قم بإعداد شبكتك الخاصة مع OpenVPN

• آلة 1
• آلة 2

يوفر لك Vultr اتصال شبكة خاص رائع للخوادم التي تعمل في نفس الموقع. ولكن في بعض الأحيان تريد أن يكون خادمان في بلدان / مراكز بيانات مختلفة قادرين على التواصل بطريقة خاصة وآمنة. سيوضح لك هذا البرنامج التعليمي كيفية تحقيق ذلك بمساعدة OpenVPN. أنظمة التشغيل المستخدمة هنا هي Debian و CentOS ، فقط لتظهر لك تكوينين مختلفين. يمكن تكييف هذا بسهولة مع Debian -> Debian ، Ubuntu -> FreeBSD وما إلى ذلك.

• الجهاز 1: سيعمل دبيان كخادم (الموقع: NL)
• الجهاز 2: CentOS ، سيعمل كعميل (الموقع: FR)

آلة 1

ابدأ على الجهاز 1 عن طريق تثبيت OpenVPN:

apt-get install openvpn

ثم انسخ مثال التكوين وأداة توليد المفاتيح easy-rsaإلى /etc/openvpn:

cp -r /usr/share/doc/openvpn/examples/easy-rsa/ /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn

لم تعد القيم الافتراضية لمفاتيحك آمنة تمامًا بعد الآن ، لإصلاح هذا الفتح /etc/openvpn/easy-rsa/2.0/varsباستخدام محرر النصوص المفضل لديك وتعديل السطر التالي:

export KEY_SIZE=4096

بعد ذلك ، تأكد من تحميل القيم في جلستك الحالية ، وقم بتنظيف المفاتيح الموجودة في النهاية ، وقم بإنشاء المرجع المصدق:

cd /etc/openvpn/easy-rsa/2.0
source ./vars
./clean-all
./build-ca

ستتم مطالبتك بالمعلومات. اجعل حياتك أسهل من خلال توفير معلومات حول الخادم الخاص بك ، على سبيل المثال ، أين يقع وما هو / سيكون FQDN. هذا مفيد عندما يكون عليك تصحيح المشاكل:

Country Name (2 letter code) [US]:NL
State or Province Name (full name) [CA]:-
Locality Name (eg, city) [SanFrancisco]:Vultr Datacenter NL
Organization Name (eg, company) [Fort-Funston]:-
Organizational Unit Name (eg, section) [changeme]:-
Common Name (eg, your name or your server's hostname) [changeme]:yourserver1.yourdomain.tld
Name [changeme]:-
Email Address [[email protected]]:[email protected]

ضرورة أخرى هي معلمات لتبادل مفاتيح ديفي-هيلمان. يجب إنشاء هذه أيضًا:

./build-dh

هام : يعد build-dhالأمر عملية معقدة نسبيًا يمكن أن تستغرق ما يصل إلى عشر دقائق ، اعتمادًا على موارد الخادم الخاص بك.

لزيادة تحسين أمان هذا الاتصال ، سننشئ سرًا ثابتًا يجب توزيعه بين جميع العملاء:

mkdir /etc/openvpn/keys
openvpn --genkey --secret /etc/openvpn/keys/ta.key

الآن ، يمكنك إنشاء المفتاح للخادم:

./build-key-server server1

سيطالبك هذا الأمر ببعض المعلومات:

Country Name (2 letter code) [US]:NL
State or Province Name (full name) [CA]:-
Locality Name (eg, city) [SanFrancisco]:Vultr Datacenter NL
Organization Name (eg, company) [Fort-Funston]:-
Organizational Unit Name (eg, section) [changeme]:-
Common Name (eg, your name or your server's hostname) [server1]:yourserver1.yourdomain.tld
Name [changeme]:-
Email Address [[email protected]]:[email protected]

الخطوة الأخيرة هي توقيع طلب الشهادة الذي تم إنشاؤه للتو بمفتاح المرجع المصدق:

1 out of 1 certificate requests certified, commit? [y/n]y

انسخ المفاتيح والشهادات الضرورية في مجلد منفصل:

cd /etc/openvpn/easy-rsa/2.0/keys
cp dh4096.pem ca.crt server1.crt server1.key /etc/openvpn/keys/
chmod 700 /etc/openvpn/keys
chmod 600 /etc/openvpn/keys/*

الآن للتكوين ، قم بفك ضغطه ...

