Raamat «Linux tegudes»

Tere, Habriklased! David Clinton kirjeldab oma raamatus 12 reaalset projekti, sealhulgas varukoopiate ja taastamise süsteemi automatiseerimist, isikliku Dropboxi-taolise failide pilve seadistamist ja oma MediaWiki serveri loomist. Huvitavate näidete kaudu õpite virtualiseerimist, hädaolukordade taastamist, turvalisuse tagamist, varukoopiate tegemist, DevOpsi rakendamist ja süsteemi tõrkeotsingut. Iga peatükk lõpeb praktiliste soovituste, uute terminite sõnastiku ja harjutustega.

Lõik „10.1. OpenVPN tunneli loomine“

Selles raamatus olen juba palju rääkinud krüptimisest. SSH ja SCP kaitsevad andmeid, mis edastatakse kaugühenduste kaudu (peatükk 3), failide krüptimine kaitseb andmeid serveris salvestamise ajal (peatükk 8), ning TLS/SSL sertifikaadid suudavad kaitsta andmeid edastamise ajal veebisaitide ja kliendibrauserid vahel (peatükk 9). Kuid mõnikord vajavad teie andmed kaitset laiemas ühenduste spektris. Näiteks võivad teie meeskonna liikmed töötada teel olles, ühendudes Wi-Fi kaudu avalike kõvakettapunktide kaudu. Kindlasti ei tohiks arvata, et kõik sellised punktid on ohutud, kuid teie inimestele on tõeliselt vajalik viis ettevõtte ressurssidele ligipääsemiseks — ja sel juhul aitab VPN.

Hästi kavandatud VPN-tunnel loob otseühenduse kaugklientide ja serveri vahel viisil, mis peidab andmed nende edastamise ajal ebaturvalises võrgus. Ja mis siis? Olete juba näinud mitmeid tööriistu, mis suudavad seda teha krüpteerimise abil. VPNi tõeline väärtus seisneb selles, et tunnelit avades saab kaugvõrke ühendada, nagu oleksid need kõik kohalikud. Teatud mõttes kasutate te mööndust.

Kasutades sellist laienenud võrku, saavad administraatorid oma serverites töötada ükskõik kus. Kuid veelgi olulisem on, et ettevõte, mille ressursid on jaotatud mitme filiaali vahel, võib teha need kõik nähtavaks ja kergesti ligipääsetavaks kõigile rühmades, kes neid vajavad, olenemata asukohast (vt joonis 10.1).

Tunneel ise ei taga turvalisust. Kuid üks krüpteerimisstandarditest võib olla kaasatud võrgu struktuuri, mis oluliselt tõstab turvalisuse taset. OpenVPN avatud lähtekoodiga paketi abil loodud tunnelid kasutavad sama TLS/SSL krüpteerimist, millest olete juba kuulnud. OpenVPN ei ole ainus saadaval olev lahendus tunnelite loomisel, kuid see on üks tuntumaid. Peetakse, et see on veidi kiirem ja turvalisem kui alternatiivne IPsec krüpteerimist kasutav 2. taseme tunneliprotocol.

Kas soovite, et teie meeskonnas suhtleksid kõik turvaliselt, olles teel või töötades erinevates hoonetes? Selle saavutamiseks tuleb luua OpenVPN server, et võimaldada rakenduste jagamist ja juurdepääsu serveri lokaalsetele võrguressurssidele. Selle toimimiseks on piisav käivitada kaks virtuaalset masinat või konteinerit: üks serveri/hosti rolli täitmiseks ja teine klient. VPN-i loomine ei ole lihtne protsess, seega on tõenäoliselt mõistlik kulutada paar minutit, et saada üldine ülevaade.

