Настройка и использование OpenVPN на Ubuntu

Тематические термины: VPN, Ubuntu, OpenVPN.

В инструкции рассмотрим процесс установки и настройки VPN сервера OpenVPN на Linux Ubuntu.

Для удобства настройки заходим под суперпользователем:

Подготовка Ubuntu

Обновляем кэш для установки пакетов:

Также можно обновить установленные пакеты:

apt upgrade

Устанавливаем утилиту для синхронизации времени:

Разрешаем ее автозапуск и стартуем сервис:

Установим правильную временную зону:

* в данном примере московское время.

Если в нашей системе используется брандмауэр, открываем порт, на котором будет слушать OpenVPN:

* в данной инструкции предполагается, что мы настроим VPN-сервер на UDP-порту 443, однако, по-умолчанию, OpenVPN работает на порту 1194.

Для сохранения правила используем iptables-persistent:

Установка, настройка и запуск VPN-сервера

Обязательные шаги для развертывания сервиса — установка программного обеспечения, генерация сертификатов, настройка OpenVPN. Рассмотрим эти процессы по шагам.

Установка OpenVPN

Устанавливаем необходимые пакеты следующей командой:

Создание сертификатов

Создаем каталог, в котором разместим готовые сертификаты для OpenVPN:

Создаем каталог, в который будем помещать все сгенерированные сертификаты:

Переходим в созданный нами каталог:

Скопируем в него шаблоны скриптов для формирования сертификатов:

Чтобы ускорить процесс создания ключей, откроем на редактирование следующий файл:

и приведем его к следующему виду:

* где KEY_CN и KEY_OU: рабочие подразделения (например, можно указать название отдела); KEY_NAME: адрес, по которому будет выполняться подключение (можно указать полное наименование сервера); KEY_ALTNAMES — альтернативный адрес.

Следующие действия будут записеть от версии OpenVPN. Более новая позволяет создавать сертификаты на основе Easy RSA 3, старая работает на базе 2-й версии. Понять, какой вариант наш можно посмотрев на содержимое каталога easy-rsa:

Либо мы увидим в нем утилиту easyrsa (новая версия), либо набор утилит, начинающихся на build.

Рассмотрим процесс формирования сертификата с использованием как RSA3, так и RSA2.

а) Если используется новая версия (утилита easyrsa)

1. Инициализируем PKI:

2. Создаем корневой сертификат:

* после вводим дважды пароль, который хотим использовать для ключа центра сертификации.

На запрос «Common Name» можно просто нажать Enter:

3. Создаем запрос на сертификат для сервера:

* nopass можно упустить, если хотим повысить безопасность с помощью пароля на сертификат.

На запрос «Common Name» можно просто нажать Enter:

4. Генерируем сам сертификат:

После ввода команды подтверждаем правильность данных, введя yes:

и вводим пароль, который указывали при создании корневого сертификата:

Готово. Ключ для сервера создан.

5. Формируем ключ Диффи-Хеллмана:

Создаем ta-ключ командой:

Скопируем созданные ключи в рабочий каталог:

б) Если используется старая версия (утилиты build-)

Запускаем vars-файл на исполнение:

Почистим каталог от старых сертификатов:

1. Генерируем последовательность центра сертификации:

На все запросы нажимаем Enter.

2. Запускаем build-dh.bat (сертификат с использованием алгоритма Диффи-Хеллмана):

* команда может выполняться долго — это нормально.

3. Генерируем сертификат для сервера:

* где server — имя сертификата; на все запросы нажимаем Enter.

В конце подтверждаем два раза корректность информации вводом y:

Создаем ta-ключ командой:

Скопируем созданные ключи в рабочий каталог:

Настройка OpenVPN-сервера

Создаем конфигурационный файл:

И вставляем в него следующее:

Создадим каталог для логов:

Разрешаем автоматический старт сервиса vpn и запускаем его:

Настройка OpenVPN-клиента

Сертификат должен быть сформирован на сервер, после чего перенесен на клиентское устройство. Рассмотрим процесс подробнее.

На сервере

Создадим каталог, куда поместим сертификаты для обмена:

* сертификаты будут скопированы в каталог /tmp для удобства их переноса на клиентский компьютер.

