Ubuntu 14.04でOpenVPNサーバーをセットアップする方法

パッケージをインストールする前に、まずUbuntuリポジトリリストを更新します。

その後、OpenVPNとEasy-RSAをインストールできます。

サンプルのVPNサーバー設定ファイルは、「+ / etc / openvpn +」に抽出する必要があるため、セットアップに組み込むことができます。 これは、1つのコマンドで実行できます。

抽出したら、テキストエディタで「+ server.conf +」を開きます。 このチュートリアルではVimを使用しますが、好みのエディターを使用できます。

このファイルにはいくつかの変更が必要です。 次のようなセクションが表示されます。

次のように `+ dh1024.pem +`を編集します：

これにより、サーバーおよびクライアントキーの生成時に使用されるRSAキーの長さが2倍になります。

まだ `+ server.conf +`で、このセクションを探してください：

`+ push" redirect-gateway def1 bypass-dhcp "+`のコメントを外して、VPNサーバーがクライアントのWebトラフィックを宛先に渡すようにします。 完了すると、次のようになります。

次に行う編集は次の領域です。

`+ push" dhcp-option DNS 208.67.222.222 "`と ` push" dhcp-option DNS 208.67.220.220 "+`のコメントを外します。 完了すると、次のようになります。

これは、可能な場合、DNS解決のために接続されたクライアントにhttps://opendns.com [OpenDNS]をプッシュするようサーバーに指示します。 これにより、DNS要求がVPN接続の外部に漏れることを防ぐことができます。 ただし、クライアントデバイスでも目的のDNSリゾルバーを指定することが重要です。 OpenDNSはOpenVPNで使用されるデフォルトですが、好みのDNSサービスを使用できます。

`+ server.conf +`で変更する最後の領域は次のとおりです。

`+ user nobody `と ` group nogroup +`の両方のコメントを外します。 完了すると、次のようになります。

デフォルトでは、OpenVPNは* root ユーザーとして実行されるため、システムへの完全なルートアクセス権があります。 代わりに、OpenVPNをユーザー nobody およびグループ nogroup *に限定します。 これは、デフォルトのログイン機能を持たない非特権ユーザーであり、多くの場合、Webに接続されたサーバーなどの信頼できないアプリケーションを実行するために予約されています。

変更を保存してVimを終了します。

これは、クライアントデバイスからインターネットにトラフィックを転送するようにサーバーのカーネルに指示する_sysctl_設定です。 それ以外の場合、トラフィックはサーバーで停止します。 次のコマンドを入力して、実行時にパケット転送を有効にします。

サーバーが再起動後もトラフィックを転送するように、これを永続的にする必要があります。

sysctlファイルの上部近くに、以下が表示されます：

`+ net.ipv4.ip_forward`のコメントを外します。 完了すると、次のようになります。

変更を保存して終了します。

ufwはiptablesのフロントエンドであり、ufwのセットアップは難しくありません。 Ubuntu 14.04にはデフォルトで含まれているため、いくつかのルールと設定を編集して、ファイアウォールをオンにするだけで済みます。 ufwのその他の用途のリファレンスとして、https：//www.digitalocean.com/community/articles/how-to-setup-a-firewall-with-ufw-on-an-ubuntu-and-debian-cloud-を参照してくださいserver [UbuntuおよびDebianクラウドサーバーでUFWを使用してファイアウォールを設定する方法]。

最初にufwを設定してSSHを許可します。 コマンドプロンプトで、 + ENTER +：

このチュートリアルではUDPを介したOpenVPNを使用するため、ufwはポート `+ 1194 +`を介したUDPトラフィックも許可する必要があります。

ufw転送ポリシーも設定する必要があります。 これはufwのプライマリ設定ファイルで行います。

`+ DEFAULT_FORWARD_POLICY =" DROP "+`を探します。 これは* DROP から ACCEPT *に変更する必要があります。 完了すると、次のようになります。

次に、接続されたクライアントのネットワークアドレス変換とIPマスカレードのための追加のufwルールを追加します。

`+ before.rules +`ファイルの先頭を以下のようにします。 * OPENVPNルール*の領域を追加する必要があります。

ufwに加えられた変更により、有効にすることができます。 コマンドプロンプトに入力します。

ufwを有効にすると、次のプロンプトが返されます。

「++」と答えます。 結果は次の出力になります。

ufwのプライマリファイアウォールルールを確認するには：

statusコマンドは次のエントリを返す必要があります。

ここで、独自の認証局（CA）をセットアップし、OpenVPNサーバーの証明書とキーを生成します。 OpenVPNは、証明書に基づく双方向認証をサポートします。つまり、相互信頼が確立される前に、クライアントはサーバー証明書を認証し、サーバーはクライアント証明書を認証する必要があります。 これを行うには、前にコピーしたEasy RSAスクリプトを使用します。