10.1.1. OpenVPN serveri konfigureerimine

Enne alustamist jagan teiega vajalikke näpunäiteid. Kui kavatsete kõik ise teha (mida ma tungivalt soovitan), siis avastate tõenäoliselt, et töötate mitme terminali aknaga, mis on avatud töölaudadele, millest igaüks on ühendatud oma masinaga. On oht, et sattute mingil hetkel valesse aknasse käsu sisestamisel. Selle vältimiseks saate kasutada käsku hostname, et muuta masinana kuvatavat nime käsureal millekski, mis ütleb selgelt, kus te asute. Kui olete selle juba teinud, peate serverist välja logima ja uuesti sisse logima, et uued seadistused jõustuksid. Nii see välja näeb:

Kui järgite seda lähenemist ja määrate igale masinale sobivad nimed, suudate hõlpsasti jälgida, kus te asute.

Pärast hostname'i kasutamist võite silmitsi seista häirivate Unable to Resolve Host OpenVPN-Server sõnumitega järgmiste käskude täitmisel. Faili /etc/hosts värskendamine vastava uue hostinimega peaks probleemi lahendama.

Teie serveri ettevalmistamine OpenVPN-iks

OpenVPN installimiseks teie serverisse on vajalikud kaks paketti: openvpn ja easy-rsa (krüpteerimisvõtme genereerimise haldamiseks). CentOS-i kasutajad peavad vajadusel kõigepealt installima epel-release hoidla, nagu te tegite 2. peatükis. Serverirakenduse ligipääsu kontrollimiseks võite samuti paigaldada veebiserveri Apache (apache2 Ubuntu jaoks ja httpd CentOS-i jaoks).

Kuna seadistate serverit, soovitan aktiveerida tulemüür, mis blokeerib kõik pordid, välja arvatud 22 (SSH) ja 1194 (OpenVPN vaikimisi port). See näide illustreerib, kuidas ufw töötab Ubuntu'is, kuid olen kindel, et te mäletate isegi firewalld CentOS-is 9. peatükist:

# ufw enable
# ufw allow 22
# ufw allow 1194

Sisevõrgusüsteemi vahelise suunamise lubamiseks serveris peate ühes reas (net.ipv4.ip_forward = 1) faili /etc/sysctl.conf lugema. See võimaldab suunata kaugkliente vastavalt vajadusele pärast nende ühendamist. Uue parameetri aktiivseks muutmiseks käivitage sysctl -p:

# nano /etc/sysctl.conf
# sysctl -p

Nüüd on serveri keskkond täielikult seadistatud, kuid enne valmisolekut tuleb teha veel mõned sammud (me käsitleme neid üksikasjalikult edasi).

1. Looge serveris avalike võtmete infrastruktuuri (PKI) krüpteerimise võtmevalik skriptide abil, mis on kaasas easy-rsa paketiga. Fondaselt töötab OpenVPN server ka omana sertifitseerimiskeskusena (CA).
2. Valmistage ette sobivad kliendi võtmed
3. Konfigureerige serveri server.conf fail
4. Seadistage oma OpenVPN klient
5. Kontrollige oma VPN-i

Krüpteerimisvõtmete genereerimine

Elu lihtsamaks muutmiseks on võimalik seadistada oma võtme infrastruktuur samal masinal, kus töötab OpenVPN server. Siiski soovitatakse turvalisuse soovitustes tavaliselt kasutada eraldi CA serverit tootmiskeskkondades. Krüpteerimisvõtme ressursside genereerimise ja jagamise protsess OpenVPN-is on illustreeritud joonisel 10.2.

Kui installisite OpenVPN-i, loodi automaatselt kataloog /etc/openvpn/, kuid seal pole veel midagi. OpenVPN ja easy-rsa paketid on varustatud näidismudelite failidega, mida saate oma konfiguratsiooni aluseks kasutada. Sertifitseerimisprotsessi käivitamiseks kopeerige easy-rsa mudelikataloog /usr/share/-st /etc/openvpn ja minge katalooge easy-rsa/:

# cp -r /usr/share/easy-rsa/ /etc/openvpn
$ cd /etc/openvpn/easy-rsa

easy-rsa kataloog sisaldab nüüd mitmeid skripte. Tabelis 10.1 on loetletud tööriistad, mida te kasutate võtmete loomisel.

