OpenVPN

OpenVPN — свободная реализация технологии виртуальной частной сети (VPN) с открытым исходным кодом для создания зашифрованных каналов типа точка-точка или сервер-клиенты между компьютерами. Она позволяет устанавливать соединения между компьютерами, находящимися за NAT и сетевым экраном, без необходимости изменения их настроек. OpenVPN была создана Джеймсом Йонаном (James Yonan) и распространяется под лицензией GNU GPL.

В данной статье будут наиболее подробно описаны основные команды используемые в OpenVPN.

Пояснение файла openvpn.conf

1. mode server - указывает программе работать в режиме сервера
2. tls-server - активирует работу Transport Layer Security (криптографический протокол) сервера
3. proto tcp-server - выбираем протокол TCP (если необходим UDP, тогда: proto udp)
4. dev tap - используемый тип интерфейса - L2 туннель (для L3-туннеля: dev tun)
5. port 1200 - указываем порт, по которому будет работать OpenVPN
6. daemon - программа будет работать в режиме демона, если нет в этом необходимости - просто раскомментируйте строку
7. tls-auth /etc/openvpn/keys/ta.key 0 - активирует дополнительный уровень аутентификации
8. ca /etc/openvpn/keys/ca.crt - путь к корневому сертификату
9. cert /etc/openvpn/keys/server.crt - путь к сертификату сервера
10. key /etc/openvpn/keys/server.key - ключ сервера
11. dh /etc/openvpn/keys/dh1024.pem - файл алгоритма Diffie-Hellman
12. client-config-dir /etc/openvpn/ccd - путь к каталогу индивидуальных клиентских конфигураций
13. ifconfig 192.168.10.1 255.255.255.0 - устанавливает виртуальный адрес сервера
14. ifconfig-pool 192.168.10.2 192.168.10.99 - устанавливает диапазон виртуальных адресов для клиентов
15. push "route 192.168.10.0 255.255.255.0 192.168.10.1" - эта команда будет выполняться на клиентских компьютерах, во время инициализации OpenVPN, она будет активировать роутинг так, чтобы клиенты автоматически использовали openvpn-сервер как шлюз для этой подсети
16. duplicate-cn - включает возможность использования одного ключа несколькими клиентами
17. verb 3 - указывает уровень отладки
18. cipher DES-EDE3-CBC - шифрование по алгоритму DES-EDE3-CBC
19. persist-key - будет загружать ключи в режиме persist, то есть их перезагрузка не потребуется в случае разрыва соединения
20. log-append /var/log/openvpn.log - путь к файлу лога
21. persist-tun - активирует работу tun/tap устройств в режиме persist
22. comp-lzo - активирует использование сжатия

Описание команд и параметров OpenVPN

Приведенные в статье команды без -- (двумя знаками дефиса) перед командой должны быть использованы в конфигурационном файле, команды с -- в начале используются только из командной строки. Подробности использования команд и их параметры - man openvpn.

1. remote < host > - определяет удаленный конец туннеля. Могут использоваться записи IP и DNS.
2. local < host > - определяет локальный ip или имя хоста, на котором будет работать OpenVPN. Актуально, если на локальной машине несколько адресов.
3. dev < device > - определяет какой использовать тип устройства tun или tap.
4. port < port number > - указывает на каком порту будет работать OpenVPN (локально и удаленно).
5. proto < proto > - какой протокол будет использоваться. Возможные значения: udp, tcp, tcp-client, tcp-server.
6. remote-random - если указана данная опция и в random перечисленно несколько удаленных хостов, то OpenVPN в случайном порядке будет к ним подключаться. Применяется для балансировки нагрузки.
7. float - позволяет удаленному хосту изменять IP во время работы туннеля. Соединение при этом не разрывается.
8. ipchange < cmd > - выполняет скрипт или команду указанную в < cmd >, если IP сменился.
9. connect-retry < seconds > - пробует переподключиться через указанное время в секундах, если соединение было разорвано.
10. connect-retry-max < n > - максимальное количество повторов если соединение было разорвано
11. resolv-retry < seconds > - если OpenVPN не удалось узнать имя удаленного хоста по DNS, то через указанное количество секунд попытаться переподключиться.
12. lport < port > - указывает на локальный порт для использования OpenVPN
13. rport < port > - аналогично для удаленного порта.
14. nobind - использовать динамический порт для подключения (только для клиента)
15. shaper < bytes > - указывает скорость передачи данных в байтах для исходящего трафика (только для клиента)
16. tun-mtu < mtu size > - устанавливает максимальный размер MTU. По умолчанию tun-mtu равен 1500.
17. dev-node < interface name > - устанавливает имя виртуального интерфейса.
18. ifconfig - устанавливает локальный IP и маску подсети для туннельного интерфейса.
19. server < network > < mask > - автоматически присваивает адреса всем клиентам (DHCP) в указанном диапазоне с маской сети. Данная опция заменяет ifconfig и может работаеть только с TLS-клиентами в режиме TUN, соответственно использование сертификатов обязательно.
20. server-bridge < gateway > < mask > < pool > - сервер в режиме моста для TAP устройств.
21. mode server - переключает OpenVPN в режим сервера (начиная с 2-й версии)
22. mode p2p - данная опция идет по умолчанию.

Опции в режиме сервера

1. push < options > - передача клиенту конфигурационных параметров.
2. comp-lzo - параметр сжатия трафика, идущего через виртуальный туннель. Может принимать значения yes, no, adaptive. Последнее используется по умолчанию.

Работа с сертификатами x509 и параметры шифрования

1. cipher < alg > - указываем алгоритм шифрования. Например: cipher AES-256-CBC

Рекомендуется использование шифров в режиме CBC (Cipher Block Chaining).

1. keysize < n > - размер ключа в битах. Например: keysize 128
2. auth < alg > - алгоритм хэширования. Пример: auth SHA1
3. df < file > - файл с ключом Диффи-Хелмана
4. ca < file > - файл сертификата для CA
5. cert < file > - сертификат локальной машины
6. key < file > - локальный ключ машины
7. tls-server - явно указывает, что данный хост является tls-server
8. tls-client - соответственно tls-client
9. pkcs12 < file > - указываем файл (PKCS12), который содержит в себе сертификат, ключ и CA в одном файле. Пример: pkcs12 /file
10. crl-verify < file > - список отозванных сертификатов, т.е. blacklist.
11. no-replay - отключает защиту OpenVPN от атаки повторного воспроизведения (replay attack). Крайне не рекомендуется отключать!!!
12. no-iv - отключает использование вектора инициализации шифра (IV). Крайне не рекомендуется отключать!
13. secret < file > - включает режим шифрования и аутентификации на статических ключах. В качестве параметра использует заранее сгенерированный, командой --genkey, файл. Например: secret key.txt
    
    

Опции 11 и 12 очень сильно снижают безопасность OpenVPN, крайне не рекомендуется их использование.

Все доступные алгоритмы шифрования можно просмотреть выполнив из командной строки:
openvpn --show-ciphers

Алгоритмы хэширования:
openvpn --show-digests

Показать все доступные TLS-шифры (TLS используется только для шифрования канала управления)
openvpn --show-tls

Показать все доступные крипто-устройства в системе (если такие имеются):
openvpn --show-engines

Для улучшения безопасности рекомендовано запускать все сервисы с минимальными правами. Следующими двумя командами мы укажем с правами какого пользователя и группы будет работать openvpn:
user nobody
group nogroup
Где, соответственно, nobody и nogroup имена пользователя и группы.

Команды для управления маршрутизацией

Обозначение: VPN-хост - удаленная сторона (удаленный хост)

1. route < network > - устанавливает указанную маршрутизацию на VPN-хосте, после успешного запуска туннеля.
2. route-gateway < IP > - устанавливает шлюз на VPN-хосте.
3. route-delay < seconds > - указывает подождать n-секунд перед установкой маршрутов.
4. route-up < cmd > - выполнить скрипт или программу < cmd > после установки маршрутов.
5. redirect-gateway - установить шлюзом по умолчанию удаленный сервер. Т.е. когда удаленный пользователь подключается к нашему серверу, то ему будет задан шлюз по умолчанию на наш сервер.

