So richten Sie einen OpenVPN-Server unter CentOS 7 ein und konfigurieren ihn

Über ein Virtual Private Network (VPN) können Sie nicht vertrauenswürdige Netzwerke wie in einem privaten Netzwerk durchqueren. Es gibt Ihnen die Freiheit, sicher und sicher von Ihrem Smartphone oder Laptop aus auf das Internet zuzugreifen, wenn Sie mit einem nicht vertrauenswürdigen Netzwerk verbunden sind, wie z. B. dem WiFi in einem Hotel oder einem Café.

In Verbindung mit HTTPS connections können Sie mit diesem Setup Ihre drahtlosen Anmeldungen und Transaktionen sichern. Sie können geografische Beschränkungen und Zensur umgehen und Ihren Standort sowie den unverschlüsselten HTTP-Datenverkehr vor dem nicht vertrauenswürdigen Netzwerk schützen.

https://openvpn.net [OpenVPN] ist eine Open-Source-VPN-Lösung mit vollem Funktionsumfang und SSL (Secure Socket Layer), die eine Vielzahl von Konfigurationen ermöglicht. In diesem Lernprogramm richten Sie OpenVPN auf einem CentOS 7-Server ein und konfigurieren es dann so, dass von einem Client-Computer aus darauf zugegriffen werden kann.

Um diesem Tutorial zu folgen, benötigen Sie:

Mit diesen Voraussetzungen können Sie beginnen, einen OpenVPN-Server unter CentOS 7 einzurichten und zu konfigurieren.

Zunächst installieren wir OpenVPN auf dem Server. Außerdem installieren wir Easy RSA, ein Tool zur Verwaltung der Infrastruktur öffentlicher Schlüssel, mit dessen Hilfe wir eine interne Zertifizierungsstelle (CA) für die Verwendung mit unserem VPN einrichten können. Wir werden auch Easy RSA verwenden, um später unsere SSL-Schlüsselpaare zu generieren und die VPN-Verbindungen zu sichern.

Melden Sie sich als Benutzer ohne Rootberechtigung bei dem Server an, und aktualisieren Sie die Paketlisten, um sicherzustellen, dass Sie über die neuesten Versionen verfügen.

Das EPEL-Repository (Extra Packages for Enterprise Linux) ist ein zusätzliches Repository, das vom Fedora-Projekt verwaltet wird und nicht standardmäßige, aber beliebte Pakete enthält. OpenVPN ist in den CentOS-Standardrepositorys nicht verfügbar, jedoch in EPEL. Installieren Sie EPEL:

Dann aktualisieren Sie Ihre Paketlisten noch einmal:

Als nächstes installieren Sie OpenVPN und + wget +, mit denen wir Easy RSA installieren:

Laden Sie mit + wget + Easy RSA herunter. Für die Zwecke dieses Lernprogramms empfehlen wir die Verwendung von easy-rsa-2, da für diese Version mehr Dokumentation verfügbar ist. Den Download-Link für die neueste Version von easy-rsa-2 finden Sie auf der Releases-Seite des Projekts:

Als nächstes extrahieren Sie die komprimierte Datei mit + tar +:

Dadurch wird auf Ihrem Server ein neues Verzeichnis mit dem Namen "+ easy-rsa-old- " erstellt. Erstellen Sie ein neues Unterverzeichnis unter " / etc / openvpn" und nennen Sie es "+ easy-rsa":

Kopieren Sie die extrahierten Easy RSA-Dateien in das neue Verzeichnis:

Ändern Sie dann den Eigentümer des Verzeichnisses in Ihren Nicht-Root-Benutzer sudo:

Nachdem diese Programme installiert und an die richtigen Positionen auf Ihrem System verschoben wurden, müssen Sie im nächsten Schritt die serverseitige Konfiguration von OpenVPN anpassen.

Wie bei vielen anderen weit verbreiteten Open-Source-Tools stehen Ihnen Dutzende Konfigurationsoptionen zur Verfügung. In diesem Abschnitt finden Sie Anweisungen zum Einrichten einer grundlegenden OpenVPN-Serverkonfiguration.

OpenVPN hat mehrere Beispielkonfigurationsdateien in seinem Dokumentationsverzeichnis. Kopieren Sie zunächst die Beispieldatei + server.conf + als Ausgangspunkt für Ihre eigene Konfigurationsdatei.

Öffnen Sie die neue Datei zum Bearbeiten mit dem Texteditor Ihrer Wahl. In unserem Beispiel verwenden wir nano, das Sie mit dem Befehl "+ yum install nano +" herunterladen können, wenn Sie es noch nicht auf Ihrem Server haben:

In dieser Datei müssen einige Zeilen geändert werden. Die meisten müssen nur durch Entfernen des Semikolons "+; +" am Anfang der Zeile aus dem Kommentar entfernt werden. Die Funktionen dieser Zeilen und der anderen in diesem Lernprogramm nicht erwähnten Zeilen werden in den Kommentaren über den einzelnen Zeilen ausführlich erläutert.

Suchen Sie zunächst die Zeile mit "+ push" redirect-gateway def1 bypass-dhcp "+" und kommentieren Sie sie aus. Dadurch wird Ihr Client angewiesen, den gesamten Datenverkehr über Ihren OpenVPN-Server umzuleiten. Beachten Sie, dass das Aktivieren dieser Funktion zu Verbindungsproblemen mit anderen Netzwerkdiensten wie SSH führen kann:

/etc/openvpn/server.conf

Da Ihr Client die von Ihrem Internetdienstanbieter bereitgestellten Standard-DNS-Server nicht verwenden kann (da der Datenverkehr umgeleitet wird), müssen Sie ihm mitteilen, welche DNS-Server für die Verbindung mit OpenVPN verwendet werden können. Sie können verschiedene DNS-Server auswählen. Hier verwenden wir jedoch die öffentlichen DNS-Server von Google mit den IP-Adressen "+ 8.8.8.8 " und " 8.8.4.4 +".

Stellen Sie dies ein, indem Sie die beiden + Push" dhcp-Option DNS …​ "+ Zeilen auskommentieren und die IP-Adressen aktualisieren:

/etc/openvpn/server.conf

Wir möchten, dass OpenVPN nach dem Start ohne Berechtigungen ausgeführt wird. Deshalb müssen wir festlegen, dass es mit einem Benutzer und einer Gruppe von * nobody * ausgeführt werden soll. Um dies zu aktivieren, kommentieren Sie die Zeilen + user nobody + und + group nobody +:

/etc/openvpn/server.conf

Kommentieren Sie als Nächstes die Zeile "+ Topologie-Subnetz " aus. Dies konfiguriert zusammen mit der Zeile " server 10.8.0.0 255.255.255.0 " darunter Ihre OpenVPN-Installation so, dass sie als Subnetz fungiert, und teilt dem Clientcomputer mit, welche IP-Adresse er verwenden soll. In diesem Fall wird der Server zu " 10.8.0.1 " und der erste Client wird zu " 10.8.0.2 +":

/etc/openvpn/server.conf

Es wird außerdem empfohlen, der Serverkonfigurationsdatei die folgende Zeile hinzuzufügen. Dadurch wird doppelt geprüft, ob eingehende Client-Zertifikate wirklich von einem Client stammen, und die Sicherheitsparameter, die wir in späteren Schritten festlegen werden, werden gestärkt:

/etc/openvpn/server.conf

Schließlich empfiehlt OpenVPN den Benutzern nachdrücklich, die TLS-Authentifizierung zu aktivieren, ein kryptografisches Protokoll, das eine sichere Kommunikation über ein Computernetzwerk gewährleistet. Dazu müssen Sie einen statischen Verschlüsselungsschlüssel generieren (in unserem Beispiel "+ .tlsauth "), obwohl Sie einen beliebigen Namen auswählen können. Kommentieren Sie vor dem Erstellen dieses Schlüssels die Zeile in der Konfigurationsdatei, die " tls-auth ta.key 0 " enthält, indem Sie ein Semikolon voranstellen. Fügen Sie dann " tls-crypt .tlsauth +" in die Zeile darunter ein:

/etc/openvpn/server.conf

Speichern und beenden Sie die OpenVPN-Serverkonfigurationsdatei (drücken Sie in nano die Tastenkombination STRG - X +, Y + und anschließend die Tastenkombination EINGABETASTE, um dies zu tun) und generieren Sie den statischen Verschlüsselungsschlüssel mit dem folgenden Befehl:

Nachdem Ihr Server konfiguriert ist, können Sie die SSL-Schlüssel und -Zertifikate einrichten, die für eine sichere Verbindung zu Ihrer VPN-Verbindung erforderlich sind.

