LXF158:При­ме­ним VPN

Подписка на печатную версию Весь 2015 год (12 номеров) Первое полугодие (6 номеров) Второе полугодие (6 номеров)

Подписка на электронную версию Весь 2015 год (12 номеров) Первое полугодие (6 номеров) Второе полугодие (6 номеров)

Подшивки старых номеров журнала (печатные версии) Весь 2014 год (12 номеров) Первое полугодие (6 номеров) Второе полугодие (6 номеров)

При­ме­ним VPN

Спо­кой­но от­кры­вай­те свою ло­каль­ную сеть с Virtual Private Network

Хо­ти­те дать дос­туп к ва­шей се­ти за­кон­ным поль­зо­ва­те­лям, ото­гнав ин­тер­не­тов­ский сброд? Нейл Бот­вик учит это де­лать с OpenVPN.

Наш эксперт. Нейл Бот­вик.У Ней­ла сто­ит по ком­пь­ю­те­ру в ка­ж­дой ком­на­те, но по со­об­ра­же­ни­ям безо­пас­но­сти он ни за что не вы­даст вам ме­сто­по­ло­же­ние сво­его цен­траль­но­го сер­ве­ра.

› Соз­да­вай­те сер­ти­фи­ка­ты для сер­ве­ра и кли­ен­тов, ис­поль­зуя скрип­ты сбор­ки, пре­дос­тав­лен­ные OpenVPN.

Сре­ди поль­зо­ва­те­лей Linux по­пу­ляр­ны во­про­сы ти­па «Я хо­чу сде­лать служ­бу XYZ доступ­ны че­рез Ин­тернет, но толь­ко для ав­то­ри­зо­ван­ных поль­зо­ва­те­лей. Как это сде­лать безо­пас­но?», где XYZ мо­жет быть VNC, NFS, Samba или локаль­ный web-сер­ве­р. От­вет за­ви­сит от кон­крет­но­го сер­ви­са, ко­то­рый вы на­ме­ре­ны пред­ла­гать, и от ме­то­дов, пре­ду­смот­рен­ных сер­ви­сом для ау­тен­ти­фи­ка­ции и безо­пас­но­сти. Одни луч­ше, дру­гие ху­же, но это все рав­но по­тен­ци­аль­но оз­на­ча­ет ва­шу обя­зан­ность за­бо­тить­ся о несколь­ких сер­ви­сах, обес­пе­чи­вая безо­пас­ность всех. С ва­шей локаль­ной се­тью та­ких про­блем нет, по­то­му что у вас толь­ко за­ре­ги­ст­ри­ро­ван­ные поль­зо­ва­те­ли – раз­ве что в ва­ши ком­пь­ю­те­ры мо­жет за­брать­ся кто по­па­ло.

Аль­тер­на­ти­ва ого­лению от­дель­ных час­тей се­ти для доступа из Ин­тернета – раз­ре­шить ав­то­ри­зо­ван­ным поль­зо­ва­те­лям под­сое­ди­нять­ся к се­ти из­вне так, как ес­ли бы они бы­ли под­клю­че­ны к локаль­ной се­ти на­пря­мую. Virtual Private Network (VPN) как раз и уста­нав­ли­ва­ет безо­пас­ный, за­шиф­ро­ван­ный туннель ме­ж­ду ком­пь­ю­те­ром и се­тью. Хо­тя тоннель про­хо­дит че­рез пуб­лич­ное ин­тернет-со­единение, весь тра­фик ме­ж­ду ва­шим ком­пь­ю­те­ром и се­тью оста­ет­ся внут­ри туннеля, за­шиф­ро­ван­ный и за­щи­щен­ный.

Есть несколь­ко раз­лич­ных реа­ли­за­ций VPN, но мы здесь восполь­зу­ем­ся OpenVPN. Это, как сле­ду­ет из на­звания, пол­но­стью от­кры­тая сис­те­ма, и она ис­поль­зу­ет для со­единения со­лид­ный OpenSSL. Пре­ж­де все­го на­строй­те мар­шру­ти­за­тор на про­брос пор­та 1194 на ком­пь­ю­тер, пред­на­зна­чен­ный на роль сер­ве­ра OpenVPN в ва­шей локаль­ной се­ти, ина­че под­клю­чить­ся вы не смо­же­те. В про­стей­шем слу­чае, мож­но под­клю­чить ком­пь­ю­тер к се­ти, вы­полнив пер­вую ко­ман­ду на ком­пь­ю­те­ре в се­ти (сер­ве­ре OpenVPN), а вто­рую ко­ман­ду – на уда­лен­ном ком­пь­ю­те­ре, от­ку­да вы хо­ти­те под­клю­чать­ся к се­ти (кли­ен­те):

