OpenVPN

19.12.2009 19:48 | Přečteno: 2510× | Ubuntu | | poslední úprava: 20.12.2009 00:30

Obecně se traduje, že instalace programů ve Windows je jednodušší a zvládne jí cvičený gibon, zatímco v Linuxu se musí "čarovat v příkazovém řádku". Poprvé jsem narazil na důkaz, že to může být za určitých podmínek i obráceně. Předmětem důkazu je OpenVPN. Na Linuxu je to mnohem jednodušší ...

Úvod a demonstrace

Dostal jsem přístup do naší sítě přes VPN a nafasoval ZIP soubor s klíčem a konfigurací. Správce sítě mne varoval, že to bude trochu složitější a předvedl mi v rychlosti připojení na jehoVistách. Po té co soubory zkopíroval kamsi na disk C spustil cosi a kamsi kliknul a ono to naběhlo. Chtěl jsem vyzkoušet SSH a zjistil jsem, že tento báječný OS nemá ani telnet, natož ssh klienta. Ale o Vistách jsem již měl svůj obrázek, takže mne to až tolik neudivilo. Těšil jsem se, jak si večer VPNku rozjedu doma.

Ubuntu Kulhavá Kobyla at home

Po té, co jsem viděl na Vistách jsem dostatečně zpitomněle kliknul na gnome network manager a rozkliknul VPN a zjistil, že VPN nesvítí. Celkem intuitivně jsem dal "sudo apt-get install openvpn". Vrátil jsem se do network manageru a zjistu,že tam není nic, co by umělo natáhnout hotový konfigurák. Nu což, dal jsem apt-cache a našel nějaké klkátko. To by mělo umět importovat .tgz . Přebalil jsem původní .zip do .tar.gz (ano, .tgz to neumělo) a zjistil, že nic. V záchvatu zoufalství jsem přešel do adresáře s klíčem a napsal "sudo openvpn client.conf" a ono to naběhlo. Další minutu jsem mlátil hlavou do klávesnice ...

Windows XP

Tady asi apt nebude . Takže pěkně na stahovací stránku, spustit, next-netx-next, ano, chci vytvořit TAP, OpenVPN GUI ... klikklik ... nic ... kliklik - "OpenVPN již běží". Čumnu na lištu a běží tam. Připojit tam ale nikde není. Tak chvíli pátrám brožovanou pamětí, nakonec jdu do c:\program files\OpenVPN, kde nalézám adresář config. Moment, to jako mám nakopírovat můj soukromý certifikát na disk stroje, do kterého může lézt cizí výpočetka ?? Tak to ani omylem. Nemají Widle symlinky ? ale mají !. No jo, ale mklink mi v XPčkách nejede . Kdo jiný by o tom mohl vědět víc, než největší guru Windows českého internetu na svých stránkách http: lomeno lomeno myego tečka cz lomeno item/ntfs-umi-nativne-symlinky-jako-linux (skalní vědí, proč nepíšu odkaz ). Velký guru tam linkuje Mrkvo$oftí návod na výrobu symlinků. Bohužel jaksi soudruzi nedodali program ln se systémem, musí se stáhnout buď Radkem doporučovaný jakýsi program třetí strany nebo tento resourcekit. Nu dobrá. Instalujeme. Ctrl+Esc, šipka nahoru, šipka nahoru, enter, cmd, enter, linkd. Bedkomandlajn or jaflnejm. Šit. Ono si to nekopíruje cesty. Takže růčo kopírujeme linkd.exe. a dále už jen trocha magie příkazové řádky:

cd C:\Program Files\OpenVPN\
rename config config.bak
linkd config e:\dir

Hurá. Symlink ukazující na flešku je hotový. A už s nám objevuje connect ... Connect a běžíme. Uffff.

Ubuntu Jankovitý Ježek na EEE

Na Linuxu už mi to chodí, takže to bude sranda ...

Ctrl+alt+T (spustíme konzoli)
sudo apt-get install openvpn
Yes
(chvíle čekání)
cd /media/FLESKA/dir
sudo openvpn client.conf

Error: Cannor allocate TUN/TAP dev dynamically.
Ach jo. Strýček google poradil i abíčkovou poradnu - tady, kde už to někdo řešil a bylo mu porazeno prosté a jednoduché sudo modprobe tun. Zatímco Kulhavá Kobyla už tun má v defaultu v jádru, Jankovitý ježek ho ještě neměl*. Jak prosté, milý watsone ...

