2초 만에 Docker에서 OpenVPN 실행

안녕하세요, 하브로프스크 주민 여러분! 다른 도시, 국가 또는 대륙으로 가상으로 이동하고 싶은 상황에 직면한 적이 있습니까? 저는 이런 요구가 자주 있기 때문에 어디에서나 단 몇 초 만에 시작할 수 있는 VPN 서버를 가질 수 있는 기회가 매우 시급했습니다. 이 기사에서는 제가 어렸을 때 구상했던 프로젝트에 대해 이야기하고 싶습니다. 기성 솔루션을 찾고 있습니다. 이 경우 Docker는 최소한의 설정과 허용 가능한 보안 수준으로 OpenVPN 서버를 빠르게 설정할 수 있는 이미지입니다.

선사 시대

물리적 서버, 가상 사설 서버, 심지어 다른 컨테이너 관리 시스템 내부의 컨테이너 공간 등 모든 시스템에서 서비스를 실행할 수 있는 능력이 중요했습니다. 내 시선은 즉시 Docker에 떨어졌습니다. 첫째, 이 서비스가 인기를 얻고 있기 때문에 점점 더 많은 공급자가 사전 설치를 통해 기성 솔루션을 제공하고 있습니다. 둘째, 터미널에서 하나의 명령을 사용하여 서비스를 다운로드하고 실행할 수 있는 중앙 집중식 이미지 저장소가 있습니다. 이런 프로젝트가 이미 존재해야겠다는 생각이 들어 열심히 찾아봤습니다. 그러나 제가 찾은 대부분의 프로젝트는 너무 번거롭거나(영구적인 데이터 저장을 위한 컨테이너를 생성하고 다른 매개변수를 사용하여 애플리케이션과 함께 컨테이너를 여러 번 실행해야 함), 제대로 된 문서가 없거나 완전히 포기되었습니다. , 나는 당신의 프로젝트 작업을 시작했습니다. 문서 공부, 코드 작성, 디버깅을 앞두고 잠 못 이루는 밤이 있었지만, 결국 내 서비스는 빛을 보게 되었고 라우터의 단색 LED 패널의 모든 색상으로 빛나기 시작했습니다. 그러니 여러분의 사랑과 호의를 부탁드립니다. Docker-OpenVPN. 로고까지 생각해냈는데(위, 컷 전), 저는 (더 이상) 디자이너가 아니기 때문에 엄격하게 판단하지는 않습니다.이 프로젝트를 구현할 때 저는 배포 속도를 최우선으로 생각했습니다. 설정 및 허용되는 보안 수준. 시행착오를 거쳐 이러한 기준의 최적의 균형을 찾았지만 어떤 곳에서는 보안을 위해 배포 속도를 희생해야 했고 최소한의 설정으로 이식성을 지불해야 했습니다. 현재 구성에서는 한 서버에서 생성된 컨테이너는 다른 서버에서 전송하거나 실행할 수 없습니다. 예를 들어 서비스가 시작되면 모든 클라이언트 및 서버 인증서가 생성되며 이 작업에는 약 2초가 소요됩니다. 그러나 Hellman Defi 파일 생성은 빌드 시간에 포함되어야 했습니다. 이 파일은 Docker 이미지 빌드 중에 생성되며 최대 10분 동안 지속될 수 있습니다. 저는 존경받는 커뮤니티로부터 그러한 솔루션에 대한 보안 감사를 받고 싶습니다.

출시

서비스를 시작하려면 몇 가지 사항이 필요합니다.

1. 서버: 물리적 또는 가상. 이론적으로는 docker-within-docker 모드에서 실행하는 것이 가능하지만 이 옵션을 광범위하게 테스트하지는 않았습니다.
2. 사실 도커. 많은 호스팅 제공업체는 Docker가 탑재된 기성 솔루션을 제공합니다.
3. 공용 IP 주소.

모든 세부 정보가 준비되어 있으면 서버 콘솔에서 다음 명령을 실행하기만 하면 됩니다.

docker run --cap-add=NET_ADMIN 
-it -p 1194:1194/udp -p 80:8080/tcp 
-e HOST_ADDR=$(curl -s https://api.ipify.org) 
alekslitvinenk/openvpn

세심한 독자라면 서버 IP 주소가 다음을 사용하여 자동으로 결정된다는 점을 알아차렸을 것입니다. ipify.org. 어떤 이유로 이것이 작동하지 않으면 주소를 수동으로 지정할 수 있습니다. 이전 단계가 모두 올바르게 완료되면 콘솔에 비슷한 내용이 표시됩니다.

Sun Jun  9 08:56:11 2019 Initialization Sequence Completed
Sun Jun  9 08:56:12 2019 Client.ovpn file has been generated
Sun Jun  9 08:56:12 2019 Config server started, download your client.ovpn config at http://example.com/
Sun Jun  9 08:56:12 2019 NOTE: After you download you client config, http server will be shut down!

목표에 가까워졌습니다. 이제 복사해야 합니다. example.com (귀하의 경우 서버 주소가 됩니다) 브라우저의 주소 표시줄에 붙여넣습니다. Enter를 누르면 client.ovpn 파일이 다운로드되고 http 서버 자체는 망각 속으로 사라집니다. 이 해결 방법이 의심스러우면 다음 트릭을 사용할 수 있습니다. 이전 명령을 실행하고 플래그를 추가하세요. zp 그리고 비밀번호. 이제 생성된 링크를 브라우저 창에 붙여넣으면 비밀번호가 포함된 zip 아카이브를 받게 됩니다. 클라이언트 구성 파일이 있으면 적합한 클라이언트를 사용할 수 있습니다. 저는 Mac용 Tunnelblick을 사용합니다.

비디오 튜토리얼

이 비디오 튜토리얼에는 DigitalOcean에 서비스를 배포하기 위한 자세한 지침이 포함되어 있습니다.

PS 이 프로젝트가 유용하다고 생각되면 GitHub에서 별점을 주고 포크한 후 친구들에게 알리세요. 기여자와 보안 감사도 널리 환영받습니다.PPS 이 글이 Habr에서 끝난다면, 나는 docker-in-docker와 docker-in-docker-in-docker를 어떻게 시작했는지, 왜 그랬고 그 결과는 무엇인지에 대해 다음 글을 쓸 계획입니다.
EDIT1 :

1. 출판물의 오류를 수정했으며,
2. 의견에 대한 응답으로 저는 다음 정보를 여기에 넣기로 결정했습니다. iptables를 사용하려면 —privileged 플래그가 필요합니다.

EDIT2 :

1. 이미지 실행 명령 개선: 이제 –privileged 플래그가 필요하지 않습니다.
2. 러시아어 비디오 가이드에 대한 링크를 추가했습니다: youtu.be/A8zvrHsT9A0

출처 : habr.com