3. Настройте службу OpenVPN

По умолчанию OpenVPN запускается как root при приеме соединений. Не очень хорошая идея, если сервис доступен из злого Интернета.

1. Создайте выделенного пользователя для OpenVPN, скажем openvpn:

   sudo useradd openvpn
   

2. Скопируйте файлы server.key, server.crt, ca.crt и dh1024.pem (или dh2048.pem, если вы изменили размер ключа) из каталога ключей в /etc/openvpn. Разрешение 400 (только для владельца на чтение) вполне допустимо.

   sudo cp ~/openvpn-admin/easy-rsa/keys/{server.key,server.crt,ca.crt,dh*.pem} /etc/openvpn
   sudo chmod 400 /etc/openvpn/{server.key,server.crt,ca.crt}
   

3. Скопируйте файл ta.key, а также:

   sudo cp ~/openvpn-admin/easy-rsa/ta.key /etc/openvpn
   sudo chmod 400 /etc/openvpn/ta.key
   

4. Создайте файл /etc/openvpn/server.conf и поместите в него следующие строки:

   proto udp.
   смеситель
   ca.crt
   сервер cert.crt
   ключ-сервер.ключ
   дх1024.пем
   сервер 10.8.0.0 255.255.255.0
   нажать "redirect-gateway def1"
   ifconfig-pool-persist ipp.txt
   запас прожиточного минимума 10 120
   tls-auth ta.key 0
   # Сжатие данных для экономии пропускной способности
   
   пользователь openvpn
   групповой openvpn
   горячий клавиш
   устойчивая настройка
   # Журналы полезны для отладки
   log-append openvpn-log
   глагол 3
   немой 10
   

5. Установите на него соответствующие разрешения, это не обязательно должно быть секретным, но я предпочитаю не пропускать подробности конфигурации:

    sudo chmod 640 /etc/openvpn/server.conf
   

4. Завершение работы сервера

Если вы создали сертификаты на сервере, то лучше зашифровать их или перенести с сервера. В любом случае не теряйте ca.key и server.key. В первом случае другие смогут подключиться к Вашему серверу. В последнем случае возможно использование MITM.

Клиент

Помимо IP-адреса сервера администратор сервера должен передать следующие файлы:

• ca.crt: для проверки сертификатов
• сервера. crt: для проверки сервера и связи с ним
• ta.key: для укрепления безопасности
• you.crt: для идентификации себя с сервером
• you.key: это как ваш пароль, файловые разрешения должны быть 400 (только для чтения владельцу)

1. Installation

Install OpenVPN и плагин NetworkManager (подходящий для KDE и Gnome):

sudo apt-get install openvpn network-manager-openvpn

network-manager-openvpn находится во вселенском репозитории.

2. Configuration

В панели управления используйте следующую информацию:

• Шлюз: IP-адрес сервера
• Тип: "Сертификаты (TLS)" (Gnome) или "Сертификат X.509" (KDE)
• CA Сертификат: путь к ca.crt
• Сертификат пользователя: путь к you.crt
• Частный ключ: путь к you.key

At Advanced:

• Порт шлюза: Автоматически (1194) (не нуждается в изменении)
• Use LZO data compression: enabled
• Use TCP connection: disabled
• Use TAP device: enabled
• Cipher: default
• HMAC authentication: default
• Use TLS-authentication: enabled
  Укажите путь к файлу ключа ta.key и установите "Направление ключа" на 1.
• (todo - проверка) сервер выталкивает шлюз по умолчанию, чтобы весь трафик проходил через VPN-соединение. Последний раз, когда я проверял, плагин NetworkManager-openvpn этого не делал.

Если вы не можете заставить работать NetworkManager или не хотите его использовать, поместите файлы (ca.crt, ...) в /etc/openvpn и создайте файл /etc/openvpn/client. conf файл:

client
dev tap
proto udp
# replace 1.2.3.4 by your server IP
remote 1.2.3.4 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert you.crt
key you.key
ns-cert-type server
tls-auth ta.key 1
comp-lzo
user nobody
group nogroup
verb 3
mute 20

Если вы не хотите включать эту VPN во время загрузки, отредактируйте /etc/default/openvpn и снимите комментарии со следующей строки, удалив #:

#AUTOSTART="none"

Для запуска этого соединения, запустите:

sudo /etc/init.d/openvpn start client

клиент должен быть переименован, если ваш конфигурационный файл не имеет имени client.conf. Пример: если Вы назвали свой файл конфигурации safe.conf, то необходимо запустить sudo /etc/init.d/openvpn start safe.

Чтобы остановить OpenVPN, необходимо запустить:

sudo /etc/init.d/openvpn stop