OpenVPN으로 개인 네트워크 설정

• 기계 1
• 기계 2

Vultr은 동일한 위치에서 실행되는 서버를위한 뛰어난 개인 네트워크 연결을 제공합니다. 그러나 때로는 다른 국가 / 데이터 센터에있는 두 대의 서버가 개인 및 보안 방식으로 통신 할 수 있기를 원합니다. 이 튜토리얼은 OpenVPN의 도움으로이를 달성하는 방법을 보여줍니다. 여기에 사용 된 운영 체제는 데비안과 CentOS이며 두 가지 다른 구성을 보여줍니다. 이것은 데비안-> 데비안, 우분투-> FreeBSD 등에 쉽게 적용 할 수 있습니다.

• 머신 1 : 데비안, 서버 역할을합니다 (위치 : NL)
• 머신 2 : CentOS, 클라이언트 역할 (위치 : FR)

기계 1

OpenVPN을 설치하여 시스템 1에서 시작하십시오.

apt-get install openvpn

그리고, 예를 구성 및 키 생성 도구를 복사 easy-rsa에 /etc/openvpn:

cp -r /usr/share/doc/openvpn/examples/easy-rsa/ /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn

/etc/openvpn/easy-rsa/2.0/vars선호하는 텍스트 편집기 로이 문제를 해결 하고 다음 줄 을 수정하기 위해 키의 기본값은 더 이상 안전하지 않습니다 .

export KEY_SIZE=4096

다음으로, 값이 현재 세션에로드되고 기존 키를 정리하고 인증 기관을 생성하십시오.

cd /etc/openvpn/easy-rsa/2.0
source ./vars
./clean-all
./build-ca

정보를 묻는 메시지가 나타납니다. 예를 들어 서버의 위치와 FQDN의 위치 및 위치 등 서버에 대한 정보를 제공하여보다 쉽게 ​​생활하십시오. 문제를 디버깅해야 할 때 유용합니다.

Country Name (2 letter code) [US]:NL
State or Province Name (full name) [CA]:-
Locality Name (eg, city) [SanFrancisco]:Vultr Datacenter NL
Organization Name (eg, company) [Fort-Funston]:-
Organizational Unit Name (eg, section) [changeme]:-
Common Name (eg, your name or your server's hostname) [changeme]:yourserver1.yourdomain.tld
Name [changeme]:-
Email Address [[email protected]]:[email protected]

또 다른 필요성은 Diffie-Hellman 키 교환에 대한 매개 변수입니다. 그것들도 생성되어야합니다 :

./build-dh

중요 :이 build-dh명령은 서버 자원에 따라 최대 10 분이 소요될 수있는 비교적 복잡한 프로세스입니다.

이 연결의 보안을 더욱 향상시키기 위해 모든 클라이언트에 배포해야하는 정적 비밀을 생성합니다.

mkdir /etc/openvpn/keys
openvpn --genkey --secret /etc/openvpn/keys/ta.key

이제 서버의 키를 생성 할 수 있습니다.

./build-key-server server1

이 명령은 몇 가지 정보를 요구합니다.

Country Name (2 letter code) [US]:NL
State or Province Name (full name) [CA]:-
Locality Name (eg, city) [SanFrancisco]:Vultr Datacenter NL
Organization Name (eg, company) [Fort-Funston]:-
Organizational Unit Name (eg, section) [changeme]:-
Common Name (eg, your name or your server's hostname) [server1]:yourserver1.yourdomain.tld
Name [changeme]:-
Email Address [[email protected]]:[email protected]

마지막 단계는 CA 키로 방금 생성 된 인증서 요청에 서명하는 것입니다.