sudo openvpn --remote ад­рес_кли­ен­та --dev tun 1 --ifconfig 10.0.1.1 10.0.1.2

sudo openvpn --remote ад­рес_сер­ве­ра --dev tun 1 --ifconfig 10.0.1.2 10.0.1.1

Оп­ция --remote да­ет имя или IP-ад­рес ком­пь­ю­те­ра, к ко­то­ро­му под­клю­ча­ют­ся, а два ад­ре­са, вы­дан­ных --ifconfig, вы­де­ля­ют­ся на локаль­ном и уда­лен­ных ком­пь­ю­те­рах, со­от­вет­ст­вен­но – имен­но по­это­му во вто­рой ко­ман­де они идут в об­рат­ном по­ряд­ке. Эти ад­ре­са долж­ны ле­жать в од­ном из за­ре­зер­ви­ро­ван­ных ча­ст­ных диа­па­зо­нов, но в дру­гой под­се­ти ва­шей локаль­ной се­ти, не то про­изой­дут вся­кие ужа­сы. VPN – это от­дель­ная сеть, а сер­вер слу­жит шлю­зом ме­ж­ду ней и ва­шей локаль­ной се­тью. Ес­ли на лю­бом из ком­пь­ю­те­ров вы по­лу­чи­те с tun ошиб­ку «уст­рой­ст­во неиз­вест­но», за­гру­зи­те мо­дуль tun ко­ман­дой

sudo modprobe tun

Хо­тя это и сра­бо­та­ет, по­сколь­ку соз­даст под­клю­чение к од­но­му из ком­пь­ю­те­ров се­ти, удоб­ст­ва тут ма­ло, так как нуж­но, что­бы кто-то вы­полнил эту ко­ман­ду на ка­ж­дом кон­це со­единения, и долж­ны быть за­ранее из­вест­ны IP-ад­ре­са, а это не силь­но вам по­мо­жет при под­клю­чении с по­мо­щью 3G-мо­де­ма или от­кры­то­го Wi-Fi во вся­ких мес­тах об­ще­пи­та.

Наш от­вет

Ре­шение – по­сто­ян­ная (или, по крайней ме­ре, в то вре­мя, когда он ве­ро­ятнее все­го бу­дет необ­хо­дим) ра­бо­та сер­ве­ра в ва­шей локаль­ной се­ти, что­бы обес­пе­чить со­единение с лю­бо­го IP-ад­ре­са и ис­поль­зо­вать сер­ти­фи­ка­ты для ау­тен­ти­фи­ка­ции всех ком­пь­ю­те­ров, ко­то­рые пы­та­ют­ся под­клю­чить­ся. Боль­шин­ст­во на­стро­ек вы­пол­ня­ет­ся на сер­ве­ре, в тер­ми­на­ле, от имени су­пер­поль­зо­ва­те­ля-root (поль­зо­ва­те­лям Ubuntu на­до бу­дет все ко­ман­ды пред­ва­рять sudo). Ва­ша уста­нов­ка OpenVPN долж­на со­дер­жать скрип­ты для это­го в /usr/share/openvpn/easy-rsa. Нам на­до их от­ре­дак­ти­ро­вать, так что ско­пи­руй­те ка­та­лог easy-rsa в /etc/openvpn, что­бы пре­сечь пор­чу ва­ших на­стро­ек ка­ким-нибудь об­нов­лением. От­ре­дак­ти­руй­те файл vars, за­дав в нем пе­ре­мен­ные KEY_* – ни од­ной не оставляй­те пустой. Сле­дую­щий шаг – соз­дание мас­тер-сер­ти­фи­ка­та удо­сто­ве­ряю­ще­го цен­тра (Certificate Authority, CA) при по­сред­ст­ве

source ./vars/

./clean-all

./build-ca

Вам за­да­дут несколь­ко во­про­сов, но бу­дет нор­маль­но про­сто на­жать Enter в от­вет на ка­ж­дый, по­сколь­ку от­ве­ты уже ука­за­ны в фай­ле vars. В ка­та­ло­ге клю­чей keys соз­да­ст­ся сер­ти­фи­кат, ис­поль­зуе­мый для под­пи­си всех сер­вер­ных и кли­ент­ских сер­ти­фи­ка­тов, ко­то­рые мы со­би­ра­ем­ся соз­дать. Из­го­то­вим сер­ти­фи­кат сер­ве­ра ко­ман­дой