Loetletud toimingud nõuavad root-i õigusi, seega peate sudo su kaudu muutuma root-iks.

Esimene fail, millega te töötate, on nimega vars ja see sisaldab keskkonnamuutujaid, mida easy-rsa kasutab võtmete genereerimisel. Peate failis redigeerima, et kasutada oma väärtusi vaikimisi väärtuste asemel, mis juba olemas on. Siin on, milline näeb välja minu fail (loend 10.1).

Loend 10.1. Peamised fragmendid failist /etc/openvpn/easy-rsa/vars

export KEY_COUNTRY="CA"
export KEY_PROVINCE="ON"
export KEY_CITY="Toronto"
export KEY_ORG="Bootstrap IT"
export KEY_EMAIL="info@bootstrap-it.com"
export KEY_OU="IT"

Faili vars käivitamine edastab selle väärtused shelli keskkonda, kust need lisatakse teie uute võtmete sisusse. Miks käsk sudo üksi ei tööta? Sest esimeses etapis redigeerime skripti nimega vars ja seejärel rakendame selle. Rakendamine tähendab, et fail vars edastab oma väärtused shelli keskkonda, kust need lisatakse teie uute võtmete sisusse.

Käivitage kindlasti fail uuesti, kasutades uut kest, et lõpetada lõpetamata protsess. Kui see on tehtud, pakub skript teile võimalust käivitada teine skript, clean-all, et eemaldada kõik sisu kataloogist /etc/openvpn/easy-rsa/keys/:

Loomulikult on järgmine samm skripti clean-all käivitamine, millele järgneb build-ca, mis kasutab skripti pkitool juure sertifikaadi loomiseks. Teilt küsitakse identifitseerimise seadete kinnitamist, mis on esitatud vars:

# ./clean-all
# ./build-ca
Generating a 2048 bit RSA private key

Järgmiseks on skript build-key-server. Kuna see kasutab sama skripti pkitool koos uue juure sertifikaadiga, näete samu küsimusi võtmepaari loomise kinnitamiseks. Võtmetele antakse nimed vastavalt teie edastatud argumentidele, mis, kui te ei käivita mitut VPN-i sellel arvutil, on tavaliselt server, nagu näites:

# ./build-key-server server
[...]
Certificate is to be certified until Aug 15 23:52:34 2027 GMT (3650 days)
Sign the certificate? [y/n]:y
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated

OpenVPN kasutab autentimise kokkuleppimiseks Diffie-Hellmani algoritmiga genereeritud parameetreid (kui kasutatakse build-dh). Siin loodud fail ei pea olema salajane, kuid see peab olema genereeritud build-dh skripti abil RSA võtmete jaoks, mis on praegu aktiivsed. Kui kunagi tulevikus loote uusi RSA võtmeid, peate samuti uuendama faili, mis põhineb Diffie-Hellmani algoritmil:

# ./build-dh

Teie võtmed serveri küljel jõuavad nüüd katalooge /etc/openvpn/easy-rsa/keys/, kuid OpenVPN ei tea sellest. Vaikimisi otsib OpenVPN võtmeid kataloogist /etc/openvpn/, seega kopeerige need:

# cp /etc/openvpn/easy-rsa/keys/server* /etc/openvpn
# cp /etc/openvpn/easy-rsa/keys/dh2048.pem /etc/openvpn
# cp /etc/openvpn/easy-rsa/keys/ca.crt /etc/openvpn

Kliendi krüpteerimise võtmete ettevalmistamine

Nagu juba nägite, kasutab TLS-krüpteerimine vastavaid võtmepaare: üks on serveris ja teine ​​kaugklientis. See tähendab, et vajate kliendi võtmeid. Meie vanale sõbrale pkitoolile — see on just see, mida vajate. Selle näite puhul, käivitades programmi kataloogis /etc/openvpn/easy-rsa/, edastame sellele argumendi client, et genereerida failid, mille nimed on client.crt ja client.key:

# ./pkitool client

Kaks kliendifaili koos algfailiga ca.crt, mis asub endiselt kaustas keys/, tuleb nüüd turvaliselt edastada teie kliendile. Nende kuuluvuse ja juurdepääsuõiguste tõttu ei pruugi see olla kuigi lihtne. Lihtsaim lähenemine on käsitsi kopeerida algfaili sisu (ja mitte midagi muud) terminali, mis töötab teie arvuti töölaual (valige tekst, klõpsake sel hiire parema nupuga ja valige kuvamisvalikust Copy (Kopeeri)). Seejärel kleepige see uude faili sama nimega, mille loote teises terminalis, mis on ühendatud teie kliendiga.

