ProHoster > Блог > Pagdumala > Organisasyon sa hilit nga trabaho sa usa ka organisasyon sa SMB sa OpenVPN
Organisasyon sa hilit nga trabaho sa usa ka organisasyon sa SMB sa OpenVPN
Pagbuot sa problema
Gihubit sa artikulo ang organisasyon sa hilit nga pag-access alang sa mga empleyado sa mga bukas nga gigikanan nga mga produkto ug mahimong magamit pareho sa pagtukod sa usa ka hingpit nga autonomous nga sistema, ug mahimong mapuslanon alang sa pagpalapad kung adunay kakulang sa mga lisensya sa naglungtad nga komersyal nga sistema o ang pasundayag niini dili igo.
Ang katuyoan sa artikulo mao ang pagpatuman sa usa ka kompleto nga sistema alang sa paghatag sa hilit nga pag-access sa usa ka organisasyon, nga labi pa sa "pag-install sa OpenVPN sa 10 minuto."
Ingon usa ka sangputanan, makakuha kami usa ka sistema diin ang mga sertipiko ug (opsyonal) ang corporate Active Directory gamiton aron mapamatud-an ang mga tiggamit. Nga. makakuha kami ug sistema nga adunay duha ka hinungdan sa pag-verify - kung unsa ang naa nako (sertipiko) ug kung unsa ang akong nahibal-an (password).
Usa ka timaan nga gitugotan ang usa ka tiggamit nga magkonektar mao ang ilang pagkamiyembro sa myVPNUsr nga grupo. Ang awtoridad sa sertipiko gamiton sa offline.
Ang gasto sa pagpatuman sa solusyon gamay ra nga mga kahinguhaan sa hardware ug 1 oras nga trabaho sa tagdumala sa sistema.
Maggamit kami og virtual machine nga adunay OpenVPN ug Easy-RSA version 3 sa CetntOS 7, nga gigahin og 100 vCPUs ug 4 GiB RAM kada 4 ka koneksyon.
Sa pananglitan, ang network sa among organisasyon mao ang 172.16.0.0/16, diin ang VPN server nga adunay address nga 172.16.19.123 nahimutang sa bahin nga 172.16.19.0/24, DNS servers 172.16.16.16 ug 172.16.17.17, ug ang subnet 172.16.20.0. Ang .23/XNUMX gigahin alang sa mga kliyente sa VPN.
Aron makonektar gikan sa gawas, usa ka koneksyon pinaagi sa port 1194/udp ang gigamit, ug usa ka A-record gw.abc.ru ang gihimo sa DNS para sa among server.
Dili gyud girekomenda nga i-disable ang SELinux! Ang OpenVPN naglihok nga wala’y pagpugong sa mga palisiya sa seguridad.
Gigamit namo ang CentOS 7.8.2003 distribution. Kinahanglan namon nga i-install ang OS sa gamay nga pagsumpo. Kombenyente sa pagbuhat niini gamit pagsugod, pag-clone sa na-install na nga OS image ug uban pang paagi.
Human sa pag-instalar, paghatag og address sa network interface (sumala sa mga termino sa buluhaton 172.16.19.123), among gi-update ang OS:
$ sudo yum update -y && reboot
Kinahanglan usab natong siguroon nga ang pag-synchronize sa oras gihimo sa atong makina.
Para ma-install ang application software, kinahanglan nimo ang openvpn, openvpn-auth-ldap, easy-rsa ug vim packages isip main editor (kinahanglan nimo ang EPEL repository).
Ang mga parameter alang sa conditional nga organisasyon ABC LLC gihulagway dinhi; mahimo nimo kini matul-id sa tinuod o ibilin kini gikan sa panig-ingnan. Ang labing hinungdanon nga butang sa mga parameter mao ang katapusan nga linya, nga nagtino sa panahon sa balido sa sertipiko sa mga adlaw. Ang pananglitan naggamit sa bili nga 10 ka tuig (365*10+2 ka tuig nga paglukso). Kinahanglang i-adjust ang kini nga kantidad sa dili pa ma-isyu ang mga sertipiko sa tiggamit.