./build-key-server имя_сер­ве­ра

Как и пре­ж­де, при­ми­те зна­чения по умол­чанию, но за­дай­те Common Name [об­щее имя] как имя сер­ве­ра, а за­тем от­веть­те y на во­прос, хо­ти­те ли вы под­пи­сать и при­менить сер­ти­фи­кат. Те­перь за­пусти­те эту ко­ман­ду для ка­ж­до­го кли­ен­та, ко­то­ро­му вы хо­ти­те пре­доста­вить под­клю­чение, ис­поль­зуя од­но и то же имя кли­ен­та в команд­ной стро­ке и в от­ве­те на во­прос про Common Name:

./build-key имя_кли­ен­та

Этот скрипт соз­да­ет ключ, раз­ре­шаю­щий под­клю­чение к VPN, так что лю­бой, кто име­ет доступ к ком­пь­ю­те­ру, смо­жет его по­лу­чить. Ес­ли это но­ут­бук, и у вас нет дру­гих форм за­щи­ты от во­ра, ис­поль­зуй­те build-key-pass вме­сто build-key для соз­дания клю­ча, при­кры­то­го па­ро­лем.

На­до бу­дет по­стро­ить еще один файл, ко­ман­дой

./build-dh

Ско­пи­руй­те файл ca.crt и фай­лы .crt and .key это­го ком­пь­ю­те­ра в ка­та­лог /etc/openvpn ка­ж­до­го ком­пь­ю­те­ра. На сер­ве­ре так­же необ­хо­ди­мо ско­пи­ро­вать фай­лы ca.key и dh1024.pem, соз­дан­ные ко­ман­дой build-dh. Сде­лай­те это безо­пас­но, с по­мо­щью cменного но­си­те­ля ли­бо SSH – не по­сы­лай­те их по элек­трон­ной поч­те, по­сколь­ку с эти­ми фай­ла­ми к ва­шей се­ти смо­жет под­клю­чить­ся лю­бой. За­дай­те раз­ре­шения на сек­рет­ный файл .key file как rw-------. Не за­будь­те, что ко­пи­ро­вание их на USB-бре­лок с фор­ма­том FAT уста­но­вит их в гораздо бо­лее ли­бе­раль­ные, что непри­ем­ле­мо.

И сер­ве­ру, и кли­ен­ту ну­жен файл кон­фи­гу­ра­ции в /etc/openvpn. Фай­лы-при­ме­ры, обыч­но по­ме­щае­мые в /usr/share/doc/openvpn/examples/sample-config-files, бу­дут луч­шей от­прав­ной точ­кой. Ско­пи­руй­те файл client.conf в /etc/openvpn/ openvpn.conf и от­ре­дак­ти­руй­те его на сер­ве­ре. Боль­шин­ст­во строк фай­ла яв­ля­ют­ся ком­мен­та­рия­ми, и на­строй­ки по умол­чанию хо­ро­ши, но убе­ди­тесь, что па­ра­мет­ры ca, cert, key и dh со­от­вет­ст­ву­ют соз­дан­ным ва­ми фай­лам, же­ла­тель­но с ука­занием пол­но­го пу­ти.

Ско­пи­руй­те файл client.conf в /etc/openvpn/openvpn.conf на кли­ент и от­ре­дак­ти­руй­те его. Из­мените стро­ку remite, что­бы она ука­зы­ва­ла на IP-ад­рес (или имя) ва­ше­го сер­ве­ра и от­кры­тый на нем порт (по умол­чанию, 1194). Вы мо­же­те иметь и не од­ну та­кую стро­ку – в этом слу­чае они бу­дут оп­ра­ши­вать­ся по оче­ре­ди, по­ка не уста­но­вит­ся со­единение.

remote gateway.example.com 1194

remote 123.124.125.126 1194

Ис­поль­зуй­те пуб­лич­ный IP-ад­рес ва­ше­го ин­тернет-со­единения. Ес­ли ваш шлюз на­хо­дит­ся за мар­шру­ти­за­то­ром, про­брось­те порт 1194 на сер­вер OpenVPN в на­строй­ках мар­шру­ти­за­то­ра. Из­мените стро­ки cert и key, что­бы они со­дер­жа­ли име­на сер­ти­фи­ка­та кли­ен­та и фай­лы клю­чей. Ес­ли вы ме­ня­ли па­ра­мет­ры по умол­чанию в на­строй­ках сер­ве­ра, убе­ди­тесь, что все на­строй­ки здесь им со­от­вет­ст­ву­ют. Те­перь вы уви­ди­те, как все это ра­бо­та­ет, за­пустив

