🥇Loosst eis starten OpenVPN an Docker an 2 Sekonnen

Moien, Habrites! Wars du schonn emol an enger Situatioun, wou s du wierklech virtuell an eng aner Stad, e Land oder e Kontinent wollts reesen? Ech hunn dëse Besoin zimlech dacks, dofir war d'Méiglechkeet, mäin eegene VPN-Server ze hunn, deen ech a Sekonne vun iwwerall starten kann, zimlech dringend. An dësem Artikel wëll ech e Projet deelen, deen ech mir virgestallt hunn, wéi ech no enger fäerdeger Léisung gesicht hunn - an dësem Fall en Docker-Image, dat et mir erlaabt, se séier opzestellen. OpenVPN Server mat minimalen Astellungen an engem akzeptablen Sécherheetsniveau.

Virgeschicht

D'Kapazitéit fir de Service op all Maschinn ze lafen - sief et e kierperleche Server, oder e virtuelle private Server, oder souguer e Containerraum an engem anere Containermanagementsystem - war kritesch. Meng Ae sinn direkt op Docker gefall. Éischtens, ass dëse Service Popularitéit gewinnt, an dofir ëmmer méi Fournisseuren déi fäerdeg Léisungen mat senger Pre-Installatioun; zweetens gëtt et eng zentraliséiert Späichere vu Biller vu wou Dir de Service eroflueden an ausféieren kënnt mat engem Kommando am Terminal. D'Iddi, datt esou e Projet scho soll existéieren, ass op mech komm an ech hu vill gesicht. Awer déi meescht vun de Projeten, déi ech fonnt hunn, waren entweder ze ëmständlech (Dir musst e Container fir permanent Datelagerung erstellen an de Container mat der Applikatioun e puer Mol mat verschiddene Parameteren starten), oder ouni vernünfteg Dokumentatioun, oder komplett opginn , Ech hunn ugefaang un Ärem Projet ze schaffen. Et waren schloflos Nuechte virum Studium vun der Dokumentatioun, Schreiwen vum Code an Debugging, awer schlussendlech huet mäi Service d'Liicht vum Dag gesinn an huet ugefaang mat all de Faarwen vum Monochrom LED Panel vum Router ze blénken. Also, ech froen Iech gär a favoriséiert - Docker-OpenVPN. Ech koum souguer mat engem Logo (uewen, virum Schnëtt), awer beurteelt et net strikt, well ech sinn keen Designer (méi Wann ech dëse Projet ëmgesat hunn, hunn ech d'Vitesse vun der Détachement prioritär gemaach, e Minimum vun). Astellungen an en akzeptablen Sécherheetsniveau. Duerch Versuch a Feeler hunn ech den optimale Gläichgewiicht vun dëse Critèren fonnt, awer op e puer Plazen hunn ech d'Deploymentgeschwindegkeet fir d'Sécherheet opferen, a fir de Minimum vun Astellunge muss ech fir Portabilitéit bezuelen: an der aktueller Konfiguratioun, eng Container eemol op engem Server erstallt gëtt, kann net iwwerdroen an op engem aneren lancéiert ginn. Zum Beispill ginn all Client- a Serverzertifikater generéiert wann de Service ufänkt an dëst dauert ongeféier 2 Sekonnen. Wéi och ëmmer, d'Generatioun vun der Hellman Defi-Datei huet missen an d'Bauzäit geholl ginn: et gëtt wärend dem Bau vum Docker-Bild erstallt a kann bis zu 10 Minutten daueren. Ech géif wierklech gären e Sécherheetsaudit vun esou enger Léisung vun der respektéierter Gemeinschaft kréien.

Lancéiere

Fir de Service unzefänken brauche mir e puer Saachen:

Server: kierperlech oder virtuell. Et ass theoretesch méiglech am Docker-bannen-Docker Modus ze lafen, awer ech hunn dës Optioun net extensiv getest;
Eigentlech Docker. Vill Hosting Ubidder bidden fäerdeg Léisunge mat Docker u Bord;
Ëffentlech IP Adress.

Wann all d'Detailer op der Plaz sinn, dann alles wat mir maache mussen ass de folgende Kommando an der Konsole vun Ärem Server lafen:

docker run --cap-add=NET_ADMIN 
-it -p 1194:1194/udp -p 80:8080/tcp 
-e HOST_ADDR=$(curl -s https://api.ipify.org) 
alekslitvinenk/openvpn

En opmierksam Lieser kéint gemierkt hunn datt d'Server IP Adress automatesch bestëmmt gëtt benotzt ipify.org. Wann aus iergendengem Grond dëst net funktionnéiert, da kënnt Dir d'Adress manuell spezifizéieren.

Sun Jun  9 08:56:11 2019 Initialization Sequence Completed
Sun Jun  9 08:56:12 2019 Client.ovpn file has been generated
Sun Jun  9 08:56:12 2019 Config server started, download your client.ovpn config at http://example.com/
Sun Jun  9 08:56:12 2019 NOTE: After you download you client config, http server will be shut down!

Mir sinn no beim Zil: elo musse mir kopéieren example.com (an Ärem Fall ass et d'Adress vun Ärem Server) a paste se an d'Adressbar vun Ärem Browser. Nodeems Dir op Enter dréckt, gëtt d'client.ovpn Datei erofgelueden, an den http Server selwer wäert an d'Vergiess verschwannen. Wann dës Léisung am Zweifel ass, kënnt Dir de folgenden Trick benotzen: de fréiere Kommando lafen a Fändelen addéieren zp a Passwuert. Elo, wann Dir de generéierte Link an eng Browserfenster pecht, kritt Dir e Zip-Archiv mat engem Passwuert Wann Dir eng Clientkonfiguratiounsdatei hutt, kënnt Dir all gëeegent Client benotzen. Ech benotzen Tunnelblick fir Mac.

Video Tutorial

Dëse Video Tutorial enthält detailléiert Instruktioune fir de Service op DigitalOcean z'installéieren.

PS Wann Dir dëse Projet nëtzlech fannt, gitt w.e.g. e Stär op GitHub, gitt et a sot Äre Frënn. Contributeure a Sécherheetsaudits sinn och wäit begréisst.Pps Wann dësen Artikel op Habr endet, da plangen ech deen nächsten ze schreiwen iwwer wéi ech Docker-in-Docker an Docker-in-Docker-in-Docker lancéiert hunn, firwat ech et gemaach hunn a wat erauskoum.
EDIT1:

Korrigéiert Feeler an der Publikatioun,
Äntwert op Kommentaren, hunn ech beschloss dës Informatioun hei ze setzen: de -privilegéierte Fändel ass gebraucht fir mat iptables ze schaffen

EDIT2: