VPN

1. OpenVPN

Если вы хотите больше, чем просто pre-shared ключи OpenVPN облегчает установку и использование инфраструктуры открытых ключей

(PKI), использующих SSL/TLS сертификаты для аутентификации и обмена ключами между VPN-сервером и клиентами. OpenVPN может

использоваться в маршрутизирующим или мостовым VPN режиме и может быть настроен для использования либо UDP или TCP. Номер порта может быть сконфигурирован как угодно, но официальный порт 1194. Один порт используется для всех коммуникаций. VPN сервер доступны практически для чего угодно, включая все дистрибутивы Linux, OS X, Windows и WLANмаршрутизаторах на основе OpenWRT.

1.1. Установка сервера

Для установки openvpn наберите в терминале:

sudo apt-get install openvpn

1.2. Настройка инфраструктуры открытых ключей

Первый шаг в построении конфигурации OpenVPN является создание инфраструктуры открытых ключей (Public Key Infrastructure). PKI состоит из:

•отдельного сертификата (также известного как открытый ключ) и закрытого ключа для сервера и каждого клиента, и

•центра сертификации (CA), сертификата и ключа, который используется для входа каждого сервера и клиентских сертификатов.

OpenVPN поддерживает двунаправленную аутентификацию на основе сертификатов, что означает, что клиент должен проверить подлинность сертификата сервера и сервер должен проверить подлинность сертификата клиента перед установлением взаимного доверия.

И сервер и клиент аутентифицируют друг друга сначала проверяя, что представленный сертификат подписан главным сертификатом

центра сертификатов, а затем проверяя информацию в заголовке свежеаутентифицированного сертификата, такую как общее имя или тип сертификата (клиент или сервер).

1.2.1. Установка центра сертификации

Чтобы установить ваш собственный центр сертификации (CA) и сгенерировать сертификаты и ключи для OpenVPN сервера и нескольких

425

VPN

клиентов необходимо сначала скопировать easy-rsa в каталог /etc/openvpn. Это будет гарантировать, что любые изменения в сценарии не будут потеряны при обновлении пакета. В терминале зайдите под пользователем root и:

mkdir /etc/openvpn/easy-rsa/

cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0/* /etc/openvpn/easy-rsa/

Затем отредактируйте /etc/openvpn/easy-rsa/vars, настроив следующее под свою рабочую среду:

export KEY_COUNTRY="US" export KEY_PROVINCE="NC"

export KEY_CITY="Винстон-Салем" export KEY_ORG="Example Company" export KEY_EMAIL="steve@example.com"

Введите следующее для создания главного сертификата центра сертификации (CA) и ключа:

cd /etc/openvpn/easy-rsa

Переменные в исходном коде

./clean-all

./build-ca

1.2.2. Сертификаты сервера

Далее, мы будем генерировать сертификат и закрытый ключ для сервера:

./build-key-server myservername

Как и в предыдущем шаге, для большинства параметров можно оставить значения по умолчанию. Два других запроса требуют положительного ответа: "Sign the certificate? [y/n]" и "1 out of 1 certificate requests certified, commit? [y/n]".

Для сервера OpenVPN необходимо использовать алгори́тм Ди́ффи — Хе́ллмана

./build-dh

Все сертификаты и ключи были сгенерированы в подкаталоге keys/. Обычно их копируют в /etc/openvpn/:

cd keys/

426