Переходим в каталог easy-rsa:

Как в случае формирования сертификата для сервера, наши следующие шаги зависят от версии RSA.

а) Для новой версии (easyrsa)

Задаем время действия сертификата:

* 1460 дней или 4 года.

Создаем сертификат для клиента:

Вводим пароль, который указывали при создании корневого сертификата:

Скопируем ключи во временную директорию:

Разрешим доступ на чтения всем пользователям:

б) Для старой версии (build)

Создаем системные переменные, настроенные ранее в файле vars:

Создаем сертификат для клиента:

* на все запросы отвечаем Enter.

В конце отвечаем на два вопроса утвердительно:

Скопируем ключи во временную директорию:

Разрешим доступ на чтения всем пользователям:

На клиенте

Клиент OpenVPN может быть установлен на Windows, Linux, Android и Mac OS. Мы рассмотрим пример работы с Windows.

Заходим на официальную страницу загрузки openvpn и скачиваем клиента для Windows:

Запускаем скачанный файл и устанавливаем программу, нажимая «Далее».

Переходим в папку C:\Program Files\OpenVPN\config. И копируем в нее файлы ca.crt, client1.crt, client1.key, ta.key из каталога /tmp/keys на сервере, например, при помощи программы WinSCP.

После переноса файлов, не забываем удалить ключи из временного каталога на сервере:

Теперь возвращаемся к компьютеру с Windows, открываем блокнот от имени администратора и вставляем следующие строки:

* где 192.168.0.15 443 — IP-адрес OpenVPN-сервера и порт, на котором он принимает запросы.
* подробнее про настройку клиента OpenVPN.

Сохраняем файл с именем config.ovpn в папке C:\Program Files\OpenVPN\config.

Запускаем с рабочего стола программу «OpenVPN GUI» от имени администратора (это важно).

Нажимаем правой кнопкой по появившемуся в трее значку и выбираем «Подключиться»:

Произойдет подключение и значок поменяет цвет с серого/желтого на зеленый.

Доступ к локальной сети

Для настройки доступа к локальной сети, воспользуйтесь инструкцией Настройка доступа к локальной сети клиентам OpenVPN в Linux.

Аутентификация пользователей

Позволяет требовать от пользователя ввод логина и пароля при каждом подключении. Также идентификация каждого пользователя необходима для уникальной идентификации каждого из них и выдачи разных IP-адресов.

Настройка на сервере

Открываем конфигурационный файл openvpn:

И добавляем следующие строчки:

Как путь, так и название файла openvpn-plugin-auth-pam.so могут отличаться. Это зависит от версии Linux и OpenVPN. Чтобы найти путь до нужного файла, можно воспользоваться командой

find / -name "openvpn-*auth-pam*.so"

Создаем каталог для временных файлов и задаем на него права:

Перезапускаем сервер:

Создаем учетную запись для авторизации:

Настройка на клиенте

В конфигурационный файл клиента добавляем:

Можно пробовать подключаться.

Вход без ввода пароля

Если необходимо настроить авторизацию, но автоматизировать вход клиента, открываем конфигурационный файл последнего и строку для авторизации меняем на:

* где auth.txt — файл, в котором мы будем хранить логин и пароль.

Создаем текстовый файл auth.txt в той же папке, где находится файл конфигурации со следующим содержимым:

* где username — логин пользователя, а password — пароль.

Переподключаем клиента.

Описанный метод аутентификации является базовым и требует наличие обычной системной учетной записи. Если необходима более сложная авторизация на базе LDAP, можно воспользоваться инструкцией

настройка OpenVPN сервера с аутентификацией через LDAP (написана на базе Linux Ubuntu).

Автоматический запуск клиента

Если необходимо, чтобы клиент OpenVPN запускался при старте операционной системы Windows и подключался к серверу, просто открываем службы и находим OpenVPNService. Переводим его в режим автозапуска:

Статические IP для клиентов

Каждого клиента OpenVPN должен идентифицировать либо по сертификату, либо по логину. Рассмотрим оба варианта.

На основе сертификатов

На сервере для каждого клиента генерируем свой сертификат. Например, для client2 вводим следующие команды:

После чего переходим к каталог keys, где находятся новые сертификаты и копируем их на клиентский компьютер. Полный список файлов, которые необходимо копировать:

• ca.crt
• client2.crt
• client2.key
• dh2048.pem
• ta.key

Также на сервере открываем следующий файл и заносим статический адрес для клиента:

* в данном примере клиент client будет получать IP 172.16.10.4, а client2 — 172.16.10.24.

