Livre «Linux en Action»

Bonjour, Habr! Dans ce livre, David Clinton décrit 12 projets réels, y compris l'automatisation des systèmes de sauvegarde et de restauration, la configuration d'un cloud personnel de type Dropbox et la création de votre propre serveur MediaWiki. À travers des exemples intéressants, vous apprendrez la virtualisation, la récupération après sinistre, la sécurité, la sauvegarde, l'implémentation de DevOps et le dépannage des systèmes. Chaque chapitre se termine par un aperçu des meilleures pratiques, un glossaire de nouveaux termes et des exercices.

Extrait «10.1. Création d'un tunnel OpenVPN»

Dans ce livre, j'ai déjà beaucoup parlé du chiffrement. SSH et SCP peuvent sécuriser les données transmises via des connexions distantes (chapitre 3), le chiffrement des fichiers permet de protéger les données stockées sur le serveur (chapitre 8), et les certificats TLS/SSL peuvent protéger les données transférées entre les sites et les navigateurs clients (chapitre 9). Mais parfois, vos données nécessitent une protection dans un éventail de connexions plus large. Par exemple, certains membres de votre équipe peuvent devoir travailler en déplacement en se connectant au réseau via Wi-Fi à des points d'accès publics. Il n'est certainement pas sage de penser que tous ces points d'accès sont sûrs, mais vos collaborateurs ont réellement besoin d'un moyen de se connecter aux ressources de l'entreprise — et dans ce cas, un VPN peut aider.

Un tunnel VPN bien conçu assure une connexion directe entre les clients distants et le serveur de manière à cacher les données lors de leur transmission sur un réseau non sécurisé. Et alors? Vous avez déjà vu de nombreux outils capables de le faire avec du chiffrement. La véritable valeur d'un VPN réside dans le fait qu'une fois le tunnel ouvert, vous pouvez connecter des réseaux distants comme s'ils étaient tous locaux. En un sens, vous utilisez une forme de contournement.

Avec un tel réseau étendu, les administrateurs peuvent effectuer leur travail sur leurs serveurs depuis n'importe où. Mais plus important encore, une entreprise ayant des ressources réparties sur plusieurs agences peut les rendre visibles et accessibles à tous les groupes qui en ont besoin, où qu'ils se trouvent (fig. 10.1).

Un tunnel à lui seul ne garantit pas la sécurité. Cependant, l'un des standards de cryptage peut être intégré à la structure du réseau, ce qui augmente considérablement le niveau de sécurité. Les tunnels créés avec le paquet OpenVPN à code source ouvert utilisent le même cryptage TLS/SSL dont vous avez déjà entendu parler. OpenVPN n'est pas la seule option disponible pour le tunneling, mais c'est l'un des plus connus. Il est considéré comme légèrement plus rapide et plus sûr que le protocole de tunnel alternatif de niveau 2 utilisant le cryptage IPsec.

Vous souhaitez que votre équipe communique en toute sécurité entre elle, que ce soit en déplacement ou en travaillant dans différents bâtiments ? Pour cela, il est nécessaire de créer un serveur OpenVPN afin de permettre le partage d'applications et l'accès à l'environnement réseau local du serveur. Pour que cela fonctionne, il suffit de lancer deux machines virtuelles ou deux conteneurs : un pour jouer le rôle de serveur/hôte et l'autre en tant que client. Créer un VPN n'est pas un processus simple, il vaut donc probablement la peine de passer quelques minutes à envisager l'ensemble du processus.

10.1.1. Configuration du serveur OpenVPN

Avant de commencer, je vous donne un conseil utile. Si vous prévoyez de tout faire vous-même (et je vous le recommande vivement), vous allez probablement découvrir que vous travaillez avec plusieurs fenêtres de terminal ouvertes sur votre bureau, chacune se connectant à sa propre machine. Il y a un risque qu'à un moment donné, vous saisissiez une commande dans la mauvaise fenêtre. Pour éviter cela, vous pouvez utiliser la commande hostname pour changer le nom de la machine affichée dans l'invite de commandes en quelque chose qui vous indiquera clairement où vous vous trouvez. Une fois que vous l'avez fait, vous devrez vous déconnecter du serveur et vous reconnecter afin que les nouveaux paramètres prennent effet. Voici à quoi cela ressemble :

En adoptant cette approche et en attribuant des noms appropriés à chacune des machines avec lesquelles vous travaillez, vous pourrez facilement suivre où vous êtes.

Après avoir utilisé hostname, vous pourriez rencontrer des messages irritants Unable to Resolve Host OpenVPN-Server lors de l'exécution de commandes ultérieures. La mise à jour du fichier /etc/hosts avec le nouveau nom d'hôte approprié devrait résoudre le problème.

Préparation de votre serveur pour OpenVPN

Pour installer OpenVPN sur votre serveur, deux paquets sont nécessaires : openvpn et easy-rsa (pour gérer le processus de génération de la clé de cryptage). Les utilisateurs de CentOS doivent, si nécessaire, d'abord installer le dépôt epel-release, comme vous l'avez fait au chapitre 2. Pour vérifier l'accès à l'application serveur, vous pouvez également installer le serveur web Apache (apache2 pour Ubuntu et httpd sur CentOS).

Pendant que vous configurez le serveur, je vous recommande d'activer le pare-feu qui bloque tous les ports sauf le 22 (SSH) et le 1194 (port par défaut d'OpenVPN). Cet exemple illustre le fonctionnement de ufw sous Ubuntu, mais je suis sûr que vous vous rappelez encore du programme firewalld de CentOS du chapitre 9 :

# ufw enable
# ufw allow 22
# ufw allow 1194

Pour autoriser le routage interne entre les interfaces réseau sur le serveur, vous devez décommenter une ligne (net.ipv4.ip_forward = 1) dans le fichier /etc/sysctl.conf. Cela permettra de rediriger les clients distants au besoin après leur connexion. Pour que ce nouveau paramètre prenne effet, exécutez sysctl -p :

# nano /etc/sysctl.conf
# sysctl -p

Maintenant que l'environnement serveur est complètement configuré, il reste encore quelques étapes à accomplir avant d'être prêt : vous devrez suivre les étapes suivantes (nous les examinerons en détail plus loin).

1. Créez sur le serveur un ensemble de clés pour l'infrastructure à clé publique (PKI) à l'aide des scripts fournis avec le paquet easy-rsa. En fait, le serveur OpenVPN agit également comme sa propre autorité de certification (CA).
2. Préparez les clés appropriées pour le client
3. Configurez le fichier server.conf pour le serveur
4. Configurez votre client OpenVPN
5. Vérifiez votre VPN

Génération de clés de cryptage

Pour ne pas compliquer la situation, vous pouvez configurer votre infrastructure de clés sur la même machine où fonctionne le serveur OpenVPN. Cependant, les recommandations en matière de sécurité indiquent généralement d'utiliser un serveur CA distinct pour les déploiements en environnement de production. Le processus de génération et de distribution des ressources de la clé de cryptage à utiliser dans OpenVPN est illustré à la figure 10.2.

Lors de l'installation d'OpenVPN, un répertoire /etc/openvpn/ a été créé automatiquement, mais il n'y a encore rien dedans. Les paquets openvpn et easy-rsa sont fournis avec des exemples de fichiers modèles que vous pouvez utiliser comme base pour votre configuration. Pour démarrer le processus de certification, copiez le répertoire modèle easy-rsa de /usr/share/ vers /etc/openvpn et accédez au répertoire easy-rsa/ :

# cp -r /usr/share/easy-rsa/ /etc/openvpn
$ cd /etc/openvpn/easy-rsa

Le catalogue easy-rsa contiendra maintenant un bon nombre de scripts. La table 10.1 énumère les outils que vous utiliserez pour générer des clés.

Les opérations énumérées nécessitent des droits root, donc vous devez devenir root via sudo su.