最初にEasy-RSA生成スクリプトをコピーします。

次に、キーストレージディレクトリを作成します。

Easy-RSAには、編集可能な変数ファイルがあり、個人、企業、または選択した任意のエンティティ専用の証明書を作成できます。 この情報は証明書とキーにコピーされ、後でキーを識別するのに役立ちます。

以下でマークされている変数は、好みに応じて変更する必要があります。

同じ `+ vars `ファイルで、以下に示すこの1行も編集します。 簡単にするために、キー名として「 server 」を使用します。 別の名前を使用する場合は、 ` server.key `と ` server.crt +`を参照するOpenVPN設定ファイルも更新する必要があります。

Diffie-Hellmanパラメーターを生成する必要があります。これには数分かかる場合があります。

次に、ディレクトリを変更して、手順2でEasy-RSAのスクリプトを移動した場所から直接作業できるようにします。

PKI（公開キー基盤）を初期化します。 `+。/ vars +`コマンドの前にある*ドット（。）*および*スペース*に注意してください。 これは、現在の作業ディレクトリ（ソース）を意味します。

上記のコマンドの出力を以下に示します。 `+ keys +`ディレクトリにはまだ何も生成していないので、警告は心配する必要はありません。

次に、古いキーまたはサンプルキーの作業ディレクトリをクリアして、新しいキーを使用できるようにします。

この最後のコマンドは、インタラクティブなOpenSSLコマンドを呼び出して認証局（CA）を構築します。 出力では、Easy-RSAの変数ファイルに以前に入力した識別名変数（国名、組織など）を確認するように求められます。

各プロンプトを通過するには、単に「+ ENTER +」を押します。 何かを変更する必要がある場合は、プロンプト内から変更できます。

まだ `+ / etc / openvpn / easy-rsa `で作業しているので、コマンドを入力してサーバーのキーを作成します。 赤でマークされた「+」は、ステップ2で前述したEasy-RSAの「+ vars 」ファイルで設定した「 export KEY_NAME +」変数です。

`。/ build-ca +`を実行したときと同様の出力が生成され、再度 ` ENTER +`を押して識別名の各行を確認できます。 ただし、今回は2つの追加プロンプトがあります。

両方とも空白のままにしておく必要がありますので、 `+ ENTER +`を押してそれぞれをパススルーします。

最後の2つの追加クエリには、肯定（ ++）応答が必要です。

上記の最後のプロンプトは以下で完了します：

OpenVPNは、サーバーのCA、証明書、およびキーが `+ / etc / openvpn +`にあることを期待しています。 それらを適切な場所にコピーしましょう。

次の方法でコピーが成功したことを確認できます。

サーバーの証明書とキーファイルが表示されます。

この時点で、OpenVPNサーバーは準備完了です。 起動してステータスを確認します。

statusコマンドは以下を返します。

おめでとうございます。 OpenVPNサーバーが動作しています。 ステータスメッセージにVPNが実行されていないことが示されている場合は、次のようなエラーがないか、 `+ / var / log / syslog`ファイルを確認してください。

このエラーは、「+ server.key」が「+ / etc / openvpn」に正しくコピーされなかったことを示しています。 ファイルを再コピーして、再試行してください。

VPNに接続する各クライアントが独自の一意の証明書とキーを持つことが理想的です。 これは、すべてのクライアントデバイス間で使用する1つの一般的な証明書とキーを生成するのに適しています。

_ *注意：*デフォルトでは、OpenVPNは同じ証明書とキーを使用するクライアントからサーバーへの同時接続を許可しません。 （ `+ / etc / openvpn / server.conf `の ` duplicate-cn +`を参照してください。） _

VPNに接続するデバイスごとに個別の認証資格情報を作成するには、デバイスごとにこの手順を完了する必要がありますが、以下の名前を、などの異なる名前に変更する必要があります。 必要に応じて、デバイスごとに個別の資格情報を使用して、後でサーバーで個別に非アクティブ化できます。 このチュートリアルの残りの例では、クライアントデバイスの名前の例として使用します。