Команды для управления туннелем

1. ping < seconds > - указывает отсылать ping на удаленный конец туннеля после указанных n-секунд, если по туннелю не передавался никакой трафик.
2. ping-restart < seconds > - если за указанное время не было получено ни одного пакета с удаленной стороны, то перезапускать туннель.
3. ping-timer-rem - позволяет перезапускать туннель, только когда указан удаленный адрес.
4. persist-tun - данная опция оставляет без изменения устройства tun/tap при перезапуске OpenVPN.
5. persist-key - указывает не перечитывать файлы ключей при перезапуске туннеля.
6. resolv-retry < seconds > - устанавливает время в секундах для запроса об удаленном имени хоста. Актуально только если используется DNS-имя удаленного хоста.
7. inactive < seconds > - после n-секунд неактивности устройство TUN/TAP автоматически отключится.
8. ping-exit < seconds > - если за указанные n-секунд не было получено ни одного пакета, то отключать OpenVPN.
9. keepalive < seconds > < seconds > - является совмещением сразу двух команд - ping и ping-restart. Использует сразу два параметра в секундах, перечисленных через пробел.
10. persist-local-ip < IP > - оставлять неизменными локальный IP адрес и номер порт, если туннель был перезапущен.
11. persist-remote-ip < IP > - оставлять неизменными удаленный IP адрес и номер порт, если туннель был перезапущен.

Методы аутентификации

1. auth-user-pass-verify < script > < method > - указывается только на серверной стороне.
2. auth-user-pass < file > - указывается на клиентской стороне. Параметр не обязателен, если он отсутствует то будет предложено ввести пару логин/пароль.
3. client-cert-not-required - отключает авторизацию по сертификатам.

Скриптинг

1. up < command > - выполнить команду после запуска устройства TUN/TAP.
2. up-delay < seconds > - подождать n-секунд перед запуском команды указанной в up.
3. down < command > - выполнить команду когда интерфейс TUN/TAP выключится.
4. down-pre - выполнить команду, указанную в down перед выключением интерфейса TUN/TAP
5. up-restart < command > - выполнить команду после каждого реконнекта
6. route-up < command > - выполнить команду после установки сетевых маршрутов.
7. learn-address < command > - выполнить указанную команду, если ip удаленной стороны изменился.
8. ipchange < command > - выполнить команду, если ip сервера изменился.
9. client-connect < command > - выполнить команду, когда клиент подключился.
10. client-disconnect < command > - выполнить команду, когда клиент отключился.

Логирование

1. log < file > - указываем лог-файл. Если данный параметр не указан, то весь вывод openvpn будет производиться в stdout.
2. log-append < file > - дописывать сообщения в лог-файл, а не перезаписывать.
3. status < file > - указывает путь к статус-файлу, в котором содержится информация о текущих соединениях и информация о интерфейсах TUN/TAP.

Настройка фаервола

Добавляем в /etc/rc.local:

 echo 1 > /proc/sys/net/ipv4/ip_forward
 iptables -A INPUT -i tun+ -j ACCEPT
 iptables -A FORWARD -i tun+ -j ACCEPT
 iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
 iptables -t nat -F POSTROUTING
 iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

Вопрос - ответ

Вопрос: Чем отличаются виртуальные устройства tun и tap?
Ответ:
TUN - туннель, соединение по которому указывается по типу: локальный IP < --- > удаленный IP.
Например, при явном указании ifconfig: --ifconfig 10.3.0.2 10.3.0.1 В этом примере 10.3.0.2 - локальный IP, 10.3.0.1 - удаленный IP
TAP - эмулирует виртуальную ethernet карточку, для которой требуется указывать локальный IP и маску подсети.
Например: --ifconfig 10.3.0.2 255.255.255.0

Вопрос: Для чего нужны файлы serial и index.txt при генерации ключей с easy-rsa?
Ответ: Эти два файла используются в качестве временной базы данных, используемой при генерации ключей. Должны находиться в том каталоге, где и ключи.