят о данных — можно либо их вводить, либо оставить дефолтные (нажимая энтер), это не принципиально:

./build-ca

1	./build-ca

Далее нам нужно сгенерировать сертификат и ключ для сервера (в процессе также может запросить данные и challenge пароль, везде давим энтер):

./build-key-server server

1	./build-key-server server

Спросит:

Sign the certificate? [y/n]
1 out of 1 certificate requests certified, commit? [y/n]

1 2	Sign the certificate? [y/n] 1 out of 1 certificate requests certified, commit? [y/n]

Ответим, что да:

y

Если все было ок — скажет так:

Write out database with 1 new entries
Data Base Updated

1 2	Write out database with 1 new entries Data Base Updated

Теперь надо переместить серверные сертификаты и ключи:

cp /etc/openvpn/easy-rsa/keys/{server.crt,server.key,ca.crt} /etc/openvpn

1	cp /etc/openvpn/easy-rsa/keys/{server.crt,server.key,ca.crt} /etc/openvpn

Для того, чтобы проверить, были ли они корректно скопированы:

ls /etc/openvpn

1	ls /etc/openvpn

На этом вроде бы все, можно запускать:

service openvpn start
service openvpn status

1 2	service openvpn start service openvpn status

Должно сказать:

VPN 'server' is running

1	VPN 'server' is running

На этом настройка сервера завершена. Теперь, нам нужно сгенерить сертификаты и ключи для клиента:

./build-key client1

1	./build-key client1

Как обычно, все это можно не заполнять, везде жмем энтер:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

Please enter the following 'extra' attributes

to be sent with your certificate request

A challenge password []:

An optional company name []:

Далее будет два запроса:

Sign the certificate? [y/n]
1 out of 1 certificate requests certified, commit? [y/n]

1 2	Sign the certificate? [y/n] 1 out of 1 certificate requests certified, commit? [y/n]

На оба отвечаем да:

y

Если нигде не ошиблись, то должно быть так:

Write out database with 1 new entries
Data Base Updated

1 2	Write out database with 1 new entries Data Base Updated

cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf /etc/openvpn/easy-rsa/keys/client.ovpn

1	cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf /etc/openvpn/easy-rsa/keys/client.ovpn

Все. Теперь вам надо зайти на сервер через sftp и забрать следующие файлы к себе на клиентский компьютер:

ca.crt
client1.crt
client1.key

#3: Настроим клиентский компьютер

Я советую платный софт, который называется Viscosity. Стоит всего $9, и он действительно стоит этих денег — не жалейте, покупайте. Есть версии и под винду, и под мак. Лицензия не взаимозаменяема. Скриншоты приводить не стану — там все просто, разберетесь. Нужно создать новое соединение, во вкладке “Аутентификация” выбрать тип “SSL/TLS Client” и скормить ему файлы, которые вы загрузили ранее. Затем там же вкладка “Сеть”, нужно отметить (включить) пункт “Отправлять весь трафик через VPN”. Все.

Если будут какие-либо вопросы — с радостью отвечу на них в комментариях.

Я советую хостинг Linode и Digital Ocean. Рефам помощь в установке и настройке — бесплатно!

Pingback: ФЗ-187: Наиболее правильный обход блокировок — TheWired()
Pingback: Насколько безопасен OpenVPN — TheWired()
Pingback: Как избежать утечки трафика при использовании OpenVPN на Android — TheWired()
Stas Poz

Ну что сказать…
Ты просто кросавчег!!!
Первый faq на эту тему разжованый от и до!
Получилось с первого раза.
Была только проблема с пересылкой файлов с сервера на локальную машину.
Добавь. Файл client1.key нужно отредактировать через chmod, иначе его забрать с сервера неполучится… Хотя х.з. как ты делал
- TheWired
  
  Все получится ;)
andrei lapshin

Прекрасный материал! Спасибо большущее именно за настройку сервера. Все вышло 1 в 1.
Только вот сама схема применения нежизнеспособна…
Вот если бы еще допилить материал как еще настроить ubuntu-server в виде клиентов, чтобы маршрутизировалось все-ко-всем через центральный ubuntu-server настроенный именно как сервер, как и написано в статье – золотой материал бы получился. Плюсы – расходуется только 1 публичный айпишник, так как клиенты подсоединяются из-за NAT и распределенная сеть центральный офис – филиалы с нулевой затратной частью. Да.., было бы золото, а так только серебро.
- TheWired
  
  Андрей, статья зависит от того, какую задачу надо с использованием статьи закрыть. В данном случае — речь шла об обходе блокировок, и об обеспечении безопасности клиента в публичных (и не только) местах. Эту задачу статья закрывает на все 100%. Если логика ваших потребностей несколько иная, это не значит, что эта статья “серебро”, это значит, что для ваших потребностей надо писать отдельную статью, которая точно так же как и эта станет “золотом”)
  - andrei lapshin
    
    Ну вот, поблагодаришь человека..))
    