Kuid igaüks saab kopeerida ja kleepida. Mõelge selle asemel administraatorina, sest teil ei pruugi alati olla juurdepääsu GUI-le, kus kopeerimine/kleepimine on võimalik. Kopeerige failid oma kodukatalooge (et kaugoperatsioon scp saaks neile juurde pääseda), ja seejärel muutke chown abil failide omanikku rootilt tavakasutajaks, kellel pole root'i õigusi, et saaksite kaugtoimingut scp teostada. Veenduge, et kõik teie failid on selleks ajaks seadistatud ja juurdepääsetavad. Klientide seas liigutate need natuke hiljem:

# cp /etc/openvpn/easy-rsa/keys/client.key /home/ubuntu/
# cp /etc/openvpn/easy-rsa/keys/ca.crt /home/ubuntu/
# cp /etc/openvpn/easy-rsa/keys/client.crt /home/ubuntu/
# chown ubuntu:ubuntu /home/ubuntu/client.key
# chown ubuntu:ubuntu /home/ubuntu/client.crt
# chown ubuntu:ubuntu /home/ubuntu/ca.crt

Kogu krüpteerimise võtmete komplekt on valmis tegutsema. Peate serverile ütlema, kuidas soovite VPN-i luua. Seda tehakse server.conf failiga.

Vähendame klahvivajutuste arvu

Liialt palju tuleb kirjutada? Klambrite laiendus aitab need kuus käsku vähendada kaheks. Olen kindel, et suudate neid kahte näidet õppida ja aru saada, mis toimub. Mis veelgi olulisem, mõistate, kuidas neid põhimõtteid rakendada toimingutes, mis hõlmavad kümneid või isegi sadu elemente:

# cp /etc/openvpn/easy-rsa/keys/{ca.crt,client.{key,crt}} /home/ubuntu/
# chown ubuntu:ubuntu /home/ubuntu/{ca.crt,client.{key,crt}}

server.conf faili seadistamine

Kust teate, milline peaks olema server.conf fail? Meenutage easy-rsa katalooge, mille kopeerisite /usr/share/? OpenVPN'i installimise käigus jäi alles tihendatud konfiguratsioonimalli fail, mille saate kopeerida /etc/openvpn/. Tuginen sellele, et mall on tihendatud, ning tutvustan teile kasulikku tööriista: zcat.

Te juba teate, kuidas failide tekstisisu ekraanile eraldada käsuga cat, kuid mis juhtub, kui fail on gzipiga tihendatud? Saate faili alati lahti pakkida, siis cat näitab seda rõõmuga, kuid see on üks või kaks sammu rohkem, kui oleks vajalik. Selle asemel, nagu te juba aimasite, võite sisestada käsu zcat, et laadida lahti pakitud tekst mälu ühes etapis. Järgmises näites suunate teksti ekraanile printimise asemel uude faili nimega server.conf:

# zcat 
  /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz 
  > /etc/openvpn/server.conf
$ cd /etc/openvpn

Jätame kõrvale ulatusliku ja kasuliku dokumentatsiooni, mis failiga kaasas on, ja vaatame, milline see võiks välja näha, kui olete redigeerimise lõpetanud. Pange tähele, et semikoolon (;) näitab OpenVPN'ile, et järgmise rida ei loeta ega tehta (loetelu 10.2).

Tutvustame mõned neist seadistustest.