Le premier fichier avec lequel vous allez travailler s'appelle vars et contient les variables d'environnement utilisées par easy-rsa lors de la génération des clés. Vous devez modifier le fichier pour utiliser vos propres valeurs au lieu des valeurs par défaut déjà présentes. Voici à quoi ressemblera mon fichier (listing 10.1).

Listing 10.1. Extraits principaux du fichier /etc/openvpn/easy-rsa/vars

export KEY_COUNTRY="CA"
export KEY_PROVINCE="ON"
export KEY_CITY="Toronto"
export KEY_ORG="Bootstrap IT"
export KEY_EMAIL="info@bootstrap-it.com"
export KEY_OU="IT"

L'exécution du fichier vars permettra de passer ses valeurs dans l'environnement shell, où elles seront incluses dans le contenu de vos nouvelles clés. Pourquoi la commande sudo à elle seule ne fonctionne-t-elle pas ? Parce qu'à ce stade, nous modifions le script appelé vars, puis nous l'appliquons. Appliquer signifie que le fichier vars transmet ses valeurs dans l'environnement shell, où elles seront incluses dans le contenu de vos nouvelles clés.

Assurez-vous d'exécuter le fichier à nouveau en utilisant un nouveau shell pour terminer le processus en attente. Une fois cela fait, le script vous proposera d'exécuter un autre script, clean-all, pour supprimer tout contenu dans le répertoire /etc/openvpn/easy-rsa/keys/:

Naturellement, la prochaine étape sera d'exécuter le script clean-all, suivi de build-ca, qui utilise le script pkitool pour créer le certificat racine. On vous demandera de confirmer les paramètres d'identification fournis par vars :

# ./clean-all
# ./build-ca
Generating a 2048 bit RSA private key

Ensuite, le script build-key-server. Comme il utilise le même script pkitool avec le nouveau certificat racine, vous verrez les mêmes questions pour confirmer la création de la paire de clés. Les clés seront nommées en fonction des arguments que vous passerez, qui, sauf si vous exécutez plusieurs VPN sur cet ordinateur, seront généralement server, comme dans l'exemple :

# ./build-key-server server
[...]
Certificate is to be certified until Aug 15 23:52:34 2027 GMT (3650 days)
Sign the certificate? [y/n]:y
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated

OpenVPN utilise des paramètres générés par l'algorithme de Diffie-Hellman (en utilisant build-dh) pour établir l'authentification des nouvelles connexions. Le fichier créé ici ne doit pas être secret, mais doit être généré à l'aide du script build-dh pour les clés RSA actuellement actives. Si vous créez de nouvelles clés RSA à l'avenir, vous devrez également mettre à jour le fichier basé sur l'algorithme de Diffie-Hellman :

# ./build-dh

Vos clés du côté du serveur vont maintenant dans le répertoire /etc/openvpn/easy-rsa/keys/, mais OpenVPN ne le sait pas. Par défaut, OpenVPN cherchera les clés dans /etc/openvpn/, donc copiez-les :

# cp /etc/openvpn/easy-rsa/keys/server* /etc/openvpn
# cp /etc/openvpn/easy-rsa/keys/dh2048.pem /etc/openvpn
# cp /etc/openvpn/easy-rsa/keys/ca.crt /etc/openvpn

Préparation des clés de chiffrement du client

Comme vous l'avez déjà vu, le chiffrement TLS utilise des paires de clés correspondantes : une sur le serveur et l'autre sur le client distant. Cela signifie que vous aurez besoin de clés pour le client. Notre vieil ami pkitool est exactement ce qu'il vous faut. Dans cet exemple, en exécutant le programme dans le répertoire /etc/openvpn/easy-rsa/, nous lui passons l'argument client pour générer les fichiers nommés client.crt et client.key :

# ./pkitool client

Les deux fichiers clients ainsi que le fichier source ca.crt, qui se trouve toujours dans le répertoire keys/, doivent maintenant être transférés en toute sécurité à votre client. En raison de leur appartenance et des droits d'accès, cela peut ne pas être une tâche facile. L'approche la plus simple consiste à copier manuellement le contenu du fichier source (et rien d'autre que ce contenu) dans le terminal exécuté sur le bureau de votre PC (sélectionnez le texte, faites un clic droit et choisissez l'option Copier dans le menu). Ensuite, collez cela dans un nouveau fichier avec le même nom que celui que vous créez dans le deuxième terminal connecté à votre client.