1 out of 1 certificate requests certified, commit? [y/n]y

필요한 키와 인증서를 별도의 폴더에 복사하십시오.

cd /etc/openvpn/easy-rsa/2.0/keys
cp dh4096.pem ca.crt server1.crt server1.key /etc/openvpn/keys/
chmod 700 /etc/openvpn/keys
chmod 600 /etc/openvpn/keys/*

이제 구성을 위해 압축을 풉니 다 ...

cd /etc/openvpn
gunzip server.conf.gz

... server.conf좋아하는 텍스트 편집기로 결과 를 엽니 다 . 구성은 다음과 유사해야합니다.

port 1194
proto udp
dev tun

ca keys/ca.crt
cert keys/server1.crt
key keys/server1.key 
dh keys/dh4096.pem
server 10.8.100.0 255.255.255.0
ifconfig-pool-persist ipp.txt

# Uncomment this if you have multiple clients
# and want them to be able to see each other
;client-to-client

keepalive 10 120
tls-auth keys/ta.key 0 

tls-cipher DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-CAMELLIA256-SHA:DHE-RSA-AES256-SHA:DHE-RSA-CAMELLIA128-SHA:DHE-RSA-AES128-SHA:CAMELLIA256-SHA:AES256-SHA:CAMELLIA128-SHA:AES128-SHA
cipher AES-256-CBC
auth SHA384
comp-lzo

user nobody
group nogroup

persist-key
persist-tun
verb 3
mute 20

서비스를 다시 시작한 후 로그를 조금 봐야합니다 ...

service openvpn restart && tail -f /var/log/syslog

... 모든 것이 작동하는지 확인하십시오. 오류가 발견되지 않으면 두 번째 서버의 키를 생성 할 수 있습니다.

cd /etc/openvpn/easy-rsa/2.0
source ./vars
./build-key server2

다시 한 번 정보를 묻는 메시지가 나타납니다.

Country Name (2 letter code) [US]:FR
State or Province Name (full name) [CA]:-
Locality Name (eg, city) [SanFrancisco]:Vultr Datacenter FR
Organization Name (eg, company) [Fort-Funston]:-
Organizational Unit Name (eg, section) [changeme]:-
Common Name (eg, your name or your server's hostname) 
[server2]:yourserver2.yourdomain.tld
Name [changeme]:-
Email Address [[email protected]]:[email protected]

이제 필요한 파일을 두 번째 서버로 전송해야합니다.

cd /etc/openvpn/easy-rsa/2.0/keys
cp /etc/openvpn/keys/ta.key .
tar -cf vpn.tar ca.crt server2.crt server2.key ta.key
scp vpn.tar yourusername@server2:~/
rm vpn.tar

기계 2

두 번째 서버 의 SSH 연결로 전환 할 시간 입니다. 첫 단계는 OpenVPN을 설치하는 것입니다 ...

yum install openvpn

... 및 비활성화 firewalld합니다. 교체는 일반 iptables입니다.

systemctl stop firewalld
systemctl disable firewalld

방금 서버로 옮긴 아카이브를 풀고 파일에 대한 권한을 올바르게 설정하십시오.

cd /etc/openvpn
mkdir keys
chmod 700 keys
cd keys
tar -xf ~/vpn.tar -C .
chmod 600 *

/etc/openvpn/client.conf좋아하는 텍스트 편집기로 작성하십시오 . 다음과 같아야합니다.

client
dev tun
proto udp

remote yourserver yourport
resolv-retry infinite
nobind
user nobody
group openvpn


persist-key
persist-tun

ca keys/ca.crt
cert keys/server2.crt
key keys/.key

ns-cert-type server
tls-auth keys/ta.key 1

tls-cipher DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-CAMELLIA256-SHA:DHE-RSA-AES256-SHA:DHE-RSA-CAMELLIA128-SHA:DHE-RSA-AES128-SHA:CAMELLIA256-SHA:AES256-SHA:CAMELLIA128-SHA:AES128-SHA
cipher AES-256-CBC
auth SHA384

remote-cert-tls server

comp-lzo
verb 3
mute 20

마지막 단계는 서비스를 시작하고 활성화하는 것입니다.

systemctl start [email protected]
systemctl enable [email protected]

모든 것이 작동하면 첫 번째 서버를 ping하는 데 아무런 문제가 없습니다.

PING 10.8.100.1 (10.8.100.1) 56(84) bytes of data.
64 bytes from 10.8.100.1: icmp_seq=1 ttl=64 time=17.8 ms
64 bytes from 10.8.100.1: icmp_seq=2 ttl=64 time=17.9 ms
64 bytes from 10.8.100.1: icmp_seq=3 ttl=64 time=17.8 ms

인터넷을 통한 개인 연결이 완료되었습니다!

오류를 해결해야하는 경우 다음 명령으로 로그를 확인하십시오.

journalctl -xn