Správa linuxového serveru: OpenVPN server (pokračování)

Minulý díl se zabýval základy OpenVPN a velmi jednoduchou konfigurací propojení dvou počítačů. Tento díl osvětlí komplexnější řešení pro OpenVPN server s více klienty a možnost směrování veškeré komunikace přes VPN.

Komplexní řešení pro více klientů

Vytvoření tunelu mezi dvěma počítači je jistě užitečné, ale co když se chcete připojovat na VPN server z více počítačů, nebo dokonce nabídnout klientům možnost směrovat veškerou svou komunikaci přes VPN? I to samozřejmě OpenVPN umí. Pro snadnou správu přístupu mnoha klientů k VPN serveru využívá OpenVPN PKI. Je tedy třeba začít vytvořením certifikační autority, dále certifikátu serveru a certifikátu klientů.

Vytvoření certifikační autority

Prvním krokem je vytvoření vlastní certifikační autority. Můžete tak učinit buď ručně pomocí nástrojeopenssl, nebo si značně usnadnit práci pomocí pomocných skriptů. V Debianu naleznete příslušné skripty v adresáři /usr/share/doc/openvpn/examples/easy-rsa, takže si je odtud zkopírujte někam jinam, třeba do/etc/openvpn, takto:

cd /etc/openvpn

cp -r /usr/share/doc/openvpn/examples/easy-rsa .

cd easy-rsa/2.0

Postup pro vytvoření certifikační autority je následující. Upozorňuji, že tento postup (přesněji druhý příkaz) smaže všechny klíče, které jste dosud vytvořili (pokud toto provádíte poprvé, není se samozřejmě čeho obávat).

. ./vars

./clean-all

./build-ca

Po dokončení této procedury byste měli nalézt příslušné výstupy, tzn. zejména soubor ca.crt s kořenovým certifikátem certifikační autority a soubor ca.key se soukromým klíčem certifikační autority (tím se pak podepisují jednotlivé dílčí certifikáty).

Vytvoření serverového klíče

Máte-li vygenerovanou certifikační autoritu, můžete si nechat vygenerovat serverový certifikát. To provedete ve stejném adresáři následujícím příkazem:

./build-key-server server

Za slovo server si dosaďte libovolné jméno. Zde budete opět vyzváni k zadání řady informací. Ujistěte se, že na konci odpovíte na dotaz "y", tedy opravdu podepsat daný certifikát.

Vygenerování certifikátů a klíčů pro uživatele

Pro každého uživatele vygenerujte jeho vlastní certifikát spolu s klíčem, pomocí kterých se bude připojovat k serveru. K tomu vám poslouží následující příkaz:

./build-key jmeno_klienta

Vygenerování Diffie Hellman parametrů

Posledním krokem je vygenerování parametrů pro Diffie Hellman protokol. To provedete příkazem:

./build-dh

Umístění jednotlivých souborů

Až budete mít vygenerované všechny soubory, bude potřeba je vhodně rozmístit. Obecně, soubory s příponami .key obsahují privátní klíče a měly by být pečlivě střeženy (doporučuji jim nastavit práva 400), ostatní být střeženy nemusí. Přípona .crt označuje jednotlivé certifikáty - certifikát certifikační autority, certifikát serveru a certifikáty klientů. Diffie Hellman parametry se pak nacházejí v souboru dh*.pem, kde hvězdička bude odpovídat velikosti klíče - výchozí hodnota je 1024, ale je samozřejmě možné vygenerovat větší.

Soubory pro klienta

Klienti by měli mít k dispozici následující soubory:

·        ca.crt - kořenový certifikát certifikační autority

·        klient1.crt - odpovídající certifikát klienta

·        klient1.key - odpovídající privátní klíč klienta

Soubory pro server

Server musí mít k dispozici následující soubory:

·        ca.crt - viz výše

·        server.crt - serverový certifikát

·        server.key - soukromý klíč k serverovému certifikátu

·        dh*.pem - Diffie Hellman parametry

Ostatní soubory

Jediným souborem, který jste vygenerovali a nebyl popsán výše, je soubor ca.key s klíčem pro kořenový certifikát certifikační autority. Ten není nutné mít přímo na serveru - je totiž nutný pouze k podepisování certifikátů. Z bezpečnostních důvodů je dokonce vhodné, aby byl někde v bezpečí mimo server.

Konfigurace OpenVPN serveru

Příklad konfigurace serveru může vypadat následovně. Konfiguraci si přizpůsobte svým potřebám:

local 1.2.3.4

dev tap

mode server

ifconfig 10.45.42.1 255.255.255.0

ifconfig-pool 10.45.42.2 10.45.42.102 255.255.255.0

tls-server

ca /etc/openvpn/ca.crt

cert /etc/openvpn/server.crt

key /etc/openvpn/server.key

dh /etc/openvpn/dh1024.pem

user nobody

group nogroup

comp-lzo

keepalive 10 20

ping-timer-rem

persist-tun

persist-key

verb 3

duplicate-cn

client-to-client

max-clients 100

U všech cest k souborům se ujistěte, že ukazují správně. Parametr local označuje IP adresu serveru, kde bude k dispozici OpenVPN server. Parametr ifconfig označuje IP adresu serveru v rámci VPN tunelu. Klientům budou přiřazovány IP adresy z rozsahu, který je specifikován parametrem ifconfig-pool. Mezi další důležité parametry patří:

·        tls-server - zapíná TLS v režimu serveru

·        duplicate-cn - umožní, aby se připojilo více klientů se stejným certifikátem

·        client-to-client - umožní klientům, aby na sebe "viděli" a mohli spolu komunikovat

·        max-clients 100 - limit počtu současně připojených klientů

Konfigurace klienta

Pro klienty použijte následující vzor konfiguračního souboru:

remote 1.2.3.4

client

dev tap

tls-client

ns-cert-type server

ca /etc/openvpn/ca.crt

cert /etc/openvpn/klient1.crt

key /etc/openvpn/klient1.key

nobind

comp-lzo

keepalive 10 20

ping-timer-rem

persist-tun

persist-key

verb 3

Řadu parametrů zde již jistě znáte, pro jistotu ještě zopakuji upozornění, abyste si přizpůsobili veřejnou IP adresu serveru (parametr remote) a cesty k jednotlivým souborům. Mezi důležité volby patří:

·        tls-client - zapíná TLS v režimu klienta

·        ns-cert-type server - ověřuje serverový certifikát (pomáhá zabránit man-in-the-middle útokům, kdy by se útočník vydával za server)

Extra zabezpečení pomocí sdíleného klíče

Ačkoliv infrastruktura založená na certifikátech nevyžaduje použití sdílených klíčů (což je ostatně jejím účelem), můžete pro zvýšení bezpečnosti sdílený klíč přeci jen vytvořit a používat jako bezpečnostní vrstvu navíc - server pak bude kontrolovat HMAC podpisy paketů a bude ignorovat pakety, které nebudou mít správný podpis. Klíč vytvoříte následujícím příkazem:

openvpn --genkey --secret klic

Následně je třeba dopravit klíč všem klientům a upravit konfiguraci serveru přidáním následující řádky do konfiguračního souboru:

tls-auth soubor_s_klicem 0

Nezapomeňte doplnit cestu k souboru s klíčem. Do konfiguračních souborů klientů je třeba doplnit podobnou řádku, ale s číslem 1 místo nuly:

tls-auth soubor_s_klicem 1

Směrování komunikace přes VPN

OpenVPN umožňuje, aby klienti směrovali veškerou svou komunikaci přes VPN tunel, což umožňuje vytvářet různé "anonymizační" služby založené na této technologii. Tato vlastnost se hodí mj. i k tomu, abyste zabezpečili svou komunikaci, pokud se třeba připojujete přes nešifrovanou wifi, kde vás může kdokoliv ve vaší blízkosti šmírovat (alespoň vaši nezabezpečenou komunikaci).