Sunod, gi-configure namon ang usa ka awtonomous nga awtoridad sa sertipikasyon.
Ang pag-setup naglakip sa pag-eksport sa mga variable, pagsugod sa CA, pag-isyu sa CA root key ug certificate, Diffie-Hellman key, TLS key, ug server key ug certificate. Ang yawe sa CA kinahanglan nga maampingong panalipdan ug itago! Ang tanan nga mga parameter sa pangutana mahimong ibilin ingon nga default.
Nakompleto niini ang nag-unang bahin sa pag-set up sa mekanismo sa cryptographic.
Pag-setup sa OpenVPN
Adto sa OpenVPN nga direktoryo, paghimo og mga direktoryo sa serbisyo ug pagdugang og link sa sayon-rsa:
cd /etc/openvpn/
mkdir /var/log/openvpn/ /etc/openvpn/ccd /usr/share/easy-rsa/3/client
ln -s /usr/share/easy-rsa/3/pki/ /etc/openvpn/
Paghimo sa nag-unang OpenVPN configuration file:
$ sudo vim server.conf
mosunod nga mga sulod
port 1194
proto udp
dev tun
ca /etc/openvpn/pki/ca.crt
cert /etc/openvpn/pki/issued/myvpngw.crt
key /etc/openvpn/pki/private/myvpngw.key
crl-verify /etc/openvpn/pki/crl.pem
dh /etc/openvpn/pki/dh.pem
server 172.16.20.0 255.255.254.0
ifconfig-pool-persist ipp.txt
push "route 172.16.0.0 255.255.255.0"
push "route 172.17.0.0 255.255.255.0"
client-config-dir ccd
push "dhcp-option DNS 172.16.16.16"
push "dhcp-option DNS 172.16.17.17"
keepalive 10 120
cipher AES-256-CBC
user nobody
group nobody
persist-key
persist-tun
status /var/log/openvpn/openvpn-status.log
log-append /var/log/openvpn/openvpn.log
verb 3
explicit-exit-notify 1
username-as-common-name
plugin /usr/lib64/openvpn/plugin/lib/openvpn-auth-ldap.so /etc/openvpn/ldap.conf
Pipila ka mga nota sa mga parameter:
kung lain nga ngalan ang gipiho sa pag-isyu sa sertipiko, ipahibalo kini;
ipiho ang hugpong sa mga adres nga mohaum sa imong mga buluhaton*;
mahimo nga adunay usa o daghang mga ruta ug DNS server;
Ang kataposang 2 ka linya gikinahanglan aron mapatuman ang authentication sa AD**.
*Ang sakup sa mga adres nga gipili sa pananglitan magtugot hangtod sa 127 nga mga kliyente nga magkonektar nga dungan, tungod kay gipili ang /23 network, ug ang OpenVPN nagmugna og subnet para sa matag kliyente gamit ang /30 mask.
Kung gikinahanglan, ang pantalan ug protocol mahimong mausab, bisan pa, kinahanglan nga hinumdoman nga ang pagbag-o sa numero sa port port maglakip sa pag-configure sa SELinux, ug ang paggamit sa tcp protocol makadugang sa overhead, tungod kay Ang kontrol sa pagpadala sa packet sa TCP gihimo na sa lebel sa mga pakete nga gisulod sa tunel.
** Kung dili kinahanglan ang authentication sa AD, i-comment kini, laktawan ang sunod nga seksyon, ug sa template kuhaa ang auth-user-pass nga linya.
AD Authentication
Aron masuportahan ang ikaduhang hinungdan, gamiton namon ang pag-verify sa account sa AD.