    Для “обхода блокировок”, если правильно понимаю о чем речь (если неправильно, тогда “миль пардон”), не проще ли использовать Tor Brauser (https://ru.wikipedia.org/wiki/Tor), чем городить огород из выделенного сервера?
    
    Ладно, согласен, вопрос религии… Не будем углубляться..))
    
    А вот вопрос по-существу:
    
    в /etc/openvpn/server.conf параметр daemon нужен? Вроде бы бы и без него запускается все автоматом?
    - TheWired
      
      Нет, не проще. Потому что exit-nodes в Торе под прицелом ;) А частные сервера, коих сотни, особенно виртуалок — не особо ;) Так что твой трафик это твой трафик, а тор не надо ;)
      
      Что касается вопроса по существу. Сам спросил, сам ответил.
      - andrei lapshin
        
        В любом случае статья очень помогла. Денег, здоровья тебе, добрый человек. Ну и конечно обойти все блокировки и чтоб не поймали))
      - TheWired
        
        Рад, что статья помогла. Что касается “чтоб не поймали”, я ни от кого особо не скрываюсь ;-)
Ярослав Новиков

Добрый вечер, абсолютно не разбираясь во все этом про принципу- скопировал, вставил, проверил-все получилось (в том числе и comodo и что бы на 2ip не понимали)). Спасибо. Захожу сегодня на джойказино (впервые), а меня туда не пускает мой интернет провайдер. Не знаю зачем начал лазить копаться в инете в клиенте, но пока копошился появилось еще несколько вопросов.
1. Почему блокирует провайдер?, нарыл что как то связано с DNS. Есть ли решение?
2. Это пишет Viscosity при подключении к серверу (WARNING), ответа под свой ум не нашел:
ноя 11 17:08:22: Состояние изменено на Creating…
ноя 11 17:08:24: Состояние изменено на Disconnected
ноя 11 17:08:35: Состояние изменено на Connecting
ноя 11 17:08:35: Viscosity Windows 1.6.6 (1461)
ноя 11 17:08:35: Выполняется на Майкрософт Windows 10 Домашняя для одного языка
ноя 11 17:08:35: Включаем интерфейс…
ноя 11 17:08:35: Проверка доступности соединения…
ноя 11 17:08:35: Соединение доступно. Подключаюсь.
ноя 11 17:08:35: OpenVPN 2.3.12 Windows-MSVC [SSL (OpenSSL)] [LZO] [PKCS11] [IPv6] built on Aug 24 2016
ноя 11 17:08:35: library versions: OpenSSL 1.0.2h 3 May 2016, LZO 2.09
ноя 11 17:08:36: WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
ноя 11 17:08:36: UDPv4 link local: [undef]
ноя 11 17:08:36: UDPv4 link remote: [AF_INET]XX.XX.XX.XXX:1194
ноя 11 17:08:37: WARNING: this cipher’s block size is less than 128 bit (64 bit). Consider using a –cipher with a larger block size.
ноя 11 17:08:37: WARNING: this cipher’s block size is less than 128 bit (64 bit). Consider using a –cipher with a larger block size.
ноя 11 17:08:37: [server] Peer Connection Initiated with [AF_INET]XX.XX.XX.XXX:1194
ноя 11 17:08:40: do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0
ноя 11 17:08:40: open_tun, tt->ipv6=0
ноя 11 17:08:40: TAP-WIN32 device [Соединение] opened: \.Global{9404DDCE-9E65-4A19-AB06-53C11C49D25D}.tap
ноя 11 17:08:40: Notified TAP-Windows driver to set a DHCP IP/netmask of 10.8.0.6/255.255.255.252 on interface {9404DDCE-9E65-4A19-AB06-53C11C49D25D} [DHCP-serv: 10.8.0.5, lease-time: 31536000]
ноя 11 17:08:40: Successful ARP Flush on interface [11] {9404DDCE-9E65-4A19-AB06-53C11C49D25D}
ноя 11 17:08:45: Initialization Sequence Completed
ноя 11 17:08:45: Используется режим Full DNS
ноя 11 17:08:45: Состояние изменено на Connected