So richten Sie einen OpenVPN-Server unter Debian 8 ein

OpenVPN ist eine Open-Source-VPN-Anwendung, mit der Sie sicher über das öffentliche Internet ein privates Netzwerk erstellen und sich diesem anschließen können. Kurz gesagt, dies ermöglicht es dem Endbenutzer, Verbindungen zu maskieren und sicherer in einem nicht vertrauenswürdigen Netzwerk zu navigieren.

Vor diesem Hintergrund lernen Sie in diesem Tutorial, wie Sie OpenVPN, eine Open-Source-VPN-Lösung für Secure Socket Layer (SSL), unter Debian 8 einrichten.

In diesem Tutorial wird davon ausgegangen, dass Sie Folgendes haben:

Aktualisieren Sie vor der Installation von Paketen den apt-Paketindex.

Jetzt können wir den OpenVPN-Server zusammen mit easy-RSA für die Verschlüsselung installieren.

Die Beispiel-VPN-Serverkonfigurationsdatei muss nach "+ / etc / openvpn +" extrahiert werden, damit wir sie in unser Setup integrieren können. Dies kann mit einem Befehl erfolgen:

Öffnen Sie nach dem Extrahieren die Serverkonfigurationsdatei mit nano oder Ihrem bevorzugten Texteditor.

In dieser Datei müssen wir vier Änderungen vornehmen (jede wird im Detail erklärt):

Zuerst verdoppeln wir die RSA-Schlüssellänge, die beim Generieren von Server- und Client-Schlüsseln verwendet wird. Suchen Sie nach dem Hauptkommentarblock und mehreren weiteren Blöcken nach der folgenden Zeile:

/etc/openvpn/server.conf

Ändern Sie + dh1024.pem + in + dh2048.pem +, so dass die Zeile jetzt lautet:

/etc/openvpn/server.conf

Zweitens werden wir sicherstellen, dass der gesamte Datenverkehr an den richtigen Ort umgeleitet wird. Scrollen Sie noch in + server.conf + an weiteren Kommentarblöcken vorbei und suchen Sie nach dem folgenden Abschnitt:

/etc/openvpn/server.conf

Entfernen Sie das Kommentarzeichen "+ push" redirect-gateway def1 bypass-dhcp "+", damit der VPN-Server den Webdatenverkehr der Clients an sein Ziel weiterleitet. Es sollte dann so aussehen:

/etc/openvpn/server.conf

Drittens werden wir den Server anweisen, https://opendns.com [OpenDNS] für die DNS-Auflösung zu verwenden, wo dies möglich ist. Dies kann dazu beitragen, zu verhindern, dass DNS-Anforderungen außerhalb der VPN-Verbindung verloren gehen. Bearbeiten Sie unmittelbar nach dem zuvor geänderten Block Folgendes:

/etc/openvpn/server.conf

Entfernen Sie das Kommentarzeichen "+ push" dhcp-option DNS 208.67.222.222 "" und " push" dhcp-option DNS 208.67.220.220 "+". Es sollte dann so aussehen:

/etc/openvpn/server.conf

Viertens definieren wir Berechtigungen in + server.conf +:

/etc/openvpn/server.conf

Kommentieren Sie sowohl + user nobody + als auch + group nogroup + aus. Es sollte dann so aussehen:

/etc/openvpn/server.conf

Standardmäßig wird OpenVPN als * root * -Benutzer ausgeführt und hat somit vollen Root-Zugriff auf das System. Wir beschränken OpenVPN stattdessen auf den Benutzer * nobody * und die Gruppe * nogroup *. Dies ist ein nicht privilegierter Benutzer ohne Standardanmeldefunktionen, der häufig für die Ausführung nicht vertrauenswürdiger Anwendungen wie webbasierter Server reserviert ist.

Speichern Sie nun Ihre Änderungen und beenden Sie das Programm.

In diesem Abschnitt weisen wir den Server-Kernel an, den Datenverkehr von Client-Diensten an das Internet weiterzuleiten. Andernfalls stoppt der Datenverkehr am Server.

Aktivieren Sie die Paketweiterleitung zur Laufzeit, indem Sie den folgenden Befehl eingeben:

Als Nächstes müssen wir diese Einstellung dauerhaft festlegen, damit diese Einstellung nach einem Neustart des Servers erhalten bleibt. Öffnen Sie die Konfigurationsdatei + sysctl + mit nano oder Ihrem bevorzugten Texteditor.

Nahe dem oberen Rand der Datei + sysctl + sehen Sie:

/etc/openvpn/server.conf

Kommentar "+ net.ipv4.ip_forward" entfernen. Es sollte dann so aussehen:

/etc/openvpn/server.conf

Speichern Sie Ihre Änderungen und beenden Sie das Programm.

UFW ist ein Frontend für IPTables. Wir müssen nur ein paar Regeln und Konfigurationsänderungen vornehmen. Dann schalten wir die Firewall ein. Eine Referenz für weitere Verwendungszwecke für UFW finden Sie unter https://www.digitalocean.com/community/articles/how-to-setup-a-firewall-with-ufw-on-an-ubuntu-and-debian-cloud- server [Einrichten einer Firewall mit UFW auf einem Ubuntu und Debian Cloud Server].

Installieren Sie zuerst das Paket + ufw +.

Stellen Sie zweitens UFW so ein, dass SSH zulässig ist:

In diesem Tutorial wird OpenVPN über UDP verwendet, daher muss UFW auch UDP-Verkehr über den Port "+ 1194 +" zulassen.

Die UFW-Weiterleitungsrichtlinie muss ebenfalls festgelegt werden. Dies machen wir in der primären Konfigurationsdatei.

Suchen Sie nach der folgenden Zeile:

/ etc / default / ufw

Dies muss von "+ DROP " in " ACCEPT +" geändert werden. Es sollte dann so aussehen:

/ etc / default / ufw

Speichern und schließen.

Als Nächstes werden zusätzliche UFW-Regeln für die Netzwerkadressübersetzung und die IP-Maskierung verbundener Clients hinzugefügt.

Fügen Sie als Nächstes den Bereich für * OPENVPN RULES * hinzu:

/etc/ufw/before.rules

Speichern und schließen.

Mit den Änderungen an UFW können wir es jetzt aktivieren. Geben Sie an der Eingabeaufforderung Folgendes ein:

Wenn Sie UFW aktivieren, wird die folgende Eingabeaufforderung zurückgegeben:

Antworten Sie mit + y +. Das Ergebnis ist diese Ausgabe:

So überprüfen Sie die primären Firewall-Regeln von UFW:

Der Statusbefehl sollte die folgenden Einträge zurückgeben:

OpenVPN verwendet Zertifikate zum Verschlüsseln des Datenverkehrs.

In diesem Abschnitt richten wir unsere eigene Zertifizierungsstelle (CA) in zwei Schritten ein: (1) Einrichten von Variablen und (2) Generieren der Zertifizierungsstelle.

OpenVPN unterstützt die bidirektionale Authentifizierung basierend auf Zertifikaten. Dies bedeutet, dass der Client das Serverzertifikat und der Server das Clientzertifikat authentifizieren muss, bevor die gegenseitige Vertrauenswürdigkeit hergestellt wird. Wir werden dazu die Skripte von Easy RSA verwenden.

Kopieren Sie zuerst die Easy-RSA-Generierungsskripte.

Erstellen Sie dann ein Verzeichnis für den Schlüssel.

Als nächstes werden wir die Parameter für unser Zertifikat festlegen. Öffnen Sie die Variablendatei mit nano oder Ihrem bevorzugten Texteditor.

Die unten mit gekennzeichneten Variablen sollten nach Ihren Wünschen geändert werden.

/ etc / openvpn / easy-rsa / vars

Bearbeiten Sie in der gleichen "+ vars " - Datei auch diese eine Zeile, die unten gezeigt wird. Der Einfachheit halber verwenden wir " server " als Schlüsselnamen. Wenn Sie einen anderen Namen verwenden möchten, müssen Sie auch die OpenVPN-Konfigurationsdateien aktualisieren, die auf " server.key " und " server.crt +" verweisen.

In der gleichen Datei geben wir unten das richtige Zertifikat an. Suchen Sie nach der Zeile direkt nach dem zuvor geänderten Block, der lautet

/ etc / openvpn / easy-rsa / vars

Ändern Sie den Standardwert von "+ KEY_NAME " von " EasyRSA " in den gewünschten Servernamen. In diesem Tutorial wird der Name "+" verwendet.

/ etc / openvpn / easy-rsa / vars

Speichern und schließen.

Als nächstes werden wir die Diffie-Hellman-Parameter mit einem integrierten OpenSSL-Tool namens "+ dhparam" generieren. das kann mehrere Minuten dauern.

Das + -out + Flag gibt an, wo die neuen Parameter gespeichert werden sollen.

Unser Zertifikat ist nun erstellt und es ist Zeit, einen Schlüssel zu erstellen.

Zuerst wechseln wir in das Verzeichnis "+ easy-rsa +".

Jetzt können wir beginnen, die Zertifizierungsstelle selbst einzurichten. Initialisieren Sie zunächst die Public Key Infrastructure (PKI).

Achten Sie auf die * Punkte (.) * Und * Leerzeichen * vor dem Befehl +. / Vars +. Dies kennzeichnet das aktuelle Arbeitsverzeichnis (Quelle).

Als Nächstes löschen wir alle anderen Schlüssel, die unsere Installation beeinträchtigen könnten.

Zuletzt erstellen wir die CA mit einem OpenSSL-Befehl. Dieser Befehl fordert Sie zur Bestätigung der zuvor eingegebenen Variablen "Distinguished Name" auf. Drücken Sie + ENTER +, um vorhandene Werte zu akzeptieren.