• Vaikimisi töötab OpenVPN pordil 1194. Saate seda muuta, et veelgi rohkem varjata oma tegevust või vältida konflikte teiste aktiivsete tunnelitega. Kuna 1194 vajab minimaalset kooskõlastamist klientidega, on see parim lähenemine.
• OpenVPN kasutab andmete edastamiseks kas edastusprotokolli (TCP) või kasutajate datagrammide protokolli (UDP). TCP võib olla veidi aeglasem, kuid see on usaldusväärsem ja tõenäolisemalt arusaadav tunnelite mõlemal serval töötavatele rakendustele.
• Saate määrata dev tun, kui soovite luua lihtsama ja tõhusama IP-tunneli, mis edastab andmesisu ja mitte midagi muud. Kui aga peate ühendama mitu võrguinterfeissi (ja neid esindavaid võrke), luues Etherneti silda, siis peaksite valima dev tap. Kui te ei saa aru, mida see kõik tähendab, kasutage argumenti tun.
• Järgmised neli rida edastavad OpenVPN-ile kolme autentimisfaili nimed serveris ja dh2048 parameetrite faili, mille olete varem loonud.
• String server seadistab piirkonna ja alamvõrgu maski, mida kasutatakse IP-aadresside määramiseks klientidele sisse logimisel.
• Valikuline parameeter push „route 10.0.3.0 255.255.255.0” võimaldab kaugklientidel pääseda serveri taga asuvatele privaatsetele alamvõrkudele. Selle tööks on vajalik ka serveri kohaliku võrgu seadistamine, et privaatvõrk oleks teadlik OpenVPN alamvõrgust (10.8.0.0).
• String port-share localhost 80 võimaldab suunata kliendiliiklust, mis tuleb läbi pordi 1194, kohalikule veebiserverile, mis kuulab pordi 80. (See on kasulik, kui soovite kasutada veebiserverit oma VPN-i testimiseks.) See töötab ainult siis, kui on valitud tcp protokoll.
• Stringid user nobody ja group nogroup peavad olema aktiivsed – selle jaoks tuleb eemaldada semikoolonid (;). Kaugklientide sunniviisiline töötamine nobody ja nogroup all tagab, et serveris toimuvad sessioonid on mittesesseerivad.
• log näitab, et praegused logikirjed kirjutatakse iga OpenVPN käivitamisega üle, samas kui log-append lisab uusi kirjeid olemasolevasse logifaili. Fail openvpn.log salvestatakse katalooge /etc/openvpn/.

Lisaks lisatakse konfiguratsioonifaili sageli väärtus client-to-client, et mitmed kliendid saaksid üksteist näha koos OpenVPN serveriga. Kui olete oma konfiguratsiooniga rahul, saate käivitada OpenVPN serveri:

# systemctl start openvpn

Avanevate suhete muutumise tõttu OpenVPN ja systemd vahel võib teenuse käivitamiseks olla vajalik kasutada järgmist süntaksit: systemctl start openvpn@server.

Käivitades ip addr, peaks teie serveri võrguressursside loend nüüd näitama uut liidest nimedega tun0. OpenVPN loob selle tulevaste klientide teenindamiseks:

$ ip addr
[...]
4: tun0: mtu 1500 qdisc [...]
      link/none
      inet 10.8.0.1 peer 10.8.0.2/32 scope global tun0
          valid_lft forever preferred_lft forever

Võib-olla peate serveri taaskäivitama, enne kui kõik hakkab täielikult toimima. Järgmine sihtkoht on kliendi arvuti.

10.1.2. OpenVPN kliendi konfigureerimine

Traditsiooniliselt ehitatakse tunnelid vähemalt kahe väljapääsu võrra (muidu kutsuksime neid koobasteks). Õigesti seadistatud OpenVPN server suunab liikluse tunnelisse ja sealt välja ühelt poolt. Kuid teil on vaja ka mingit tarkvara, mis töötab kliendi poolel, st tunnelis teisel pool.

