გაუშვით OpenVPN Docker-ში 2 წამში

გამარჯობა ხაბროვსკის მცხოვრებლებო! ოდესმე შეგხვედრიათ სიტუაცია, როდესაც ნამდვილად გინდოდათ სხვა ქალაქში, ქვეყანაში ან კონტინენტზე ვირტუალურად გადაყვანა? მე საკმაოდ ხშირად მაქვს ეს მოთხოვნილება, ამიტომ შესაძლებლობა მქონოდა საკუთარი VPN სერვერი, რომელიც შეიძლება გაშვებულიყო სადმე, რამდენიმე წამში, საკმაოდ აქტუალური იყო. ამ სტატიაში მინდა ვისაუბრო ჩემს პროექტზე, რომელიც ჩავიფიქრე, როდესაც ვიყავი ეძებს მზა გამოსავალს, ამ შემთხვევაში Docker სურათს, რომელიც საშუალებას მოგცემთ სწრაფად დააყენოთ OpenVPN სერვერი, მინიმალური პარამეტრებით და უსაფრთხოების მისაღები დონით.

წინაისტორია

სერვისის გაშვების შესაძლებლობა ნებისმიერ მანქანაზე - იქნება ეს ფიზიკური სერვერი, თუ ვირტუალური კერძო სერვერი, ან თუნდაც კონტეინერის სივრცე სხვა კონტეინერის მართვის სისტემაში - კრიტიკული იყო. ჩემი მზერა მაშინვე დოკერზე დაეცა. პირველ რიგში, ეს სერვისი პოპულარობას იძენს და, შესაბამისად, უფრო და უფრო მეტი პროვაიდერი აწვდის მზა გადაწყვეტილებებს მისი წინასწარი ინსტალაციის საშუალებით; მეორეც, არის სურათების ცენტრალიზებული შენახვა, საიდანაც შეგიძლიათ ჩამოტვირთოთ და გაუშვათ სერვისი ტერმინალში ერთი ბრძანების გამოყენებით. იდეა, რომ ასეთი პროექტი უკვე უნდა არსებობდეს, გამიჩნდა და ძალიან მოვძებნე. მაგრამ პროექტების უმეტესობა, რაც მე ვიპოვე, ან ძალიან შრომატევადი იყო (თქვენ უნდა შეგექმნათ კონტეინერი მონაცემთა მუდმივი შესანახად და კონტეინერი აპლიკაციით რამდენჯერმე გაუშვათ სხვადასხვა პარამეტრებით), ან საღი დოკუმენტაციის გარეშე, ან სრულიად მიტოვებული. ვერაფერი მისაღები. , დავიწყე შენს პროექტზე მუშაობა. დოკუმენტაციის შესწავლის, კოდის დაწერისა და გამართვის წინ იყო უძილო ღამეები, მაგრამ საბოლოოდ ჩემმა სერვისმა დღის სინათლე დაინახა და როუტერის მონოქრომული LED პანელის ყველა ფერით დაიწყო ბზინვარება. ასე რომ, მე გთხოვ გიყვარდეს და კეთილგანწყობა - Docker-OpenVPN. ლოგოც კი მოვიფიქრე (ზემოთ, გაჭრამდე), მაგრამ მკაცრად არ განსაჯოთ, რადგან დიზაინერი არ ვარ (აღარ ვარ) როცა ეს პროექტი განვახორციელე, პრიორიტეტად განლაგების სიჩქარე, მინიმუმ პარამეტრები და უსაფრთხოების მისაღები დონე. ცდისა და შეცდომის საშუალებით აღმოვაჩინე ამ კრიტერიუმების ოპტიმალური ბალანსი, თუმცა, ზოგ ადგილას უსაფრთხოებისთვის მომიწია განლაგების სიჩქარის შეწირვა და მინიმალური პარამეტრებისთვის უნდა გადამეხადა პორტაბელურობა: მიმდინარე კონფიგურაციაში, ერთ სერვერზე შექმნილი კონტეინერის გადატანა და გაშვება შეუძლებელია. მაგალითად, ყველა კლიენტისა და სერვერის სერთიფიკატი გენერირდება სერვისის დაწყებისას და ამას დაახლოებით 2 წამი დასჭირდება. თუმცა, Hellman Defi ფაილის გენერაცია უნდა ჩაითვალოს აშენების დროში: ის იქმნება დოკერის სურათის აგების დროს და შეიძლება გაგრძელდეს 10 წუთამდე. მე ნამდვილად მინდა მივიღო ასეთი გადაწყვეტის უსაფრთხოების აუდიტი პატივცემული საზოგადოებისგან.

