Jak rozjet VPN ve Slackwaru

15.10.2005 14:25 | Přečteno: 1371× | Linux | poslední úprava: 15.10.2005 14:27

Co je to VPN, jsem zhruba věděl, ale nikdy jsem neměl příležitost ani důvod to zkoušet. Teď se situace změnila a já

jsem měl za úkol rozjet si ASAP VPN. Stáhl jsem tedy openvpn a knihovnu lzo, nainstaloval a dál postupoval podle návodu, který jsem dostal. Nejprve se natáhne modul 'tun' a je třeba zajistit, aby se tak stalo při každém startu (tedy dát ho do rc.local). Pak se vytvoří adresář /etc/openvpn/keys a v adresáři /usr/doc/openvpn-2.0.2/easy-rsa/ se v souboru vars upraví hodnoty podle konkrétních požadavků. Potom se spustí

 
 . vars
 ./build-req jmeno-klice-podle-uzivatele

Pozor, opravdu tam nechybí lomítko! Vzniknuvší soubor /etc/openvpn/keys/jmeno.csr odešleme k podepsání tomu, kdo nám tento úkol zadal. ;) Až pošle zpátky soubory jmeno.crt a ca.crt, nakopírujeme je tam taky.

Dalším krokem je vytvoření konfigurace pro spojení, to je asi záležitost konkrétních údajů, takže to neuvádím. Musí dodat "zadavatel". ;) Uloží se třeba do /etc/openvpn/firma.conf.

Tak, zbývá nahodit démona. Jak už to tak bývá, ve všech distrech je startovací skript, ve slacku ne... Snad bude stačit tohle: openvpn --daemon --config /etc/openvpn/firma.conf.

Pomocí ifconfig můžeme zkontrolovat, že existuje rozhraní tap0. Pak se do /etc/hosts přidá nějaký ten počítač (případně DNS server), kvůli kterému jsme to všechno dělali, obvykle si musíme i nastavit pošťáka (IMAP server)... a je to.

Tak to je můj první kontakt s VPN, až zjistím detailně, co to obnáší, třeba zas budu dělat chytrého... Jo - už vím! Nedají se mazat maily. :(

       

Komentáře

[#Tom]

Instalce OpenVPN je docela veselá. A ze všeho nejlepší byl můj krkolomný postup vytváření certifikátů a certifikační autority. Fuj, nechce se mi na to vzpomínat.

[Zdeněk Burda]

http://www.zdenda.com/openvpn

[Dušan Hokův]

pomoci tech skriptu je to fajn, ale lepci je pomoci pull a push klientovi primo routy, dnska, search domenu apod poslat rovnou. Nekde na netu je i skriptik co provede zmeny v /etc/resolv.conf

[Zdeněk Burda]

Dnes už to odkazované nastavení nepoužívám, není k tomu důvod.

Na klientovi mám:

client
dev tun
proto udp
remote IP.AD.RE.SA 5000
float
resolv-retry infinite
nobind
#user nobody
#group nogroup
persist-key
persist-tun
ca ca.crt
cert klient.crt
key klient.key
tls-auth ta.key 1
comp-lzo
verb 3

a na serveru

port 5000
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh2048.pem
server 192.168.100.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 192.168.1.0 255.255.255.0"
#push "redirect-gateway"
client-to-client
keepalive 10 120
tls-auth ta.key 0
user nobody
group nogroup
comp-lzo
persist-tun
persist-key
verb 3

[Vlastimil Ott]

Teď děláš chytrého! Ale když jsem to sháněl, tos mlčel. Jó, po bitvě je každý generál...

[Zdeněk Burda]

Jo - už vím! Nedají se mazat maily. :(

Tohle nějak nechápu, co má mazání emailů společného s OpenVPN?

[Vlastimil Ott]

Nic, samozřejmě. Tohle je dojmologie. Souvisí s tím ten pošťák, tudíž to, že jsem začal používat kromě pop taky imap... To je součástí celé 'akce'.

[Zdeněk Burda]

[Dušan Hokův]

taky jsem nedavno rozbehal openvpn... Bylo to hodne studia, vysledek stoji za to. Nejlepsi na tom je, ze jak klient, tak server muze bezet na windows i na linuxu, takze to je velke plus. Takovy ficury, jako zmena dnska, presmerovani default routy do tunelu apod... moooc dobry veci...

[Zdeněk Štěpánek]

Zdravim

Jak už to tak bývá, ve všech distrech je startovací skript, ve slacku ne...

No, tohle je bohuzel svata pravda....

Teď děláš chytrého! Ale když jsem to sháněl, tos mlčel. Jó, po bitvě je každý generál...

To proto ze jses neptal. S OpenVPN bych ti poradil, teda za na tu onanii s asymetrickejma klicema, ja pouzivam staticke klice, jsou symetricke, takze staci vygenerovat a nakopirovat na oba stroje.

Zdenek

[#Tom]

teda za na tu onanii s asymetrickejma klicema

Není to to úchylný vytváření certifikační autority, který jsem zmínil nahoře?

[Michal Kubeček]

Použití asymetrické kryptografie neznamená nutně používání CA. Aspoň u FreeS/WAN i racoona lze použít self-signed klíče a o OpenVPN se tvrdí, že je na konfiguraci jednodušší.

[#Tom]

CA byla první věc, se kterou mi OpenVPN opravdu fungovalo (i pro více uživatelů).

[Triton]

Jak už to tak bývá, ve všech distrech je startovací skript, ve slacku ne...

No, tohle je bohuzel svata pravda....

Možná jsem něco zaspal, ale openvpn balíček snad ve Slacku zatím není ? Kdyby byl, tak věřím, že by ho tam Pat, jako v ostatních případech, přidal. Mimo to, napsat si nějaký základní se spouštěním, stopem a restartem je trivialita, ne ?

Ještě drobnost. Manuální zavádění modulů je zvykem zapisovat do rc.modules a ne do rc.local.

[Vlastimil Ott]

Možná jsem něco zaspal, ale openvpn balíček snad ve Slacku zatím není ?

LinuxPackages

Mimo to, napsat si nějaký základní se spouštěním, stopem a restartem je trivialita, ne ?

Nevěděl jsem o tom vůbec nic - jediné, co mě napadlo, bylo spustit binárku. Vypíše to 'nápovědu' na tři obrazovky. V takové situaci člověk nějaký instantní skript uvítá... ;) Ale není třeba.

Manuální zavádění modulů je zvykem zapisovat do rc.modules a ne do rc.local.

Měl jsem takhle svoje moduly v rc.modules. Jednou za rok jsem upgradoval a šly do háje. Proto je dávám do rc.local. Rozdíl v tom není a já jsem klidnější. Na 'myšlenku' už dávno nehraju...

[Triton]

Možná jsem něco zaspal, ale openvpn balíček snad ve Slacku zatím není ?

LinuxPackages

Aha. Pro mě LinuxPackages.net není Slackware. Já si aktualizuju openvpn vlastním SlackBuildem z originál zdrojů.

Měl jsem takhle svoje moduly v rc.modules. Jednou za rok jsem upgradoval a šly do háje. Proto je dávám do rc.local. Rozdíl v tom není a já jsem klidnější. Na 'myšlenku' už dávno nehraju...

Já upgraduju od verze 9.0, ale tohle se mi ještě nestalo. Schválně jsem se juknul a zmíněný soubor se instaluje z balíku kernel-modules "bezpečnou" cestou nepřímo přes rc.modules.new. Mimochodem stejným způsobem by se dalo teoreticky přijít i o rc.local.