Easy RSA verwendet eine Reihe von Skripten, die mit dem Programm installiert werden, um Schlüssel und Zertifikate zu generieren. Um zu vermeiden, dass Sie jedes Mal neu konfigurieren, wenn Sie ein Zertifikat erstellen müssen, können Sie die Konfiguration von Easy RSA ändern, um die Standardwerte zu definieren, die für die Zertifikatfelder verwendet werden, einschließlich Ihres Landes, Ihrer Stadt und der bevorzugten E-Mail-Adresse.

Wir beginnen mit dem Generieren von Schlüsseln und Zertifikaten, indem wir ein Verzeichnis erstellen, in dem Easy RSA alle von Ihnen generierten Schlüssel und Zertifikate speichert:

Die voreingestellten Zertifikatsvariablen werden in der Datei + vars + in + / etc / openvpn / easy-rsa + festgelegt. Öffnen Sie diese Datei zum Bearbeiten:

Scrollen Sie zum Ende der Datei und ändern Sie die Werte, die mit "+ export KEY_ +" beginnen, so, dass sie Ihren Informationen entsprechen. Die wichtigsten sind:

Die anderen Variablen in dieser Datei, die Sie möglicherweise ändern möchten, sind:

Die restlichen Variablen können außerhalb bestimmter Anwendungsfälle ignoriert werden. Nachdem Sie Ihre Änderungen vorgenommen haben, sollte die Datei folgendermaßen aussehen:

/ etc / openvpn / easy-rsa / vars

Speichern und schließen Sie die Datei.

Um mit der Generierung der Schlüssel und Zertifikate zu beginnen, wechseln Sie in das Verzeichnis "+ easy-rsa " und in " source" in den neuen Variablen, die Sie in der Datei "+ vars" festgelegt haben:

Führen Sie das "+ clean-all +" - Skript von Easy RSA aus, um alle bereits im Ordner enthaltenen Schlüssel und Zertifikate zu entfernen und die Zertifizierungsstelle zu generieren:

Erstellen Sie als Nächstes die Zertifizierungsstelle mit dem Skript "+ build-ca ". Sie werden aufgefordert, Werte für die Zertifikatfelder einzugeben. Wenn Sie die Variablen jedoch zuvor in der Datei " vars " festgelegt haben, sind alle Ihre Optionen bereits als Standardeinstellungen festgelegt. Sie können ` ENTER +` drücken, um die Standardeinstellungen für jeden einzelnen zu übernehmen:

Dieses Skript generiert eine Datei mit dem Namen "+ ca.key ". Dies ist der private Schlüssel, mit dem Sie die Zertifikate Ihres Servers und Ihrer Clients signieren. Wenn es verloren geht, können Sie Zertifikaten dieser Zertifizierungsstelle nicht mehr vertrauen. Wenn jemand auf diese Datei zugreifen kann, kann er neue Zertifikate signieren und ohne Ihr Wissen auf Ihr VPN zugreifen. Aus diesem Grund empfiehlt OpenVPN, ` ca.key +` an einem Ort zu speichern, der so weit wie möglich offline sein kann, und sollte nur beim Erstellen neuer Zertifikate aktiviert werden.

Als nächstes erstellen Sie einen Schlüssel und ein Zertifikat für den Server mit dem Skript + build-key-server +:

Wie beim Erstellen der Zertifizierungsstelle werden die von Ihnen als Standard festgelegten Werte angezeigt, sodass Sie bei diesen Eingabeaufforderungen die Tastenkombination "+ ENTER " drücken können. Außerdem werden Sie aufgefordert, ein Kennwort für die Sicherheitsabfrage und einen optionalen Firmennamen einzugeben. Wenn Sie ein Abfragekennwort eingeben, werden Sie beim Herstellen einer VPN-Verbindung von Ihrem Client dazu aufgefordert. Wenn Sie kein Passwort für die Sicherheitsabfrage festlegen möchten, lassen Sie diese Zeile leer und drücken Sie " ENTER ". Geben Sie am Ende " Y +" ein, um die Änderungen zu übernehmen.

Der letzte Teil der Erstellung der Serverschlüssel und Zertifikate besteht in der Generierung einer Diffie-Hellman-Schlüsselaustauschdatei. Verwenden Sie dazu das Skript + build-dh +:

Dies kann einige Minuten dauern.