Mais tout le monde peut couper et coller. Pensez plutôt comme un administrateur, car vous n'aurez pas toujours accès à une interface graphique où des opérations de couper/coller sont possibles. Copiez les fichiers dans le répertoire personnel de votre utilisateur (afin que l'opération distante scp puisse y accéder), puis utilisez chown pour changer le propriétaire des fichiers de root à un utilisateur normal sans privilèges root, afin de pouvoir réaliser une opération distante scp. Assurez-vous que tous vos fichiers sont pour le moment correctement configurés et accessibles. Vous les transférerez vers le client un peu plus tard :

# cp /etc/openvpn/easy-rsa/keys/client.key /home/ubuntu/
# cp /etc/openvpn/easy-rsa/keys/ca.crt /home/ubuntu/
# cp /etc/openvpn/easy-rsa/keys/client.crt /home/ubuntu/
# chown ubuntu:ubuntu /home/ubuntu/client.key
# chown ubuntu:ubuntu /home/ubuntu/client.crt
# chown ubuntu:ubuntu /home/ubuntu/ca.crt

Avec un ensemble complet de clés de chiffrement prêtes à l'emploi, vous devez indiquer au serveur comment vous souhaitez établir la VPN. Cela se fait via le fichier server.conf.

Réduction du nombre de frappes

Avez-vous trop à taper ? L'extension avec des parenthèses vous aidera à réduire ces six commandes à deux. Je suis sûr que vous pourrez apprendre ces deux exemples et comprendre ce qui se passe. Encore plus important, vous serez en mesure de comprendre comment appliquer ces principes à des opérations impliquant des dizaines voire des centaines d'éléments :

# cp /etc/openvpn/easy-rsa/keys/{ca.crt,client.{key,crt}} /home/ubuntu/
# chown ubuntu:ubuntu /home/ubuntu/{ca.crt,client.{key,crt}}

Configuration du fichier server.conf

Comment pouvez-vous savoir à quoi doit ressembler le fichier server.conf ? Rappelez-vous le modèle dans le répertoire easy-rsa que vous avez copié depuis /usr/share/? Lors de l'installation d'OpenVPN, un fichier d'archive de modèle de configuration a été laissé que vous pouvez copier dans /etc/openvpn/. Je partirai du principe que le modèle est compressé, et je vais vous présenter un outil utile : zcat.

Vous savez déjà comment afficher le contenu textuel d'un fichier à l'écran avec la commande cat, mais que faire si le fichier est compressé avec gzip ? Vous pouvez toujours décompresser le fichier, et alors cat se fera un plaisir de l'afficher, mais cela prend un ou deux pas de plus que nécessaire. Au lieu de cela, comme vous l'avez probablement deviné, vous pouvez entrer la commande zcat pour charger le texte décompressé en mémoire en une seule étape. Dans l'exemple suivant, au lieu d'afficher le texte à l'écran, vous le redirigerez vers un nouveau fichier nommé server.conf :

# zcat 
  /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz 
  > /etc/openvpn/server.conf
$ cd /etc/openvpn

Laissons de côté la documentation extensive et utile fournie avec le fichier, et voyons à quoi il pourrait ressembler lorsque vous avez terminé l'édition. Notez que le point-virgule (;) indique à OpenVPN de ne pas lire et exécuter la ligne suivante (liste 10.2).

Passons en revue certains de ces paramètres.