サーバーのキーで行ったように、ここで例のためにキーを作成します。 あなたはまだ `+ / etc / openvpn / easy-rsa`で作業しているはずです。

もう一度、識別名変数と空白のままにする必要があるこれら2つのプロンプトを変更または確認するように求められます。 `+ ENTER +`を押してデフォルトを受け入れます。

前と同様に、ビルドプロセスの最後のこれら2つの確認には、（ ++）応答が必要です。

キーのビルドが成功した場合、出力は再び次のようになります。

サンプルのクライアント構成ファイルもEasy-RSAキーディレクトリにコピーする必要があります。 これをテンプレートとして使用し、クライアントデバイスにダウンロードして編集します。 コピープロセスでは、サンプルファイルの名前を「+ client.conf 」から「 client.ovpn 」に変更しています。これは、「。ovpn +」ファイル拡張子がクライアントが使用することを期待しているためです。

各クライアントについてこのセクションを再度繰り返して、全体を適切なクライアント名に置き換えることができます。

上記の手順から、クライアント証明書とキーを作成し、それらがOpenVPNサーバーの `+ / etc / openvpn / easy-rsa / keys +`ディレクトリに保存されていることを思い出してください。

クライアントごとに、クライアント証明書、キー、およびプロファイルテンプレートファイルをローカルコンピューターまたは別のクライアントデバイス上のフォルダーに転送する必要があります。

この例では、デバイスには次のサーバーにある証明書とキーが必要です。

`+ ca.crt `および ` client.ovpn `ファイルはすべてのクライアントで同じです。 これらの2つのファイルもダウンロードします。 ` ca.crt +`ファイルは他とは異なるディレクトリにあることに注意してください。

この転送を行うために使用される正確なアプリケーションは、選択およびデバイスのオペレーティングシステムによって異なりますが、アプリケーションでバックエンドでSFTP（SSHファイル転送プロトコル）またはSCP（セキュアコピー）を使用する必要があります。 これにより、クライアントのVPN認証ファイルが暗号化された接続を介して転送されます。

この例を使用したSCPコマンドの例を次に示します。 ファイル `+ client1.key`をローカルコンピューターの* Downloads *ディレクトリに配置します。

サーバーからローカルコンピューターにファイルを安全に転送するためのいくつかのツールとチュートリアルを次に示します。

このセクションの最後で、* client *デバイスに次の4つのファイルがあることを確認してください。

インストール中

Windows用のOpenVPNクライアントアプリケーションは、https：//openvpn.net/index.php/open-source/downloads.html [OpenVPNのダウンロードページ]にあります。 Windowsのバージョンに適したインストーラーバージョンを選択します。

_ 注意： OpenVPNをインストールするには管理者権限が必要です。 _

OpenVPNのインストール後、統合された `+ DigitalOcean.ovpn +`プロファイルを以下にコピーします。

OpenVPNを起動すると、プロファイルが自動的に表示され、使用可能になります。

OpenVPNは、管理アカウントであっても、使用するたびに管理者として実行する必要があります。 VPNを使用するたびに右クリックして[管理者として実行]を選択せず​​にこれを行うには、これを事前設定できますが、管理アカウントから実行する必要があります。 これは、標準ユーザーがOpenVPNを使用するために管理者のパスワードを入力する必要があることも意味します。 一方、標準ユーザーは、クライアントのOpenVPNに管理者権限がない限り、サーバーに適切に接続できないため、昇格した権限が必要です。

OpenVPNアプリケーションを常に管理者として実行するように設定するには、ショートカットアイコンを右クリックして、[プロパティ]に移動します。 [互換性]タブの下部にある[すべてのユーザーの設定を変更]ボタンをクリックします。 新しいウィンドウで、[このプログラムを管理者として実行する]をオンにします。

接続中

OpenVPN GUIを起動するたびに、Windowsはプログラムがコンピューターに変更を加えることを許可するかどうかを尋ねます。 [はい]をクリックします。 OpenVPNクライアントアプリケーションを起動すると、アプレットがシステムトレイに配置されるだけなので、VPNは必要に応じて接続および切断できます。実際にはVPN接続を確立しません。

OpenVPNが起動したら、システムトレイアプレットに移動し、OpenVPNアプレットアイコンを右クリックして接続を開始します。 これにより、コンテキストメニューが開きます。 メニューの上部にある[* DigitalOcean *]（これは `+ DigitalOcean.ovpn +`プロファイルです）を選択し、[接続]を選択します。