Wenn Ihr Server die Schlüsselaustauschdatei erstellt hat, kopieren Sie die Serverschlüssel und Zertifikate aus dem Verzeichnis + keys + in das Verzeichnis + openvpn +:

Jeder Client benötigt auch ein Zertifikat, damit sich der OpenVPN-Server authentifizieren kann. Diese Schlüssel und Zertifikate werden auf dem Server erstellt und müssen dann auf Ihre Clients kopiert werden, was wir in einem späteren Schritt tun werden. Es wird empfohlen, dass Sie für jeden Client, den Sie mit Ihrem VPN verbinden möchten, separate Schlüssel und Zertifikate generieren.

Da wir hier nur einen Client einrichten, haben wir ihn "+ client +" genannt. Sie können ihn jedoch in einen aussagekräftigeren Namen ändern, wenn Sie möchten:

Kopieren Sie abschließend die versionierte OpenSSL-Konfigurationsdatei "+ openssl-1.0.0.cnf " in einen versionslosen Namen " openssl.cnf +". Andernfalls kann ein Fehler auftreten, bei dem OpenSSL die Konfiguration nicht laden kann, da die Version nicht erkannt wird:

Nachdem alle erforderlichen Schlüssel und Zertifikate für Ihren Server und Ihren Client generiert wurden, können Sie mit dem Einrichten des Routings zwischen den beiden Computern fortfahren.

Bisher haben Sie OpenVPN auf Ihrem Server installiert, konfiguriert und die Schlüssel und Zertifikate generiert, die Ihr Client für den Zugriff auf das VPN benötigt. Sie haben OpenVPN jedoch noch keine Anweisungen zum Senden des eingehenden Webdatenverkehrs von Clients bereitgestellt. Sie können festlegen, wie der Server mit dem Client-Datenverkehr umgehen soll, indem Sie einige Firewall-Regeln und Routing-Konfigurationen festlegen.

Vorausgesetzt, Sie haben die Voraussetzungen zu Beginn dieses Lernprogramms erfüllt, sollte auf Ihrem Server bereits eine Firewall installiert sein und ausgeführt werden. Um OpenVPN durch die Firewall zuzulassen, müssen Sie Ihre aktive Firewall-Zone kennen. Finden Sie dies mit dem folgenden Befehl:

Fügen Sie als Nächstes den Dienst "+ openvpn " zur Liste der Dienste hinzu, die von firewalld in Ihrer aktiven Zone zugelassen werden, und machen Sie diese Einstellung dauerhaft, indem Sie den Befehl erneut ausführen, wobei die Option " - permanent +" hinzugefügt wird:

Mit dem folgenden Befehl können Sie überprüfen, ob der Dienst korrekt hinzugefügt wurde:

Fügen Sie als Nächstes der aktuellen Laufzeitinstanz eine Maskerade hinzu und fügen Sie sie dann mit der Option "+ - permanent +" erneut hinzu, um die Maskerade allen zukünftigen Instanzen hinzuzufügen:

Mit diesem Befehl können Sie überprüfen, ob die Maskerade korrekt hinzugefügt wurde:

Weiterleiten Sie das Routing an Ihr OpenVPN-Subnetz. Sie können dies tun, indem Sie zunächst eine Variable erstellen (in unserem Beispiel "++"), die die von Ihrem Server verwendete primäre Netzwerkschnittstelle darstellt, und dann mit dieser Variablen die Routing-Regel dauerhaft hinzufügen:

Stellen Sie sicher, dass Sie diese Änderungen an Ihren Firewall-Regeln implementieren, indem Sie firewalld neu laden:

Aktivieren Sie als Nächstes die IP-Weiterleitung. Dadurch wird der gesamte Webdatenverkehr von Ihrem Client an die IP-Adresse Ihres Servers weitergeleitet, und die öffentliche IP-Adresse Ihres Clients wird effektiv ausgeblendet.

Öffne + sysctl.conf + zum Bearbeiten:

Fügen Sie dann die folgende Zeile oben in die Datei ein:

/etc/sysctl.conf

Starten Sie abschließend den Netzwerkdienst neu, damit die IP-Weiterleitung wirksam wird:

Mit den vorhandenen Routing- und Firewall-Regeln können wir den OpenVPN-Dienst auf dem Server starten.

OpenVPN wird als Systemdienst mit + systemctl + verwaltet. Wir werden OpenVPN so konfigurieren, dass es beim Booten gestartet wird, so dass Sie jederzeit eine Verbindung zu Ihrem VPN herstellen können, solange Ihr Server läuft. Aktivieren Sie dazu den OpenVPN-Server, indem Sie ihn zu "+ systemctl +" hinzufügen:

Starten Sie dann den OpenVPN-Dienst:

Überprüfen Sie mit dem folgenden Befehl, ob der OpenVPN-Dienst aktiv ist. Sie sollten "+ active (running) +" in der Ausgabe sehen:

Wir haben jetzt die serverseitige Konfiguration für OpenVPN abgeschlossen. Als Nächstes konfigurieren Sie Ihren Client-Computer und stellen eine Verbindung zum OpenVPN-Server her.

Unabhängig vom Betriebssystem Ihres Client-Computers ist eine lokal gespeicherte Kopie des CA-Zertifikats und des in Schritt 3 generierten Client-Schlüssels und -Zertifikats sowie des statischen Verschlüsselungsschlüssels erforderlich, den Sie am Ende von Schritt 2 generiert haben.

Suchen Sie die folgenden Dateien * auf Ihrem Server *. Wenn Sie mehrere Client-Schlüssel mit eindeutigen, beschreibenden Namen generiert haben, unterscheiden sich die Namen der Schlüssel und Zertifikate. In diesem Artikel haben wir ++ verwendet.

Kopieren Sie diese Dateien auf Ihren * Client-Rechner *. Sie können SFTP oder Ihre bevorzugte Methode verwenden. Sie können die Dateien auch einfach in Ihrem Texteditor öffnen und den Inhalt kopieren und in neue Dateien auf Ihrem Client-Computer einfügen. Unabhängig davon, welche Methode Sie verwenden, notieren Sie sich, wo Sie diese Dateien speichern.

Erstellen Sie als Nächstes eine Datei mit dem Namen "+ client.ovpn +" * auf Ihrem Client-Computer *. Dies ist eine Konfigurationsdatei für einen OpenVPN-Client, in der erklärt wird, wie eine Verbindung zum Server hergestellt wird:

Fügen Sie dann die folgenden Zeilen zu + client.ovpn + hinzu. Beachten Sie, dass viele dieser Zeilen die Zeilen wiedergeben, die wir nicht kommentiert oder der Datei "+ server.conf +" hinzugefügt haben oder die standardmäßig bereits enthalten sind:

client.ovpn

Beachten Sie beim Hinzufügen dieser Zeilen Folgendes:

Diese Datei kann nun von jedem OpenVPN-Client verwendet werden, um eine Verbindung zu Ihrem Server herzustellen. Im Folgenden finden Sie betriebssystemspezifische Anweisungen zum Herstellen einer Verbindung mit Ihrem Client:

Unter Windows benötigen Sie die offiziellen OpenVPN Community Edition-Binärdateien, die mit einer GUI geliefert werden. Legen Sie Ihre "+ .ovpn " - Konfigurationsdatei in das richtige Verzeichnis " C: \ Programme \ OpenVPN \ config +" und klicken Sie in der GUI auf "Verbinden". OpenVPN GUI unter Windows muss mit Administratorrechten ausgeführt werden.

Mac OS:

Unter macOS bietet die Open Source-Anwendung Tunnelblick eine Oberfläche ähnlich der OpenVPN-Benutzeroberfläche unter Windows und wird mit OpenVPN und den erforderlichen TUN / TAP-Treibern geliefert. Wie bei Windows müssen Sie nur die Konfigurationsdatei "+ .ovpn " in das Verzeichnis " ~ / Library / Application Support / Tunnelblick / Configurations " kopieren. Alternativ können Sie auch auf Ihre " .ovpn +" - Datei doppelklicken.

Unter Linux sollten Sie OpenVPN von den offiziellen Repositorys Ihrer Distribution installieren. Sie können OpenVPN dann aufrufen, indem Sie Folgendes ausführen:

Nachdem Sie eine erfolgreiche Client-Verbindung hergestellt haben, können Sie überprüfen, ob Ihr Datenverkehr über das VPN geleitet wird, indem Sie Überprüfen, ob Google Ihre öffentliche IP-Adresse anzeigt .