• Par défaut, OpenVPN fonctionne sur le port 1194. Vous pouvez changer cela, par exemple, pour dissimuler davantage vos actions ou éviter les conflits avec d'autres tunnels actifs. Puisque 1194 nécessite une coordination minimale avec les clients, c'est la meilleure option.
• OpenVPN utilise soit le protocole de contrôle de transmission (TCP), soit le protocole de datagrammes utilisateur (UDP) pour la transmission de données. TCP peut être un peu plus lent, mais il est plus fiable et plus susceptible d'être compris par les applications fonctionnant à chaque extrémité du tunnel.
• Vous pouvez spécifier dev tun lorsque vous souhaitez créer un tunnel IP plus simple et efficace qui transmet des données, sans rien d'autre. En revanche, si vous devez connecter plusieurs interfaces réseau (et les réseaux qu'elles représentent) en créant un pont Ethernet, vous devrez choisir dev tap. Si vous ne comprenez pas ce que cela signifie, utilisez l'argument tun.
• Les quatre lignes suivantes transmettent à OpenVPN les noms de trois fichiers d'authentification sur le serveur et le fichier de paramètres dh2048 que vous avez créé précédemment.
• La ligne server définit la plage et le masque de sous-réseau qui seront utilisés pour attribuer des adresses IP aux clients lors de leur connexion.
• Le paramètre optionnel push « route 10.0.3.0 255.255.255.0 » permet aux clients distants d'accéder aux sous-réseaux privés derrière le serveur. Pour que cela fonctionne, une configuration réseau doit également être effectuée sur le serveur, afin que le sous-réseau privé soit au courant du sous-réseau OpenVPN (10.8.0.0).
• La ligne port-share localhost 80 permet de rediriger le trafic client entrant par le port 1194 vers un serveur web local écoutant sur le port 80. (Cela sera utile si vous souhaitez utiliser un serveur web pour tester votre VPN.) Cela ne fonctionne que lorsque le protocole tcp est sélectionné.
• Les lignes user nobody et group nogroup doivent être actives — pour cela, il faut enlever les points-virgules (;). L'exécution des clients distants sous nobody et nogroup garantit que les sessions sur le serveur seront non privilégiées.
• log indique que les enregistrements actuels dans le journal écraseront les anciens enregistrements à chaque lancement d'OpenVPN, tandis que log-append ajoute de nouveaux enregistrements dans le fichier journal existant. Le fichier openvpn.log lui-même est enregistré dans le répertoire /etc/openvpn/.

De plus, la valeur client-to-client est souvent également ajoutée au fichier de configuration, afin que plusieurs clients puissent se voir mutuellement en plus du serveur OpenVPN. Si vous êtes satisfait de votre configuration, vous pouvez démarrer le serveur OpenVPN :

# systemctl start openvpn

En raison de la nature changeante des relations entre OpenVPN et systemd, il peut parfois être nécessaire d'utiliser une syntaxe telle que : systemctl start openvpn@server pour démarrer le service.

Le lancement de ip addr pour afficher la liste des interfaces réseau de votre serveur devrait maintenant afficher une référence à une nouvelle interface appelée tun0. OpenVPN la créera pour gérer les clients entrants :

$ ip addr
[...]
4: tun0: mtu 1500 qdisc [...]
      link/none
      inet 10.8.0.1 peer 10.8.0.2/32 scope global tun0
          valid_lft forever preferred_lft forever

Il se peut que vous ayez besoin de redémarrer le serveur avant que tout fonctionne correctement. La prochaine étape est l'ordinateur client.

10.1.2. Configuration du client OpenVPN

Traditionnellement, les tunnels sont construits avec au moins deux points de sortie (sinon nous les appellerions des cavernes). Un OpenVPN correctement configuré sur le serveur dirige le trafic vers et depuis le tunnel d'un côté. Mais vous aurez également besoin d'un logiciel fonctionnant côté client, c'est-à-dire à l'autre extrémité du tunnel.

