Atur Jaringan Pribadi Anda Sendiri Dengan OpenVPN

• Mesin 1
• Mesin 2

Vultr menawarkan kepada Anda konektivitas jaringan pribadi yang luar biasa untuk server yang berjalan di lokasi yang sama. Tetapi kadang-kadang Anda ingin dua server di berbagai negara / pusat data untuk dapat berkomunikasi secara pribadi dan aman. Tutorial ini akan menunjukkan kepada Anda bagaimana mencapainya dengan bantuan OpenVPN. Sistem operasi yang digunakan di sini adalah Debian dan CentOS, hanya untuk menunjukkan kepada Anda dua konfigurasi yang berbeda. Ini dapat dengan mudah diadaptasi untuk Debian -> Debian, Ubuntu -> FreeBSD dan sebagainya.

• Mesin 1: Debian, akan bertindak sebagai server (Lokasi: NL)
• Mesin 2: CentOS, akan bertindak sebagai klien (Lokasi: FR)

Mesin 1

Mulai dengan mesin 1 dengan menginstal OpenVPN:

apt-get install openvpn

Kemudian, salin contoh konfigurasi dan alat untuk menghasilkan kunci easy-rsa,, ke /etc/openvpn:

cp -r /usr/share/doc/openvpn/examples/easy-rsa/ /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn

Nilai default untuk kunci Anda tidak lagi aman, untuk memperbaikinya /etc/openvpn/easy-rsa/2.0/varsdengan editor teks favorit Anda dan ubah baris berikut:

export KEY_SIZE=4096

Selanjutnya, pastikan bahwa nilai-nilai tersebut dimuat ke dalam sesi Anda saat ini, bersihkan kunci yang pada akhirnya ada, dan hasilkan otoritas sertifikat Anda:

cd /etc/openvpn/easy-rsa/2.0
source ./vars
./clean-all
./build-ca

Anda akan dimintai informasi. Jadikan hidup Anda lebih mudah dengan memberikan informasi tentang server Anda, misalnya, di mana ia berada dan apa FQDN itu / akan. Ini berguna ketika Anda harus men-debug masalah:

Country Name (2 letter code) [US]:NL
State or Province Name (full name) [CA]:-
Locality Name (eg, city) [SanFrancisco]:Vultr Datacenter NL
Organization Name (eg, company) [Fort-Funston]:-
Organizational Unit Name (eg, section) [changeme]:-
Common Name (eg, your name or your server's hostname) [changeme]:yourserver1.yourdomain.tld
Name [changeme]:-
Email Address [[email protected]]:[email protected]

Kebutuhan lain adalah parameter untuk pertukaran kunci Diffie-Hellman. Itu perlu dihasilkan juga:

./build-dh

Penting : build-dhPerintah ini adalah proses yang relatif kompleks yang dapat memakan waktu hingga sepuluh menit, tergantung pada sumber daya server Anda.

Untuk lebih meningkatkan keamanan koneksi ini, kami akan menghasilkan rahasia statis yang perlu didistribusikan di antara semua klien:

mkdir /etc/openvpn/keys
openvpn --genkey --secret /etc/openvpn/keys/ta.key

Sekarang, Anda dapat membuat kunci untuk server:

./build-key-server server1

Perintah ini akan meminta beberapa informasi:

Country Name (2 letter code) [US]:NL
State or Province Name (full name) [CA]:-
Locality Name (eg, city) [SanFrancisco]:Vultr Datacenter NL
Organization Name (eg, company) [Fort-Funston]:-
Organizational Unit Name (eg, section) [changeme]:-
Common Name (eg, your name or your server's hostname) [server1]:yourserver1.yourdomain.tld
Name [changeme]:-
Email Address [[email protected]]:[email protected]

Langkah terakhir adalah menandatangani permintaan sertifikat yang baru saja dibuat dengan kunci CA:

1 out of 1 certificate requests certified, commit? [y/n]y

Salin kunci dan sertifikat yang diperlukan ke folder terpisah:

cd /etc/openvpn/easy-rsa/2.0/keys
cp dh4096.pem ca.crt server1.crt server1.key /etc/openvpn/keys/
chmod 700 /etc/openvpn/keys
chmod 600 /etc/openvpn/keys/*

Sekarang untuk konfigurasi, unzip ...