Směrování paketů

Abyste zajistili směrování komunikace v rámci OpenVPN serveru, musíte nejprve povolit směrování paketů. To můžete provést buď s dobou trvání do příštího restartu, nebo permanentně. Dočasné nastavení provedete příkazem:

sysctl -w net.ipv4.ip_forward=1

Permanentní nastavení provedete zapsáním níže uvedené řádky do souboru /etc/sysctl.conf:

net.ipv4.ip_forward=1

Podívejte se na nastavení firewallu (iptables -L -n -v), zejména pak na řetěz FORWARD, který musí povolovat průchozí pakety z virtuálního rozhraní VPNky směrem na vnější síťové rozhraní.

NAT / maškaráda

Jelikož VPN síť využívá adresy z privátního rozsahu, je nutné vytvořit maškarádu, tedy vhodnou formu NATu (překladu adres), která zajistí, aby si pakety zvenčí našly cestu k příslušnému klientovi, který si je vyžádal. To zajistíte následujícím příkazem:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Toto nastavení bude fungovat pouze do příštího restartu serveru. Permanentní nastavení je v Debianu možné zařídit pomocí balíčku iptables-persistent a nástroje iptables-save:

iptables-save > /etc/iptables/rules

Tento příkaz uloží aktuální konfiguraci pravidel Netfiltru a při příštím spuštění systému bude zajištěno jejich opětovné načtení.

Úprava konfigurace OpenVPN serveru

Následně upravte konfigurační soubor OpenVPN serveru a přidejte do něj následující řádky:

push "route-gateway 10.45.42.1"

push "redirect-gateway def1"

push "dhcp-option DNS 10.45.42.1"

Jako parametr pro volbu route-gateway zadejte IP adresu serveru v rámci VPN, tedy IP adresu, kterou jste zadali jako parametr volby ifconfig. První řádka zajistí, že se klientovi pošle specifikovaná IP adresa brány. Druhá volba zajistí, že se klientovi nařídí, aby přesměroval veškerou svou komunikaci přes VPN. Parametrdef1 zajistí, aby se neodstranila původní brána z konfigurace sítě klienta.

Parametr dhcp-option DNS zajišťuje zaslání informace o DNS serverech klientovi. Tento parametr samozřejmě předpokládá dostupný funkční resolvující DNS server. Pokud se vám nechce nastavovat vlastní DNS server na serveru s OpenVPN, můžete použít buď OpenDNS, nebo Google DNS. Stavba vlastního DNS serveru je mimo zaměření tohoto článku, ale mohu vám v této souvislosti pro tuto konkrétní potřebu doporučit balíček dnsmasq.

Úprava konfigurace OpenVPN klientů

U linuxových OpenVPN klientů se ovšem nastavení DNS pomocí dhcp-option neprojeví - je nutné jej odchytit z proměnných prostředí a zpracovat skriptem. Tento skript si naštěstí nemusíte psát sami - měl by být součástí OpenVPN balíku a měl by sídlit v /etc/openvpn/update-resolv-conf. Ke své činnosti vyžaduje balík resolvconf, takže se raději ujistěte, že jej máte nainstalovaný. Pak už jen postačí upravit konfiguraci klienta přidáním následujících řádků do konfiguračního souboru OpenVPN:

up /etc/openvpn/update-resolv-conf

down /etc/openvpn/update-resolv-conf

script-security 2

Neposlušný klient aneb Jak si nenechat mluvit do směrování

Pokud máte takto nastavený server a jste v pozici klienta, který nechce, aby se mu veškerá komunikace směrovala přes VPN, ale vytvořit VPN tunel chcete, můžete do svého konfiguračního souboru přidat parametr route-nopull. Tento parametr způsobí, že OpenVPN nebude ze serveru přebírat informace pro směrování.