/etc/init.d/openvpn start

на сер­ве­ре, а за­тем на кли­ен­те. За­пуск ifconfig на ка­ж­дом ком­пь­ю­те­ре дол­жен по­ка­зать ин­тер­фейс tun с ад­ре­сом в диа­па­зоне 10.8.0.* (ес­ли вы не ме­ня­ли это­го в на­строй­ках), и вы долж­ны быть в со­стоянии пин­го­вать ме­ж­ду ними. Убе­див­шись, что это ра­бо­та­ет, вы мо­же­те восполь­зо­вать­ся услу­га­ми менед­же­ра сер­ви­сов ва­ше­го ди­ст­ри­бу­ти­ва, что­бы на­стро­ить ав­то­ма­ти­че­­ский за­пуск OpenVPN при за­груз­ке.

До­б­рать­ся до всей се­ти

По­ка что мы со­единили два ком­пь­ю­те­ра, но мы хо­тим, что­бы кли­ент мог по­лу­чить доступ к всей локаль­ной се­ти, а не толь­ко к сер­ве­ру. OpenVPN из­менил таб­ли­цу мар­шру­ти­за­ции на кли­ен­те, про­пустив весь тра­фик се­ти 10.8.0.0 че­рез VPN. Что­бы сер­вер на­прав­лял тра­фик для локаль­ной се­ти пра­виль­ным по­лу­ча­те­лям, до­бавь­те в его файл на­строй­ки

push “route 192.168.1.0 255.255.255.0”

ис­поль­зуя со­от­вет­ст­вую­щий ад­рес и мас­ку для локаль­ной се­ти. Тогда не толь­ко уста­но­вит­ся мар­шру­ти­за­ция на сер­ве­ре, но сер­вер ис­поль­зу­ет это для от­прав­ки пра­виль­ных на­стро­ек мар­шру­ти­за­ции на кли­ент при его под­клю­чении. Ес­ли вы ско­ман­дуе­те route -n по­сле от­кры­тия VPN на кли­ен­те, он по­ка­жет нечто вро­де

Destination Gateway Genmask Flags Metric Ref Use Iface

192.168.1.0 10.8.0.2 255.255.255.0 UG 0 0 0 tun0

Это бу­дет хо­ро­шо ра­бо­тать, ес­ли ваш сер­вер OpenVPN слу­жит так­же и шлю­зом для се­ти, то есть дру­гие ком­пь­ю­те­ры в локаль­ной се­ти бу­дут по­сы­лать на него весь не-LAN тра­фик в лю­бом слу­чае. В про­тив­ном слу­чае у вас есть два ва­ри­ан­та. Вы мо­же­те из­менить таб­ли­цы мар­шру­ти­за­ции у всех ком­пь­ю­те­ров в се­ти, к ко­то­рым вы хо­ти­те иметь доступ че­рез VPN, вы­полнив на них ко­ман­ду

route add -net 10.8.0.0 netmask 255.255.255.0 gw 192.168.1.1

или мож­но из­менить на­строй­ки мар­шру­ти­за­то­ра, на­пра­вив тра­фик в се­ти 10.8.0.0 че­рез сер­вер – в дан­ном при­ме­ре, 192.168.1.1. Не­ко­то­рые мар­шру­ти­за­то­ры, осо­бен­но те, что ра­бо­та­ют на ОС DD-WRT или OpenWrt, под­дер­жи­ва­ют OpenVPN на­пря­мую. Ес­ли у вас есть та­кой мар­шру­ти­за­тор, пе­ре­ло­жи­те за­да­чу на него, с по­мо­щью web-ин­тер­фей­са.

Де­та­ли раз­ли­ча­ют­ся в за­ви­си­мо­сти от про­шив­ки мар­шру­ти­за­то­ра, но в основ­ном это встав­ка со­дер­жи­мо­го ва­ше­го сер­ти­фи­ка­та, клю­ча и фай­лов кон­фи­гу­ра­ции в тек­сто­вые по­ля web-ин­тер­фей­са мар­шру­ти­за­то­ра. |