🥇Käivitame OpenVPN-i Dockeris 2 sekundiga

Tere, habrovanid! Kas olete kunagi sattunud olukorda, kus on väga soov olnud viibida virtuaalselt teises linnas, riigis või isegi teisel kontinentil? Mul tekib see vajadus piisavalt sageli, seega VPN-serveri olemasolu, mida saaks igalpool kiiresti käivitada, on minu jaoks olnud väga oluline. Selle artikli eesmärk on rääkida oma projektist, mille ma mõtlesin välja, otsides valmis lahendust, antud juhul Docker-ima, mis võimaldaks kiiresti üles seadistada OpenVPN-serveri minimaalse seadistuse ja vastuvõetava turvalisuse tasemega.

Eellugu

Võimalus käivitada teenust mis tahes seadmes: olgu see füüsiline server, virtuaalne privaatserver või isegi konteineriruum teises konteinerite haldustarkvaras — oli kriitiliselt oluline. Minu tähelepanu köitis kohe Docker. Esiteks, see teenus omandab järjest enam populaarsust, mistõttu üha rohkem teenusepakkujaid pakuvad ettevalmistatud lahendusi selle eelinstalleerimisega; teiseks — on olemas keskne pildihoidla, kust saab alla laadida ja teenust ühe käsuga terminalis käivitada. Mõte, et midagi sellist projekti peaks juba olemas olema, käis mul peast läbi ja ma otsisin järjekindlalt. Kuid enamik projekte, mida leidsin, olid kas liiga keerulised (pidi looma konteineri andmete püsivaks salvestamiseks ja mitu korda käivitama rakenduse konteineri erinevate parameetritega) või ilma mõistliku dokumentatsioonita, või lausa hülgatud. Kuna ma ei leidnud midagi vastuvõetavat, alustasin oma projekti loomist. Ees ootasid unetud ööd dokumentatsioonis uurimise, koodikirjutamise ja silumisega, kuid lõpuks nägi minu teenus päevavalgust ja mängis kõikides monokroomse LED-paneeli värvitoonides. Nii et palun tervitage ja armastage — Docker-OpenVPN. Olen isegi logotüübi välja mõelnud (üleval, enne katti), kuid ärge olge selle suhtes liiga kriitilised, kuna ma ei ole (enam) disainer. Kui ma seda projekti rakendasin, seadsin ma esikohale käivituskiirus, minimaalsete seadistuste ja vastuvõetava turvalisuse taseme. Katse-eksituse meetodil leidsin ma nende kriteeriumide vahel optimaalse tasakaalu, kuigi kohati tuli turvalisuse nimel ohverdada käivituskiirus, ja minimaalsed seadistused nõudsid kannatlikkust: praeguses konfiguratsioonis ei saa ühtegi korda loodud konteinerit ühest serverist teise üle viia ja käivitada. Näiteks luuakse kõik kliendi ja serveri sertifikaadid teenuse käivitamisel ning see võtab aega umbes 2 sekundit. Kuid Defi Hellmani faili genereerimine tuli välja viia ehitamise ajaks: see luuakse dokkeri pildi koostamise käigus ja võib kesta kuni 10 minutit. Ma sooviksin väga saada sellest lahendusest turvaauditit austatud kogukonnalt.

Käivitamine

Teenuse käivitamiseks on meil vaja mitmeid asju:

Server: füüsiline või virtuaalne. Teoreetiliselt võib käivitada Docker-in-Docker režiimis, kuid ma ei ole selle variandi ulatuslikku testimist teinud;
Tegelikult Docker. Paljud hostimise pakkujad pakuvad valmis lahendusi Dockeriga "üles";
Avalik IP-aadress.

Kui kõik andmed on kohal, jääb meil käivitada järgmine käsk serveri konsoolis:

docker run --cap-add=NET_ADMIN 
-it -p 1194:1194/udp -p 80:8080/tcp 
-e HOST_ADDR=$(curl -s https://api.ipify.org) 
alekslitvinenk/openvpn

Täpne lugeja on võinud märkida, et serveri IP-aadress määratakse automaatselt ipify.org. Kui mingil põhjusel see ei toimi, siis võib aadressi käsitsi määrata. Kui kõik eelnevad sammud on õigesti tehtud, siis peaksime nägema konsoolis midagi sellist:

Pühapäev Juuni 9 08:56:11 2019 Algatamise seeria on lõpetatud
Pühapäev Juuni 9 08:56:12 2019 Client.ovpn faili on genereeritud
Pühapäev Juuni 9 08:56:12 2019 Serveri konfiguratsioon on käivitunud, laadige alla oma client.ovpn konfiguratsioon http://example.com/
Pühapäev Juuni 9 08:56:12 2019 MÄRKUS: Pärast oma kliendi konfiguratsiooni allalaadimist lülitatakse http-server välja!

Olemegi sihini lähedal: nüüd peame kopeerima example.com (teie puhul on see teie serveri aadress) ja kleepige see brauseri aadressiriba. Pärast Enter'i vajutamist laaditakse alla client.ovpn fail ja http server kaob olematusse. Kui see lahendus tekitab kahtlusi, võite proovida järgmist trikki: käivitage eelmine käsk ja lisage lipud zp ja parool. Nüüd, kui kleepite genereeritud lingi brauseri aknasse — saate parooliga zip-aruande. Kui teil on klientide konfiguratsioonifail, võite kasutada mõnda sobivat klienti. Mina kasutan Tunnelblicki Macis.

Videotutvustus

See videotutvustus sisaldab põhjalikku juhendit teenuse käivitamiseks DigitalOceanil.

P.S. Kui arvate, et see projekt on kasulik, palun andke sellele staar GitHubis, tehke fork ja rääkige sõpradele. Kaasaegsed arendajad ja turvauditid on samuti teretulnud.P.P.S. Kui see artikkel jõuab Habrisse, kavatsen kirjutada järgmise selle kohta, kuidas ma jooksin Dockerit Dockeris ja Dockerit Dockeris Dockeris, milleks ma seda tegin ja mis sellest välja tuli.
EDIT1:

Parandasin vigasid avaldamisel,
Kommentaaridele vastates otsustasin selle informatsiooni siia viia: lipp —privileged on vajalik iptables'iga töötamiseks

EDIT2: