ProHoster > Blogs > Administrācija > Grāmata "Linux darbībā"

Grāmata "Linux darbībā"

Grāmata "Linux darbÄ«bā" Sveiki, Khabro iedzÄ«votāji! Grāmatā Deivids Klintons apraksta 12 reālās dzÄ«ves projektus, tostarp dublÄ“Å”anas un atkopÅ”anas sistēmas automatizāciju, Dropbox stila personÄ«go failu mākoņa iestatÄ«Å”anu un sava MediaWiki servera izveidi. Izmantojot interesantus gadÄ«jumu izpēti, jÅ«s izpētÄ«sit virtualizāciju, avāriju atkopÅ”anu, droŔību, dublÄ“Å”anu, DevOps un sistēmas problēmu novērÅ”anu. Katra nodaļa beidzas ar paraugprakses apskatu, jaunu terminu glosāriju un vingrinājumiem.

Fragments ā€œ10.1. OpenVPN tuneļa izveide"

Å ajā grāmatā es jau daudz runāju par Å”ifrÄ“Å”anu. SSH un SCP var aizsargāt datus, kas pārsÅ«tÄ«ti, izmantojot attālos savienojumus (3. nodaļa), failu Å”ifrÄ“Å”ana var aizsargāt datus, kamēr tie tiek glabāti serverÄ« (8. nodaļa), un TLS/SSL sertifikāti var aizsargāt datus, kas tiek pārsÅ«tÄ«ti starp vietnēm un klientu pārlÅ«kprogrammām (9. nodaļa). . Bet dažreiz jÅ«su dati ir jāaizsargā plaŔākā savienojumu klāstā. Piemēram, iespējams, daži no jÅ«su komandas locekļiem strādā ceļā, vienlaikus izveidojot savienojumu ar Wi-Fi, izmantojot publiskos tÄ«klājus. Jums noteikti nevajadzētu uzskatÄ«t, ka visi Ŕādi piekļuves punkti ir droÅ”i, taču jÅ«su darbiniekiem ir nepiecieÅ”ams veids, kā izveidot savienojumu ar uzņēmuma resursiem, un Å”eit var palÄ«dzēt VPN.

Pareizi izstrādāts VPN tunelis nodroÅ”ina tieÅ”u savienojumu starp attāliem klientiem un serveri tādā veidā, kas slēpj datus, kad tie pārvietojas nedroŔā tÄ«klā. Nu ko? JÅ«s jau esat redzējis daudzus rÄ«kus, kas to var paveikt ar Å”ifrÄ“Å”anu. VPN patiesā vērtÄ«ba ir tāda, ka, atverot tuneli, jÅ«s varat savienot attālos tÄ«klus tā, it kā tie visi bÅ«tu lokāli. Savā ziņā jÅ«s izmantojat apvedceļu.

Izmantojot Å”o paplaÅ”ināto tÄ«klu, administratori var veikt savu darbu savos serveros no jebkuras vietas. Bet vēl svarÄ«gāk ir tas, ka uzņēmums, kura resursi ir sadalÄ«ti vairākās vietās, var padarÄ«t tos visus redzamus un pieejamus visām grupām, kurām tie ir nepiecieÅ”ami, neatkarÄ«gi no to atraÅ”anās vietas (10.1. attēls).

Pats tunelis negarantē droŔību. Bet vienu no Å”ifrÄ“Å”anas standartiem var iekļaut tÄ«kla struktÅ«rā, kas bÅ«tiski paaugstina droŔības lÄ«meni. Tuneļos, kas izveidoti, izmantojot atvērtā pirmkoda OpenVPN pakotni, tiek izmantota tā pati TLS/SSL Å”ifrÄ“Å”ana, par kuru jau esat lasÄ«jis. OpenVPN nav vienÄ«gā pieejamā tunelÄ“Å”anas iespēja, taču tā ir viena no pazÄ«stamākajām. Tiek uzskatÄ«ts, ka tas ir nedaudz ātrāks un droŔāks nekā alternatÄ«vais Layer 2 tuneļa protokols, kas izmanto IPsec Å”ifrÄ“Å”anu.