* - poznámka na základě diskuze níže: tímto výrokem mám na mysli, že v Kobyle je modul "natvrdo" kompilovaný v jádře, zatímco Ježek ho má jako volitelný modul zasunutelný modprobem. Myslel jsem si, že je to pochopitelné, ale zdá se, že asi není ...

Závěr

Z výše uvedeného vyplývá, že i když člověk nechce kraviny (neukládat klíč na nešifrovaný disk C) a "jen" instaluje openvpn na WinXP, tak je to mnohem zdlouhavější než na moderní bubu distribuci. Let the flame begin. Lael z rootu ? Radek Hulán ?        

Komentáře

[dad]

u nas uzivatele dostanou CD/stick se setup programem a ten setup doma na XP spusti. Hotovo.

Ovsem musim priznat, ze jsme meli drive take mizerneho admina.

[Miloš Kozák]

Zkuste zadat příkaz:
apt-cache search openvpn
podrbat se na hlavě a následně zadat:
apt-get install network-manager-openvpn
Ano network manager má i modul openvpn, ale není defaultně jen nainstalován.. doporučuji vám hlubší seznámení s výše uvedenými příkazy. Evidentně s linuxem začínáte :)
BTW oba mají TUN v jádře, jen je třeba jej zavést :D

[Georgius]

Děkuji za upřesnění, už jsem zapomněl jak se ten moduil co se intaloval jmenoval a tak jsem to do blogu nenapsal (píšu po paměti odjinud). Já netvrdím, že modul openvpn neexistuje, vtip je v tom, že se do něj nedá nasypat hotová konfigurace, musí se do něj zadat heslo a nejde tam narvat certifikát. Pokud mne přesvědčíte o opaku ...
BTW 9.10 má TUN přímo v jádře a zavádět se nemusí (nejnovější jádro), zatímco 9.04 ho má jako modul a tudíž se zavést musí. Evidentně nečtete pozorně, nebo dokonce se čtením začínáte

[Georgo10]

Já problém s modulem tun pochopil stejně jako čtenář výše.. Ono je to asi tou formulací :)

[Heevy]

Certifikat tam narvat jde, ale ne v p12 formatu. Je nutne z toho vyexrportovat :Uživatelský certifikát, Certifikát CA a soukromý klíč. To lze udělat sekvencí následujících příkazů

openssl pkcs12 -nocerts -passout stdin -in cert.p12 -out userkey.pem
openssl pkcs12 -nokeys -clcerts -in cert.p12 -out usercert.pem
openssl pkcs12 -nokeys -cacerts -in cert.p12 -out userca.pem

[mnikcy]

Ja som na podobne priklady narazil tiez... Napriklad instalacia Latexu bola na mojom Debiane znacne jednoduchsia ako ked si spoluziak snazil najst nieco pre Windows a potom tam este rozchodit slovensku diakritiku......
Mne stacilo:
sudo aptitude install texlive-latex3 texlive-lang-czechslovak texlive-latex-recommended
A tiez napriklad nastavenie wi-fi pripojenia na eduroam vo Wicd trva cca 15 sekund, zato vo Windowse...... (dokonca na XPckach to viacerym tusim neslo vobec)

[Senior Database Programmer]

Na Winowsoch používam MiKTeX.

[Dalibor Smolík]

zjistil jsem, že tento báječný OS nemá ani telnet, natož ssh klienta.
Putty na Vistách nefunguje?

[Georgius]

Ale funguje, jenom se musí stáhnout (což nesmí blokovat firewall/proxy). Ještě v XPčkách byl program zvaný "Microsoft Telnet" . Takže jsem po paměti zadal do adresního řádku telnet://ip.meho.stroje a divil se, proč to nefunguje, když v XPčkách to normálně chodí

[AsciiWolf]

Ale vždyť telnet je i na novějších Windows.

Jen není nainstalovaný by-default (musí se nainstalovat přes "Turn Windows features on or off" Control Panel).