cd /etc/openvpn
gunzip server.conf.gz

... وافتح النتيجة server.confباستخدام محرر النصوص المفضل لديك. يجب أن يبدو التكوين مشابهًا لما يلي:

port 1194
proto udp
dev tun

ca keys/ca.crt
cert keys/server1.crt
key keys/server1.key 
dh keys/dh4096.pem
server 10.8.100.0 255.255.255.0
ifconfig-pool-persist ipp.txt

# Uncomment this if you have multiple clients
# and want them to be able to see each other
;client-to-client

keepalive 10 120
tls-auth keys/ta.key 0 

tls-cipher DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-CAMELLIA256-SHA:DHE-RSA-AES256-SHA:DHE-RSA-CAMELLIA128-SHA:DHE-RSA-AES128-SHA:CAMELLIA256-SHA:AES256-SHA:CAMELLIA128-SHA:AES128-SHA
cipher AES-256-CBC
auth SHA384
comp-lzo

user nobody
group nogroup

persist-key
persist-tun
verb 3
mute 20

بعد إعادة تشغيل الخدمة يجب أن تشاهد السجل الخاص بك قليلا ...

service openvpn restart && tail -f /var/log/syslog

... للتأكد من أن كل شيء يعمل. إذا لم يتم اكتشاف أي أخطاء ، فيمكنك إنشاء مفاتيح الخادم الثاني الخاص بك:

cd /etc/openvpn/easy-rsa/2.0
source ./vars
./build-key server2

مرة أخرى ، ستتم مطالبتك بالمعلومات:

Country Name (2 letter code) [US]:FR
State or Province Name (full name) [CA]:-
Locality Name (eg, city) [SanFrancisco]:Vultr Datacenter FR
Organization Name (eg, company) [Fort-Funston]:-
Organizational Unit Name (eg, section) [changeme]:-
Common Name (eg, your name or your server's hostname) 
[server2]:yourserver2.yourdomain.tld
Name [changeme]:-
Email Address [[email protected]]:[email protected]

الآن ، تحتاج إلى نقل الملفات الضرورية إلى خادمك الثاني ، ويفضل تشفيرها:

cd /etc/openvpn/easy-rsa/2.0/keys
cp /etc/openvpn/keys/ta.key .
tar -cf vpn.tar ca.crt server2.crt server2.key ta.key
scp vpn.tar yourusername@server2:~/
rm vpn.tar

آلة 2

حان الوقت للتبديل إلى اتصال SSH الخاص بخادمك الثاني . الخطوة الأولى هي تثبيت OpenVPN ...

yum install openvpn

... وتعطيله firewalld. سيكون البديل iptables عادي.

systemctl stop firewalld
systemctl disable firewalld

قم بفك ضغط الأرشيف الذي قمت بنقله للتو إلى الخادم وتعيين الأذونات على الملفات بشكل صحيح:

cd /etc/openvpn
mkdir keys
chmod 700 keys
cd keys
tar -xf ~/vpn.tar -C .
chmod 600 *

إنشاء /etc/openvpn/client.confباستخدام محرر النصوص المفضل لديك. يجب أن تبدو هذه:

client
dev tun
proto udp

remote yourserver yourport
resolv-retry infinite
nobind
user nobody
group openvpn


persist-key
persist-tun

ca keys/ca.crt
cert keys/server2.crt
key keys/.key

ns-cert-type server
tls-auth keys/ta.key 1

tls-cipher DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-CAMELLIA256-SHA:DHE-RSA-AES256-SHA:DHE-RSA-CAMELLIA128-SHA:DHE-RSA-AES128-SHA:CAMELLIA256-SHA:AES256-SHA:CAMELLIA128-SHA:AES128-SHA
cipher AES-256-CBC
auth SHA384

remote-cert-tls server

comp-lzo
verb 3
mute 20

الخطوة الأخيرة هي بدء الخدمة وتمكينها:

systemctl start [email protected]
systemctl enable [email protected]

إذا كان كل شيء يعمل ، فلن تواجه مشكلة في تنفيذ الأمر ping على الخادم الأول:

PING 10.8.100.1 (10.8.100.1) 56(84) bytes of data.
64 bytes from 10.8.100.1: icmp_seq=1 ttl=64 time=17.8 ms
64 bytes from 10.8.100.1: icmp_seq=2 ttl=64 time=17.9 ms
64 bytes from 10.8.100.1: icmp_seq=3 ttl=64 time=17.8 ms

لديك الآن اتصال خاص عبر الإنترنت!

إذا كنت بحاجة إلى استكشاف أي أخطاء وإصلاحها ، فحاول التحقق من السجلات باستخدام الأمر التالي:

journalctl -xn