Lancez OpenVPN dans Docker en 2 secondes

Bonjour, chers habrovchans ! Avez-vous déjà été dans une situation où vous avez vraiment eu envie de vous téléporter virtuellement dans une autre ville, un autre pays ou un autre continent ? J'ai souvent ce besoin, c'est pourquoi avoir mon propre serveur VPN, que je peux démarrer n'importe où en quelques secondes, est devenu essentiel. Dans cet article, je souhaite vous parler de mon projet, que j'ai conçu lorsque je cherchais une solution prête à l'emploi, en l'occurrence une image Docker, qui permettrait de déployer rapidement un serveur OpenVPN, avec un minimum de configurations et un niveau de sécurité acceptable.

Contexte

La possibilité de lancer le service sur n'importe quelle machine : qu'il s'agisse d'un serveur physique, d'un serveur privé virtuel, ou même d'un espace de conteneurs au sein d'un autre système de gestion de conteneurs — était d'une importance cruciale. Mon attention s'est immédiatement portée sur Docker. Premièrement, ce service gagne en popularité, et par conséquent, de plus en plus de fournisseurs proposent des solutions prêtes à l'emploi avec son installation ; deuxièmement, il existe un dépôt centralisé d'images, d'où l'on peut télécharger et lancer le service avec une seule commande dans le terminal. L'idée qu'un tel projet devait déjà exister me traversait l'esprit, et j'ai cherché avec persistance. Mais la plupart des projets que j'ai trouvés étaient soit trop encombrants (il fallait créer un conteneur pour le stockage persistant des données et lancer plusieurs fois le conteneur avec l'application avec différents paramètres), soit sans documentation décente, soit complètement abandonnés. Ne trouvant rien de convenable, j'ai commencé à travailler sur mon projet. J'ai passé de nombreuses nuits blanches à étudier la documentation, à écrire du code et à déboguer, mais finalement mon service a vu le jour et a brillé de toutes les couleurs de la LED monochrome du panneau du routeur. Alors, je vous demande de l'accueillir chaleureusement — Docker-OpenVPN. J'ai même conçu un logo (ci-dessus, avant la coupure), mais ne le jugez pas trop sévèrement, car je ne suis pas designer (encore). Lorsque j'ai réalisé ce projet, j'ai mis l'accent sur la rapidité de déploiement, un minimum de configurations et un niveau de sécurité acceptable. Par essais et erreurs, j'ai trouvé un équilibre optimal entre ces critères, bien que, dans certains cas, j'ai dû sacrifier la rapidité de déploiement au profit de la sécurité, et le minimum de configurations a eu un coût en portabilité : dans la configuration actuelle, un conteneur créé sur un serveur ne peut pas être déplacé et exécuté sur un autre. Par exemple, tous les certificats clients et serveurs sont générés au moment du lancement du service et cela prend environ 2 secondes. Cependant, la génération du fichier Diffie-Hellman a dû être effectuée au moment de la construction : il est créé lors de la construction de l'image Docker et peut prendre jusqu'à 10 minutes. J'aimerais beaucoup obtenir un audit de sécurité d'une telle solution de la part de la très respectée communauté.

Lancement

Pour lancer le service, nous avons besoin de quelques éléments :

1. Serveur : physique ou virtuel. Théoriquement, il est possible de lancer en mode Docker-in-Docker, mais je n'ai pas effectué de tests à grande échelle de cette option ;
2. Docker lui-même. De nombreux fournisseurs d'hébergement proposent des solutions prêtes à l'emploi avec Docker « intégré » ;
3. Une adresse IP publique.

Si toutes les informations sont en ordre, nous n'avons plus qu'à exécuter la commande suivante dans la console de votre serveur :

docker run --cap-add=NET_ADMIN 
-it -p 1194:1194/udp -p 80:8080/tcp 
-e HOST_ADDR=$(curl -s https://api.ipify.org) 
alekslitvinenk/openvpn

Le lecteur attentif a peut-être remarqué que l'adresse IP du serveur est déterminée automatiquement à l'aide de ipify.org. Si, pour une raison quelconque, cela ne fonctionne pas, l'adresse peut être spécifiée manuellement. Si toutes les étapes précédentes ont été correctement exécutées, nous devrions voir dans la console quelque chose de semblable :

Sun Jun  9 08:56:11 2019 Initialization Sequence Completed
Sun Jun  9 08:56:12 2019 Le fichier Client.ovpn a été généré
Sun Jun  9 08:56:12 2019 Le serveur de configuration a démarré, téléchargez votre configuration client.ovpn à http://example.com/
Sun Jun  9 08:56:12 2019 REMARQUE : Après avoir téléchargé votre configuration client, le serveur HTTP sera arrêté !

Nous sommes proches de notre objectif : maintenant, nous devons copier example.com (dans votre cas, ce sera l'adresse de votre serveur) et collez-la dans la barre d'adresse de votre navigateur. Après avoir appuyé sur Entrée, le fichier client.ovpn sera téléchargé et le serveur http disparaîtra. Si cette solution suscite des doutes, vous pouvez utiliser cette astuce : relancer la commande précédente et ajouter des drapeaux zp et le mot de passe. Maintenant, si vous collez le lien généré dans la fenêtre de votre navigateur, vous recevrez une archive zip avec le mot de passe. Lorsque vous avez le fichier de configuration client, vous pouvez utiliser n'importe quel client approprié. J'utilise Tunnelblick pour Mac.

Tutoriel vidéo

Ce tutoriel vidéo contient des instructions détaillées sur le déploiement du service sur DigitalOcean.

P.S. Si vous trouvez ce projet utile, veuillez lui donner une étoile sur GitHub, le forker et en parler à vos amis. Les contributeurs et les audits de sécurité sont également les bienvenus.P.P.S. Si cet article est publié sur Habr, je prévois d'écrire le suivant sur comment j'ai lancé docker-dans-docker et docker-dans-docker-dans-docker, pourquoi je l'ai fait et ce qu'il en est sorti.
EDIT1 :

1. J'ai corrigé des erreurs dans la publication,
2. En répondant aux commentaires, j'ai décidé de mettre cette information ici : le drapeau —privileged est nécessaire pour travailler avec iptables

EDIT2 :

1. J'ai amélioré la commande de lancement de l'image : elle ne nécessite plus le drapeau —privileged
2. J'ai ajouté un lien vers un tutoriel vidéo en russe : youtu.be/A8zvrHsT9A0

Source : habr.com