Drücken Sie + ENTER +, um die einzelnen Eingabeaufforderungen zu durchlaufen, da Sie deren Werte gerade in der Datei + vars + festgelegt haben.

Die Zertifizierungsstelle ist jetzt eingerichtet.

In diesem Abschnitt werden wir unseren OpenVPN-Server einrichten und starten.

Wenn Sie weiterhin mit "+ / etc / openvpn / easy-rsa " arbeiten, erstellen Sie zunächst Ihren Schlüssel mit dem Servernamen. Dies wurde früher als " KEY_NAME " in Ihrer Konfigurationsdatei angegeben. Die Standardeinstellung für dieses Tutorial ist " Server +".

Die Ausgabe fordert erneut zur Bestätigung des Distinguished Name auf. Drücken Sie + ENTER +, um definierte Standardwerte zu akzeptieren. Dieses Mal gibt es zwei zusätzliche Eingabeaufforderungen.

Beide Felder müssen leer bleiben. Drücken Sie einfach die EINGABETASTE, um die einzelnen Felder zu durchlaufen.

Zwei zusätzliche Abfragen am Ende erfordern eine positive Antwort (+ y +):

Sie werden dann aufgefordert, Folgendes anzugeben, um den Erfolg anzuzeigen.

Wir kopieren nun das Zertifikat und den Schlüssel nach "+ / etc / openvpn +", da OpenVPN in diesem Verzeichnis nach der Zertifizierungsstelle, dem Zertifikat und dem Schlüssel des Servers sucht.

Sie können überprüfen, ob die Kopie erfolgreich war mit:

Sie sollten die Zertifikat- und Schlüsseldateien für den Server sehen.

Zu diesem Zeitpunkt ist der OpenVPN-Server einsatzbereit. Starten Sie es und überprüfen Sie den Status.

Der Statusbefehl gibt etwas mit folgendem Effekt zurück:

Am wichtigsten ist, dass Sie in der obigen Ausgabe "+ Aktiv: Aktiv (beendet) seit …​ " anstelle von " Aktiv: Inaktiv (tot) seit …​ +" finden.

Ihr OpenVPN-Server ist jetzt betriebsbereit. Wenn die Statusmeldung besagt, dass das VPN nicht ausgeführt wird, überprüfen Sie die Datei "+ / var / log / syslog +" auf Fehler wie:

Dieser Fehler zeigt an, dass "+ server.key" nicht korrekt nach "+ / etc / openvpn" kopiert wurde. Kopieren Sie die Datei erneut und versuchen Sie es erneut.

Bisher haben wir den OpenVPN-Server installiert und konfiguriert, eine Zertifizierungsstelle erstellt und das eigene Zertifikat und den eigenen Schlüssel des Servers erstellt. In diesem Schritt verwenden wir die Zertifizierungsstelle des Servers, um Zertifikate und Schlüssel für jedes Clientgerät zu generieren, das eine Verbindung zum VPN herstellen soll.

Es gibt verschiedene Methoden zum Verwalten der Client-Dateien, die einfachste verwendet jedoch ein unified -Profil. Dies wird durch Ändern der Vorlagendatei "+ client.ovpn " erstellt, um die Zertifizierungsstelle des Servers sowie das Zertifikat des Clients und seinen Schlüssel einzuschließen. Nach dem Zusammenführen muss nur das einzelne " client.ovpn +" - Profil in die OpenVPN-Anwendung des Clients importiert werden.

In dem unten angegebenen Bereich müssen die drei gezeigten Zeilen auskommentiert werden, damit wir stattdessen das Zertifikat und den Schlüssel direkt in die Datei + client.ovpn + aufnehmen können. Es sollte dann so aussehen:

/etc/openvpn/easy-rsa/keys/client.ovpn

Speichern Sie die Änderungen und beenden Sie das Programm. Wir werden die Zertifikate per Code hinzufügen.

Fügen Sie zunächst die Zertifizierungsstelle hinzu.

Zweitens fügen Sie das Zertifikat hinzu.

Drittens und schließlich den Schlüssel hinzufügen.

Wir haben jetzt ein einheitliches Kundenprofil. Mit + scp + können Sie dann die Datei + client.ovpn + auf Ihr zweites System kopieren.

Verschiedene Plattformen verfügen über benutzerfreundlichere Anwendungen, um eine Verbindung zu diesem OpenVPN-Server herzustellen. Eine plattformspezifische Anleitung finden Sie in Schritt 5 unter https://www.digitalocean.com/community/tutorials/how-to-set-up-an-openvpn-server-on-ubuntu-14-04#step-5-. --installing-the-client-profile [dieses Tutorial].

Herzliche Glückwünsche! Sie haben jetzt eine funktionierende OpenVPN-Server- und -Client-Datei.

Von Ihrem OpenVPN-Client aus können Sie die Verbindung testen, indem Sie Google zum Anzeigen Ihrer öffentlichen IP verwenden. Laden Sie es auf dem Client einmal vor dem Starten der OpenVPN-Verbindung und danach. Die IP-Adresse sollte sich ändern.