Запуск

სერვისის დასაწყებად ჩვენ გვჭირდება რამდენიმე რამ:

1. სერვერი: ფიზიკური ან ვირტუალური. თეორიულად შესაძლებელია დოკერ-ში-დოკერის რეჟიმში გაშვება, მაგრამ ეს ვარიანტი ფართოდ არ გამომიცდია;
2. რეალურად დოკერი. ბევრი ჰოსტინგის პროვაიდერი უზრუნველყოფს მზა გადაწყვეტილებებს Docker-ის ბორტზე;
3. საჯარო IP მისამართი.

თუ ყველა დეტალი ადგილზეა, მაშინ ყველაფერი რაც უნდა გავაკეთოთ არის შემდეგი ბრძანების გაშვება თქვენი სერვერის კონსოლში:

docker run --cap-add=NET_ADMIN 
-it -p 1194:1194/udp -p 80:8080/tcp 
-e HOST_ADDR=$(curl -s https://api.ipify.org) 
alekslitvinenk/openvpn

ყურადღებიანმა მკითხველმა შეიძლება შეამჩნია, რომ სერვერის IP მისამართი ავტომატურად განისაზღვრება გამოყენებით ipify.org. თუ რაიმე მიზეზით ეს არ მუშაობს, მაშინ შეგიძლიათ მიუთითოთ მისამართი ხელით. თუ ყველა წინა ნაბიჯი სწორად იყო დასრულებული, მაშინ მსგავსი რამ უნდა დავინახოთ კონსოლში:

Sun Jun  9 08:56:11 2019 Initialization Sequence Completed
Sun Jun  9 08:56:12 2019 Client.ovpn file has been generated
Sun Jun  9 08:56:12 2019 Config server started, download your client.ovpn config at http://example.com/
Sun Jun  9 08:56:12 2019 NOTE: After you download you client config, http server will be shut down!

ჩვენ ახლოს ვართ მიზანთან: ახლა ჩვენ გვჭირდება კოპირება example.com (თქვენს შემთხვევაში ეს იქნება თქვენი სერვერის მისამართი) და ჩასვით ბრაუზერის მისამართის ზოლში. Enter-ის დაჭერის შემდეგ ჩამოიტვირთება client.ovpn ფაილი და თავად http სერვერი დავიწყებას მისცემს. თუ ეს გამოსავალი საეჭვოა, შეგიძლიათ გამოიყენოთ შემდეგი ხრიკი: გაუშვით წინა ბრძანება და დაამატეთ დროშები zp და პაროლი. ახლა, თუ გენერირებულ ბმულს ჩასვით ბრაუზერის ფანჯარაში, მიიღებთ zip არქივს პაროლით. მას შემდეგ, რაც თქვენ გაქვთ კლიენტის კონფიგურაციის ფაილი, შეგიძლიათ გამოიყენოთ ნებისმიერი შესაფერისი კლიენტი. მე ვიყენებ Tunnelblick-ს Mac-ისთვის.

ვიდეო გაკვეთილი

ეს ვიდეო გაკვეთილი შეიცავს დეტალურ ინსტრუქციას სერვისის DigitalOcean-ზე დანერგვისთვის.

PS თუ ეს პროექტი თქვენთვის სასარგებლოა, გთხოვთ, მიანიჭეთ მას ვარსკვლავი GitHub-ზე, გაანადგურეთ და უთხარით თქვენს მეგობრებს. კონტრიბუტორები და უსაფრთხოების აუდიტები ასევე ფართოდ მიესალმებიან.PPS თუ ეს სტატია დასრულდება Habr-ზე, მაშინ მე ვგეგმავ დავწერო შემდეგი იმის შესახებ, თუ როგორ გავუშვი docker-in-docker და docker-in-docker-in-docker, რატომ გავაკეთე ეს და რა გამოვიდა მისგან.
EDIT1:

1. გამოასწორა შეცდომები პუბლიკაციაში,
2. კომენტარებზე საპასუხოდ, გადავწყვიტე, რომ ეს ინფორმაცია აქ დავსვა: — პრივილეგირებული დროშა საჭიროა iptables-თან მუშაობისთვის

EDIT2:

1. გაუმჯობესდა გამოსახულების გაშვების ბრძანება: ახლა მას არ სჭირდება –პრივილეგირებული დროშა
2. დაემატა ბმული რუსულენოვან ვიდეო სახელმძღვანელოს: youtu.be/A8zvrHsT9A0

წყარო: www.habr.com