В конфигурационном файле server.conf должна быть строчка:

Перезапускаем сервер:

Теперь на клиенте не забываем указать правильные названия файлов в конфигурационном файле клиента:

Пробуем подключиться.

На основе логинов

Также статические адреса могут назначаться на основе учетных записей пользователей.

В конфигурационный файл добавим:

Создадим каталог ccd:

Создадим файл с индивидуальными настройками пользователя:

* где vpn1 — пользователь, под которым будем подключаться по VPN.

В зависимости от типа используемого интерфейса, следующие строки будут различаться.

а) Для туннельных интерфейсов (tun):

* в данном примере мы задали для пользователя vpn1 адрес 172.16.10.5.
** для интерфейсов tun возможны варианты — (1, 2) (5, 6) (9, 10) (13, 14) (17, 18) (21, 22) (25, 26) (29, 30) (33, 34) (37, 38) (41, 42) (45, 46) (49, 50) (53, 54) (57, 58) (61, 62) (65, 66) (69, 70) (73, 74) (77, 78) (81, 82) (85, 86) (89, 90) (93, 94) (97, 98) (101, 102) (105, 106) (109, 110) (113, 114) (117, 118) (121, 122) (125, 126) (129, 130) (133, 134) (137, 138) (141, 142) (145, 146) (149, 150) (153, 154) (157, 158) (161, 162) (165, 166) (169, 170) (173, 174) (177, 178) (181, 182) (185, 186) (189, 190) (193, 194) (197, 198) (201, 202) (205, 206) (209, 210) (213, 214) (217, 218) (221, 222) (225, 226) (229, 230) (233, 234) (237, 238) (241, 242) (245, 246) (249, 250) (253, 254).

б) Для бриджа (tap):

* в данном примере мы задали для пользователя vpn1 адрес 172.16.10.100.

После редактирования конфигурационного файла перезапускаем openvpn.

Вводим команду:

Доступ в Интернет через VPN-сервер

Настройка делает так, что клиенты VPN-сервера начинают использовать последний как шлюз по умолчанию. Таким образом, весь трафик идет через наш сервер.

Открываем на сервере конфигурационный файл:

и добавляем:

Перезапускаем сервер:

* сервер должен быть настроен в качестве шлюза. Подробнее в инструкции Настройка Интернет шлюза на Ubuntu.

Возможные проблемы при работе с OpenVPN

1. failed to start openvpn robust and highly flexible tunneling application on server

Описание: при запуске сервера получаем данную ошибку.

Причина: как правило, связано с отсутствием сертификата.

Решение: открываем лог /var/log/openvpn/openvpn.log и смотрим, с каким сертификатом проблема. Проверяем, что все файлы скопированы и что мы не забыли сгенерировать все сертификаты.

2. Постоянно разрывается соединение

Описание: с периодичностью от 1 до 5 минут постоянно рвется соединение с сервером. После нескольких минут переподключается.

Причина: как правило, конфликт IP-адресов. Такая ситуация возникает при случаях, когда подключение выполняется с нескольких компьютеров одновременно с одинаковыми данными авторизации (логином и паролем).

Решение: настройте клиента для подключения к серверу с уникальными логином и паролем.

3. ERROR: Cannot open TUN/TAP dev /dev/net/tun: No such file or directory (errno=2)

Описание: ошибка возникаем при попытке запустить сервис openvpn.

Причина: не загружается модуль tun.

Решение: необходимо перед запуском сервиса openvpn создавать устройство tun. Для этого мы создадим скрипт, который будет создавать устройство при запуске сервера.

Создаем каталог, в который поместим скрипт:

Создадим сам скрипт:

* данный скрипт создает каталог /dev/net, а в нем — устройство tun.

Создаем юнит для автозапуска скрипта:

Перечитываем изменения в systemd:

Разрешаем автозапуск юнита tun и стартуем скрипт:

Теперь можно запустить openvpn:

Перезагружаем сервер, чтобы убедиться а работе сервиса после старта компьютера.