Selles osas soovin keskenduda Linuxi tüüpi masina käsitsi seadistamisele OpenVPN kliendiks. See pole aga ainus viis, kuidas selline võimalus on saadaval. OpenVPN toetab kliendirakendusi, mida saab installida ja kasutada Windowsi või macOSi lauaarvutites ja sülearvutites ning samuti Androidi ja iOSi nutitelefonides ja tahvelarvutites. Lisainfot leiate aadressilt openvpn.net.

OpenVPN-pakett tuleb installida kliendi arvutisse nagu see oli installitud serverisse, kuigi easy-rsa-d siin ei vajata, kuna kasutatavad võtmed on juba olemas. Peate kopeerima faili šablooni client.conf katalooge /etc/openvpn/, mis just loodi. Seekord faili ei arhiveerita, seega tavaline käsk cp sobib selle ülesande täitmiseks ideaalselt:

# apt install openvpn
# cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf 
  /etc/openvpn/

Enamik seadistusi teie client.conf failis on üsna arusaadavad: need peavad vastama serveri väärtustele. Nagu järgmises faili näites näha, on ainulaadne parameeter remote 192.168.1.23 1194, mis näitab kliendile serveri IP-aadressi. Veenduge jälle, et see on teie serveri aadress. Samuti peaksite panema kliendi arvuti kontrollima serveri sertifikaadi autentsust, et vältida võimalikke “mees keset teed” rünnakuid. Üks viis seda teha on lisada rida remote-cert-tls server (loetelu 10.3).

Nüüd saate minna katalooge /etc/openvpn/ ja välja võtta sertifikaadi võtmed serverist. Asendage serveri IP-aadress või domeeninimi näites oma väärtustega:

Tõenäoliselt ei toimu midagi pöördelist, kuni te ei käivita OpenVPN kliendil. Kuna peate edastama paar argumenti, teete seda käsurealt. Argument —tls-client ütleb OpenVPN-ile, et te tegutsete kliendina ja ühendute TLS krüpteerimise kaudu, ning —config näitab teie konfiguratsioonifaili:

# openvpn --tls-client --config /etc/openvpn/client.conf

Lugege käsu väljundit hoolikalt, et veenduda, et olete õigesti ühendatud. Kui esmakordselt juhtub midagi valesti, võib see olla tingitud seadete mittevastavusest serveri ja kliendi konfiguratsioonifailide vahel või probleemist võrguga/tulekahju seinale. Siin on mõned näpunäited tõrkeotsinguks.

• Lugege hoolikalt OpenVPN kliendi operatsiooni väljundit. See sisaldab sageli väärtuslikke nõuandeid selle kohta, mis ei õnnestunud ja miks.
• Kontrollige openvpn.log ja openvpn-status.log veateateid kataloogis /etc/openvpn/ serveris.
• Kontrollige serveri ja kliendi süsteemilogides seotud OpenVPN-i ja ajaliselt asjakohaseid teateid. (journalctl -ce kuvab ekraanile viimased kirjed.)
• Veenduge, et serveri ja kliendi vahel on aktiivne võrguühendus (lisateave — peatükis 14).

Autorist

David Clinton — süsteemiadministraator, õpetaja ja kirjanik. Ta on administreerinud, kirjutanud ja loonud õppeaineid paljudele olulistele tehnilistele erialadele, sealhulgas Linuxi süsteemidele, pilvearvutusele (eriti AWS-le) ja konteineritehnoloogiatele nagu Docker. Ta on kirjutanud raamatu "Learn Amazon Web Services in a Month of Lunches" (Manning, 2017). Paljusid tema õppevideokursuseid saab leida veebisaidilt Pluralsight.com, ning lingid teistele tema raamatutele (Linuxi administreerimise ja serverite virtualiseerimise kohta) on saadaval aadressil bootstrap-it.com.

» Raamatu kohta on täiendavat teavet saadaval väljaandja veebisaidil
» Sisukord
» Lõik

Habr'i lugejatele 25% allahindlus kupongiga — Linux
Paberraamatu eest tasumise korral saadetakse e-raamat e-kirjaga.

Allikas: habr.com