Kinahanglan namon ang usa ka account sa domain nga adunay mga katungod sa usa ka ordinaryo nga tiggamit ug usa ka grupo, ang pagkamiyembro diin mahibal-an ang katakus sa pagkonektar.
systemctl status [email protected]
journalctl -xe
cat /var/log/messages
cat /var/log/openvpn/*log
Sertipiko nga isyu ug pagbawi
Kay Gawas pa sa mga sertipiko sa ilang kaugalingon, kinahanglan nimo ang mga yawe ug uban pang mga setting; dali kaayo nga ibalot kining tanan sa usa ka file sa profile. Ang kini nga file dayon ibalhin sa tiggamit ug ang profile gi-import sa kliyente sa OpenVPN. Aron mahimo kini, maghimo kami usa ka template sa mga setting ug usa ka script nga nagmugna sa profile.
Kinahanglan nimong idugang ang mga sulod sa root certificate (ca.crt) ug TLS key (ta.key) nga mga file ngadto sa profile.
Sa wala pa mag-isyu sa mga sertipiko sa tiggamit ayaw kalimot sa pagtakda sa gikinahanglan nga validity period para sa mga sertipiko sa mga parameter file. Kinahanglan nga dili nimo kini himuon nga taas kaayo; Girekomenda ko nga limitahan ang imong kaugalingon sa labing taas nga 180 ka adlaw.
vim /usr/share/easy-rsa/3/vars
...
export EASYRSA_CERT_EXPIRE=180
vim /usr/share/easy-rsa/3/client/template.ovpn
client
dev tun
proto udp
remote gw.abc.ru 1194
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
cipher AES-256-CBC
verb 3
auth-user-pass
<ca>
-----BEGIN CERTIFICATE-----
PUT YOUR CA CERT (ca.crt) HERE
-----END CERTIFICATE-----
</ca>
key-direction 1
<tls-auth>
-----BEGIN OpenVPN Static key V1-----
PUT YOUR TA KEY (ta.key) HERE
-----END OpenVPN Static key V1-----
</tls-auth>
Mahinumduman:
mga kuldas IBUTANG ANG IMONG... pagbag-o sa sulod kaugalingon mga sertipiko;
sa hilit nga direktiba, ipiho ang ngalan/adres sa imong ganghaan;
ang auth-user-pass nga direktiba gigamit alang sa dugang nga external authentication.
Sa direktoryo sa balay (o uban pang kombenyente nga lugar) naghimo kami usa ka script alang sa paghangyo usa ka sertipiko ug paghimo usa ka profile:
vim ~/make.profile.sh
#!/bin/bash
if [ -z "$1" ] ; then
echo Missing mandatory client name. Usage: $0 vpn-username
exit 1
fi
#Set variables
basepath=/usr/share/easy-rsa/3
clntpath=$basepath/client
privpath=$basepath/pki/private
certpath=$basepath/pki/issued
profile=$clntpath/$1.ovpn
#Get current year and lowercase client name
year=`date +%F`
client=${1,,}
echo Processing $year year cert for user/device $client
cd $basepath
if [ -f client/$client* ]; then
echo "*** ERROR! ***"
echo "Certificate $client already issued!"
echo "*** ERROR! ***"
exit 1
fi
. ./vars
./easyrsa --batch --req-cn=$client gen-req $client nopass
./easyrsa --batch sign-req client $client
#Make profile
cp $clntpath/template.ovpn $profile
echo "<key>" >> $profile
cat $privpath/$1.key >> $profile
echo "</key>" >> $profile
echo -e "n" >> $profile
openssl x509 -in $certpath/$1.crt -out $basepath/$1.crt
echo "<cert>" >> $profile
cat $basepath/$1.crt >> $profile
echo "</cert>" >> $profile
echo -e "n" >> $profile
#remove tmp file
rm -f $basepath/$1.crt
echo Complete. See $profile file.
cd ~
Paghimo sa file executable:
chmod a+x ~/make.profile.sh
Ug mahimo namong i-isyu ang among unang sertipiko.