[Georgius]

Tak jestli je nainstalovaný a "jenom" schovaný před uživateli tak to je tedy fuj^2. JehoVisty nemám, takže budu věřit . Každopádně instalovat věci jako telnet či ln až na přání mi přijde jako docela dost velká zvrácenost. Něco jako vyhodit GIMP a Midnight Commander (to už bubu provedli) ze základní instalace ...

[alkoholik]

Mam za to, ze v uplne hole instalaci neni telnet ani na debianu.

[Georgius]

co jsem naposledy (==Etch) dělal čistou instalaci, tak tam byl ...

[Petr]

Takže výsledek z diskuze bych viděl takový. Když admin ovládá dobře systém který spravuje tak je instalace čehokoli snadná, když se snaží dělat to co neumí tak musí vynaložit více úsilí aby se to podařilo.

[Georgius]

no, neřekl bych. Pod Linuxem prostě můžu spustit OpenVPN s parametrem konfiguráku (což odpovídá celkové filosofii systému), kdežto ve Widlích musím něco někam kopírovat (což odpovídá celkové filosofii systému).

[cynic_asshole]

Nemusíš. I pod win se dá spustit ovpn s parametrem jména konfiguráku.

[Radek Hladik]

Proč dělat symlinky, když je naprosto triviální do toho .conf připsat cestu k souboru s klíčem?

[Georgius]

Hmm, zaprvé mne to nenapadlo a zadruhé by to narušilo mojí původní myšlenku mít openvpn konfiguráky na flešce, kterou budu strkat do Linxu i do Widlí (čili nemusím řešit synchronizaci změn konfiguráku, ale prostě jednou to zedituju a hotovo). A mimo to mne zaujalo to, že NTFS vůbec symlinky umí .

[Radek Hladik]

Pak je opravdu mozne mit na te flashce batak typu: c:\progam files\openvpn\openvpn.exe config.cfg , ikdyz ja bych radsi mel dva konfiguraky. Symlinky sice NTFS umi uz hodne dlouho, ale ja osobne se jim snazim vyhybat. Napriklad takovy symlink na neco, co zrovna neni, mi docela zlobil.

A trochu me prekvapuje, ze nekoho napdane delat symlinky na NTFS driv nez se podivat, jestli v tom configu nejde zmenit cesta

No a nakonec jsem se podival do man page a nasel jsem tam volbu --cd. Zkusil bych, jestli by nesla pridat i do configu, ze by trba na zacatku mel

cd /mnt/fleshka/key

cd x:/key/

a na linuxu by selhal jeden cd a na windows druhy.... Jinak jako option pro binarku openvpn by to melo fungovat asi i lepe.

[Georgius]

A trochu me prekvapuje, ze nekoho napdane delat symlinky na NTFS driv nez se podivat, jestli v tom configu nejde zmenit cesta

No jo, tak to dopadá, když člověk o noční službě najde několik málo minut a napadají ho kacířské myšlenky o symlinkách ... symlincích ,,, prostě symbolických odkazech . Ale mimo to - v konfiguráku jsou nějaká nastavení, která se - třeba - budou měnit a mít to celé na flešce mi přišlo trochu systémovější. A už vím, jak se na NTFS dělají symlinky :-P

[Miloslav Ponkrác]

Vidím, že pokles úrovně abclinuxu, respektive jeho blogů stále tvrdě pokračuje. Jen tak dál.

[Salamek]

to ze vy jste uplny magor neznamena ze jsou i vsichni okolo

[Miloslav Ponkrác]

A stejně tak, pokud jsou magoři všichni okolo, neznamená to, že i já jsem magor.

Jak Vaše, tak moje tvrzení je pravdivé.

Nicméně ačkoli používám Linux a často inzenzívně, právě pro takové fanatismy jako jsou v tomto článku jsem se nikdy k linuxové komunitě nehlásil.

[Salamek]

me ten clanek prijde celkem v pohode, je tma uveden postup zprovozneni pod lin i pod win a na obe strany vyrovnane a slo by to napsat mnohem hanebneji na stranu win kdyby se chtelo, to mi verte,nechapu vas...

[default]

Nechte na hlavně! Tohle je žhavý adept na tučňáčka.