VPN

cp myservername.crt myservername.key ca.crt dh1024.pem /etc/openvpn/

1.2.3. Сертификаты клиента

Клиенту VPN также будет необходим сертификат для самоаутентификации на сервере. Обычно вы создаёте свой сертификат для каждого клиента. Для создания сертификата, введите следующую команду в терминале, будучи пользователем root:

cd /etc/openvpn/easy-rsa

Переменные в исходном коде

./build-key client1

Скопируйте следующие файлы на клиент с помощью безопасного метода:

•/etc/openvpn/ca.crt

•/etc/openvpn/easy-rsa/keys/client1.crt

•/etc/openvpn/easy-rsa/keys/client1.key

Все клиентские сертификаты и ключи необходимы только на клиентском компьютере, вы должны удалить их с сервера.

1.3. Простая конфигурация сервера

Вместе с установкой OpenVPN вы получили примеры этиих конфигурационных файлов (и многих других, если вы посмотрите):

root@server:/# ls -l /usr/share/doc/openvpn/examples/sample-config-files/ total 68

-rw-r--r-- 1 root root 3427 2011-07-04 15:09 client.conf -rw-r--r-- 1 root root 4141 2011-07-04 15:09 server.conf.gz

Начните с копирования и распаковки server.conf.gz в /etc/openvpn/ server.conf.

sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn/ sudo gzip -d /etc/openvpn/server.conf.gz

Отредактируйте /etc/openvpn/server.conf так, чтобы убедиться, что следующие строки указывают на сертификаты и ключи, которые вы создали в предыдущем разделе.

ca ca.crt

cert myservername.crt key myservername.key dh dh1024.pem

427

VPN

Это минимальная настройка для получения рабочего сервера OpenVPN. Вы можете использовать все настройки по умолчанию в файле конфигурации server.conf. Теперь запустите сервер. Вы найдете общий отчет и сообщения об ошибках в вашем системном журнале syslog.

Теперь проверьте, что OpenVPN создал интерфейс tun0:

root@server:/etc/openvpn# ifconfig tun0

UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1

[...]

1.4. Простая конфигурация клиента

Существуют различные реализации клиента OpenVPN с GUI и без него. Вы можете прочитать больше о клиентах в одном из следующих разделов. Сейчас мы используем клиент OpenVPN для Ubuntu, который представляет собой тот же исполняемый файл, что и сервер. Поэтому вы должны снова установить пакет openvpn на клиентском компьютере:

sudo apt-get install openvpn

В этот раз скопируйте файл примера client.conf в каталог /etc/openvpn/:

sudo cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf /etc/openvpn/

Скопируйте ключи и сертификат CA клиента, созданный в предыдущем разделе, например, в /etc/openvpn/ и отредактируйте /etc/openvpn/client.conf, чтобы убедиться, что следующие строки указывают на эти файлы. Если ваши файлы находятся в /etc/openvpn/, можно не указывать путь.

ca ca.crt

cert client1.crt key client1.key

И вы должны определить по крайней мере имя или адрес сервера OpenVPN. Убедитесь, что в конфигурационном файле присутствует ключевое слово client. Оно включает режим клиента.

428

VPN

client

remote vpnserver.example.com 1194

Затем запустите клиент OpenVPN:

Проверьте командой ping доступность сервера OpenVPN:

root@client:/etc/openvpn# ping 10.8.0.1

PING 10.8.0.1 (10.8.0.1) 56(84) bytes of data.

64 bytes from 10.8.0.1: icmp_req=1 ttl=64 time=0.920 ms

Сервер OpenVPN всегда использует первый доступный адрес в сети клиента, и только этот IP адрес будет откликаться на ping. Например, если вы настроили сетевую маску клиента /24, то будет использован адрес, оканчивающийся на .1. Адрес P-t-P, который вы видите в выводе ifconfig выше, обычно не отвечает на запросы ping.

Проверьте свои маршруты:

1.5. Первые поиски и устранения неисправностей

Если что-то из того, что рассмотрено выше, у вас не работает, проверьте следующее:

•Проверьте ваш системный журнал, например, с помощью grep -i vpn /var/ log/syslog

•Может ли клиент подключиться к серверу? Может быть, брандмауэр блокирует доступ? Проверьте системный журнал на сервере.

429