~/make.profile.sh my-first-user
Feedback
Sa kaso sa pagkompromiso sa usa ka sertipiko (pagkawala, pagpangawat), kinahanglan nga bawion kini nga sertipiko:
cd /usr/share/easy-rsa/3/
./easyrsa revoke my-first-user
./easyrsa gen-crl
Tan-awa ang gi-isyu ug gibawi nga mga sertipiko
Aron matan-aw ang gi-isyu ug gibawi nga mga sertipiko, tan-awa lang ang index file:
cd /usr/share/easy-rsa/3/
cat pki/index.txt
Mga pagpasabut:
ang unang linya mao ang server certificate;
unang karakter
V (Bado) - balido;
R (Gibawi) - nahinumdom.
Pag-ayo sa network
Ang katapusang mga lakang mao ang pag-configure sa transmission network - routing ug firewalls.
Gitugotan ang mga koneksyon sa lokal nga firewall:
Sa usa ka palibot sa korporasyon, lagmit adunay subnetting ug kinahanglan namon isulti sa (mga) router kung giunsa ipadala ang mga pakete nga gitakda alang sa among mga kliyente sa VPN. Sa command line atong ipatuman ang command sa paagi (depende sa kagamitan nga gigamit):
# ip route 172.16.20.0 255.255.254.0 172.16.19.123
ug i-save ang configuration.
Dugang pa, sa interface sa utlanan sa router diin ang eksternal nga adres gw.abc.ru gisilbi, gikinahanglan nga tugutan ang pagpasa sa udp/1194 nga mga pakete.
Kung ang organisasyon adunay estrikto nga mga lagda sa seguridad, ang usa ka firewall kinahanglan usab nga ma-configure sa among VPN server. Sa akong opinyon, ang labing dako nga pagka-flexible gihatag pinaagi sa pag-set up sa mga iptables FORWARD chain, bisan kung ang pag-set up niini dili kaayo kombenyente. Usa ka gamay pa bahin sa pagpahimutang kanila. Aron mahimo kini, labing sayon nga gamiton ang "direkta nga mga lagda" - direkta nga mga lagda, nga gitipigan sa usa ka file /etc/firewalld/direct.xml. Ang kasamtangan nga configuration sa mga lagda makita sama sa mosunod:
$ sudo firewall-cmd --direct --get-all-rule
Sa dili pa mag-ilis og file, paghimo og backup nga kopya niini:
Kini ang hinungdanon nga regular nga mga lagda sa iptables, kung dili giputos pagkahuman sa pag-abut sa firewalld.
Ang destinasyon nga interface nga adunay default nga mga setting mao ang tun0, ug ang eksternal nga interface alang sa tunel mahimong lahi, pananglitan, ens192, depende sa gigamit nga plataporma.
Ang katapusan nga linya alang sa pag-log sa nahulog nga mga pakete. Aron molihok ang pag-log, kinahanglan nimo nga usbon ang lebel sa debug sa configuration sa firewalld:
vim /etc/sysconfig/firewalld
FIREWALLD_ARGS=--debug=2
Ang pagpadapat sa mga setting mao ang naandan nga firewalld nga sugo aron basahon pag-usab ang mga setting:
$ sudo firewall-cmd --reload
Mahimo nimong tan-awon ang nahulog nga mga pakete sama niini:
grep forward_fw /var/log/messages
Unsa ang sunod
Nakompleto niini ang setup!
Ang nahabilin mao ang pag-instalar sa software sa kliyente sa kilid sa kliyente, pag-import sa profile ug pagkonektar. Alang sa Windows operating system, ang distribution kit nahimutang sa site sa developer.
Sa katapusan, among gikonektar ang among bag-ong server sa mga sistema sa pag-monitor ug pag-archive, ug ayaw kalimti ang kanunay nga pag-install sa mga update.