Dans cette section, je vais me concentrer sur la configuration manuelle d'un ordinateur Linux de type particulier pour fonctionner en tant que client OpenVPN. Mais ce n'est pas la seule façon d'accéder à cette fonctionnalité. OpenVPN prend en charge des applications clientes que l'on peut installer et utiliser sur des ordinateurs de bureau et des ordinateurs portables sous Windows ou macOS, ainsi que sur des smartphones et tablettes sous Android et iOS. Pour plus de détails, voir openvpn.net.

Le paquet OpenVPN devra être installé sur l'ordinateur client, comme il a été installé sur le serveur, bien qu'il n'y ait pas besoin de easy-rsa, car les clés que vous utilisez existent déjà. Vous devez copier le fichier template client.conf dans le répertoire /etc/openvpn/, qui vient d'être créé. Cette fois, le fichier ne sera pas compressé, donc la commande cp fonctionnera parfaitement pour cette tâche :

# apt install openvpn
# cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf 
  /etc/openvpn/

La plupart des paramètres dans votre fichier client.conf seront assez clairs : ils doivent correspondre aux valeurs sur le serveur. Comme on peut le voir dans l'exemple suivant de fichier, le paramètre unique est remote 192.168.1.23 1194, qui indique au client l'adresse IP du serveur. Encore une fois, assurez-vous que c'est l'adresse de votre serveur. Vous devez également faire en sorte que l'ordinateur client vérifie l'authenticité du certificat du serveur afin d'éviter une éventuelle attaque de type « homme du milieu ». L'un des moyens d'y parvenir est d'ajouter la ligne remote-cert-tls server (listing 10.3).

Vous pouvez maintenant accéder au répertoire /etc/openvpn/ et extraire les clés de certification depuis le serveur. Remplacez l'adresse IP du serveur ou le nom de domaine dans l'exemple par vos valeurs :

Rien de palpitant ne se produira probablement tant que vous n'aurez pas lancé OpenVPN sur le client. Comme vous devez passer quelques arguments, vous le ferez à partir de la ligne de commande. L'argument —tls-client indique à OpenVPN que vous agirez en tant que client et vous vous connecterez via le chiffrement TLS, tandis que —config pointe vers votre fichier de configuration :

# openvpn --tls-client --config /etc/openvpn/client.conf

Lisez attentivement la sortie de la commande pour vous assurer que vous êtes correctement connecté. Si quelque chose ne va pas la première fois, cela peut être dû à des incohérences entre les fichiers de configuration du serveur et du client ou à un problème de connexion réseau/firewall. Voici quelques conseils pour dépanner.

• Lisez attentivement la sortie de l'opération OpenVPN sur le client. Elle contient souvent des conseils précieux sur ce qui ne peut pas être exécuté et pourquoi.
• Vérifiez les messages d'erreur dans les fichiers openvpn.log et openvpn-status.log dans le répertoire /etc/openvpn/ sur le serveur.
• Vérifiez les messages liés à OpenVPN dans les journaux système sur le serveur et le client, qui sont chronologiquement appropriés. (journalctl -ce affichera les enregistrements les plus récents.)
• Assurez-vous que vous avez une connexion réseau active entre le serveur et le client (voir plus de détails dans le chapitre 14).

À propos de l'auteur

David Clinton — administrateur système, enseignant et écrivain. Il a administré, écrit à ce sujet et créé du matériel pédagogique pour de nombreuses disciplines techniques importantes, y compris les systèmes Linux, l'informatique en nuage (en particulier AWS) et les technologies de conteneurs telles que Docker. Il a écrit le livre Learn Amazon Web Services in a Month of Lunches (Manning, 2017). De nombreux cours vidéo de formation sont disponibles sur Pluralsight.com, et des liens vers d'autres de ses livres (sur l'administration Linux et la virtualisation de serveurs) sont disponibles sur bootstrap-it.com.

» Pour plus de détails sur le livre, vous pouvez consulter le site de l'éditeur
» Table des matières
» Extrait

Pour les membres de Habr, une remise de 25 % avec le code promotionnel — Linux
Après le paiement de la version papier du livre, un livre électronique sera envoyé par e-mail.

Source : habr.com