接続が確立されている間、ステータスウィンドウにログ出力が表示され、クライアントが接続されるとメッセージが表示されます。

同じ方法でVPNから切断します。システムトレイアプレットに移動し、OpenVPNアプレットアイコンを右クリックして、クライアントプロファイルを選択し、*切断*をクリックします。

インストール中

Tunnelblickは、Mac OS X用の無料のオープンソースOpenVPNクライアントです。 Tunnelblickダウンロードページから最新のディスクイメージをダウンロードできます。 ダウンロードした `+ .dmg +`ファイルをダブルクリックし、プロンプトに従ってインストールします。

インストールプロセスの最後に向かって、Tunnelblickは構成ファイルがあるかどうかを尋ねます。 *いいえ*と答えてTunnelblickを終了させる方が簡単です。 Finderウィンドウを開き、「+ DigitalOcean.ovpn +」をダブルクリックします。 Tunnelblickはクライアントプロファイルをインストールします。 管理者権限が必要です。

接続中

インストール中

iTunes App Storeから、https：//itunes.apple.com/us/app/id590379981 [OpenVPN Connect]（公式iOS OpenVPNクライアントアプリケーション）を検索してインストールします。 iOSクライアントプロファイルをデバイスに転送するには、それをコンピューターに直接接続します。

iTunesでの転送の完了については、こちらをご覧ください。 コンピューターでiTunesを開き、* iPhone > * apps *をクリックします。 [ファイル共有]セクションまで下にスクロールして、OpenVPNアプリをクリックします。 右側の空のウィンドウ OpenVPN Documents *は、ファイルを共有するためのものです。 `+ .ovpn +`ファイルをOpenVPNドキュメントウィンドウにドラッグします。

image：https：//assets.digitalocean.com/articles/openvpn_ubunutu/1.png [iPhoneにロードする準備ができているVPNプロファイルを示すiTunes]

iPhoneでOpenVPNアプリを起動します。 新しいプロファイルをインポートする準備ができたという通知があります。 緑色のプラス記号をタップしてインポートします。

image：https：//assets.digitalocean.com/articles/openvpn_ubunutu/2.png [インポート可能な新しいプロファイルを表示するOpenVPN iOSアプリ]

接続中

これで、OpenVPNを新しいプロファイルで使用する準備ができました。 * Connect ボタンを On *の位置にスライドして、接続を開始します。 同じボタンを*オフ*にスライドして切断します。

注意： *設定*の下のVPNスイッチは、VPNへの接続には使用できません。 試してみると、OpenVPNアプリを使用してのみ接続するという通知を受け取ります。

image：https：//assets.digitalocean.com/articles/openvpn_ubunutu/3.png [VPNに接続されたOpenVPN iOSアプリ]

インストール中

Google Playストアを開きます。 公式のAndroid OpenVPNクライアントアプリケーションであるhttps://play.google.com/store/apps/details?id=net.openvpn.openvpn[Android OpenVPN Connect]を検索してインストールします。

`+ .ovpn +`プロファイルを転送するには、AndroidデバイスをUSBでコンピューターに接続し、ファイルをコピーします。 または、SDカードリーダーをお持ちの場合は、デバイスのSDカードを取り外してプロファイルをコピーし、Androidデバイスにカードを挿入し直すことができます。

OpenVPNアプリを起動し、メニューをタップしてプロファイルをインポートします。

image：https：//assets.digitalocean.com/articles/openvpn_ubunutu/4.png [OpenVPN Androidアプリプロファイルインポートメニュー選択]

次に、保存されたプロファイルの場所に移動し（スクリーンショットでは `+ / sdcard / Download / +`を使用）、ファイルを選択します。 アプリは、プロファイルがインポートされたことをメモします。

image：https：//assets.digitalocean.com/articles/openvpn_ubunutu/5.png [インポートするVPNプロファイルを選択するOpenVPN Androidアプリ]

接続中

接続するには、[接続]ボタンをタップするだけです。 OpenVPNアプリケーションを信頼するかどうかを尋ねられます。 * OK *を選択して接続を開始します。 VPNから切断するには、OpenVPNアプリに戻り、*切断*を選択します。

image：https：//assets.digitalocean.com/articles/openvpn_ubunutu/6.png [VPNに接続できるOpenVPN Androidアプリ]