cd /etc/openvpn
gunzip server.conf.gz

... dan buka hasilnya server.confdengan editor teks favorit Anda. Konfigurasi akan terlihat seperti ini:

port 1194
proto udp
dev tun

ca keys/ca.crt
cert keys/server1.crt
key keys/server1.key 
dh keys/dh4096.pem
server 10.8.100.0 255.255.255.0
ifconfig-pool-persist ipp.txt

# Uncomment this if you have multiple clients
# and want them to be able to see each other
;client-to-client

keepalive 10 120
tls-auth keys/ta.key 0 

tls-cipher DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-CAMELLIA256-SHA:DHE-RSA-AES256-SHA:DHE-RSA-CAMELLIA128-SHA:DHE-RSA-AES128-SHA:CAMELLIA256-SHA:AES256-SHA:CAMELLIA128-SHA:AES128-SHA
cipher AES-256-CBC
auth SHA384
comp-lzo

user nobody
group nogroup

persist-key
persist-tun
verb 3
mute 20

Setelah memulai kembali layanan, Anda harus sedikit memperhatikan log Anda ...

service openvpn restart && tail -f /var/log/syslog

... untuk memastikan semuanya berfungsi. Jika tidak ada kesalahan yang terdeteksi, maka Anda dapat membuat kunci untuk server kedua Anda:

cd /etc/openvpn/easy-rsa/2.0
source ./vars
./build-key server2

Sekali lagi, Anda akan dimintai informasi:

Country Name (2 letter code) [US]:FR
State or Province Name (full name) [CA]:-
Locality Name (eg, city) [SanFrancisco]:Vultr Datacenter FR
Organization Name (eg, company) [Fort-Funston]:-
Organizational Unit Name (eg, section) [changeme]:-
Common Name (eg, your name or your server's hostname) 
[server2]:yourserver2.yourdomain.tld
Name [changeme]:-
Email Address [[email protected]]:[email protected]

Sekarang, Anda perlu mentransfer file yang diperlukan ke server kedua Anda, sebaiknya dienkripsi:

cd /etc/openvpn/easy-rsa/2.0/keys
cp /etc/openvpn/keys/ta.key .
tar -cf vpn.tar ca.crt server2.crt server2.key ta.key
scp vpn.tar yourusername@server2:~/
rm vpn.tar

Mesin 2

Saatnya untuk beralih ke koneksi SSH dari server kedua Anda . Langkah pertama adalah menginstal OpenVPN ...

yum install openvpn

... dan untuk menonaktifkan firewalld. Pengganti akan iptables polos.

systemctl stop firewalld
systemctl disable firewalld

Buka paket arsip yang baru saja Anda pindah ke server dan setel izin yang benar pada file:

cd /etc/openvpn
mkdir keys
chmod 700 keys
cd keys
tar -xf ~/vpn.tar -C .
chmod 600 *

Buat /etc/openvpn/client.confdengan editor teks favorit Anda. Seharusnya terlihat seperti ini:

client
dev tun
proto udp

remote yourserver yourport
resolv-retry infinite
nobind
user nobody
group openvpn


persist-key
persist-tun

ca keys/ca.crt
cert keys/server2.crt
key keys/.key

ns-cert-type server
tls-auth keys/ta.key 1

tls-cipher DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-CAMELLIA256-SHA:DHE-RSA-AES256-SHA:DHE-RSA-CAMELLIA128-SHA:DHE-RSA-AES128-SHA:CAMELLIA256-SHA:AES256-SHA:CAMELLIA128-SHA:AES128-SHA
cipher AES-256-CBC
auth SHA384

remote-cert-tls server

comp-lzo
verb 3
mute 20

Langkah terakhir adalah memulai dan mengaktifkan layanan:

systemctl start [email protected]
systemctl enable [email protected]

Jika semuanya berfungsi, maka Anda seharusnya tidak memiliki masalah ping server pertama:

PING 10.8.100.1 (10.8.100.1) 56(84) bytes of data.
64 bytes from 10.8.100.1: icmp_seq=1 ttl=64 time=17.8 ms
64 bytes from 10.8.100.1: icmp_seq=2 ttl=64 time=17.9 ms
64 bytes from 10.8.100.1: icmp_seq=3 ttl=64 time=17.8 ms

Anda sekarang memiliki koneksi pribadi melalui Internet!

Jika Anda perlu memecahkan masalah kesalahan, coba periksa log dengan perintah berikut:

journalctl -xn