Vai vēlaties, lai visi jÅ«su komandā droÅ”i sazinātos savā starpā, atrodoties ceļā vai strādājot dažādās ēkās? Lai to izdarÄ«tu, jums ir jāizveido OpenVPN serveris, lai atļautu lietojumprogrammu koplietoÅ”anu un piekļuvi servera lokālā tÄ«kla videi. Lai tas darbotos, viss, kas jums jādara, ir jāpalaiž divas virtuālās maŔīnas vai divi konteineri: viens darbojas kā serveris/resursdators un otrs kā klients. VPN izveide nav vienkārÅ”s process, tāpēc, iespējams, ir vērts veltÄ«t dažas minÅ«tes, lai iegÅ«tu kopainu.

Grāmata "Linux darbībā"

10.1.1. OpenVPN servera konfigurācija

Pirms sākat, es jums sniegÅ”u dažus noderÄ«gus padomus. Ja grasāties to darÄ«t pats (un es ļoti iesaku to darÄ«t), iespējams, strādāsit ar vairākiem darbvirsmas termināļa logiem, no kuriem katrs ir savienots ar citu iekārtu. Pastāv risks, ka kādā brÄ«dÄ« logā ievadÄ«siet nepareizu komandu. Lai no tā izvairÄ«tos, varat izmantot komandu hostname, lai komandrindā parādÄ«to maŔīnas nosaukumu mainÄ«tu uz tādu, kas skaidri norāda jÅ«su atraÅ”anās vietu. Kad tas bÅ«s izdarÄ«ts, jums bÅ«s jāatsakās no servera un jāpiesakās vēlreiz, lai jaunie iestatÄ«jumi stātos spēkā. Tas izskatās Ŕādi:

Grāmata "Linux darbībā"
Ievērojot Å”o pieeju un pieŔķirot atbilstoÅ”u nosaukumu katrai iekārtai, ar kuru strādājat, varat viegli izsekot, kur atrodaties.

Pēc saimniekdatora nosaukuma izmantoÅ”anas, izpildot nākamās komandas, var rasties kaitinoÅ”i ziņojumi Nevar atrisināt Host OpenVPN-Server. Atjauninot /etc/hosts failu ar atbilstoÅ”u jauno resursdatora nosaukumu, problēma jāatrisina.

Servera sagatavoŔana OpenVPN

Lai instalētu OpenVPN savā serverÄ«, ir nepiecieÅ”amas divas pakotnes: openvpn un easy-rsa (lai pārvaldÄ«tu Å”ifrÄ“Å”anas atslēgas Ä£enerÄ“Å”anas procesu). CentOS lietotājiem, ja nepiecieÅ”ams, vispirms jāinstalē epel-release repozitorijs, kā jÅ«s to darÄ«jāt 2. nodaļā. Lai varētu pārbaudÄ«t piekļuvi servera lietojumprogrammai, varat arÄ« instalēt Apache tÄ«mekļa serveri (apache2 Ubuntu un httpd uz CentOS).

Kamēr iestatāt serveri, iesaku aktivizēt ugunsmūri, kas bloķē visus portus, izņemot 22 (SSH) un 1194 (OpenVPN noklusējuma ports). Šis piemērs parāda, kā ufw darbotos Ubuntu, taču esmu pārliecināts, ka jūs joprojām atceraties CentOS ugunsmūra programmu no 9. nodaļas:

# ufw enable
# ufw allow 22
# ufw allow 1194

Lai iespējotu iekŔējo marÅ”rutÄ“Å”anu starp servera tÄ«kla saskarnēm, failā /etc/sysctl.conf ir jāatceļ viena rindiņa (net.ipv4.ip_forward = 1). Tas ļaus attālos klientus pēc vajadzÄ«bas novirzÄ«t pēc savienojuma izveides. Lai jaunā opcija darbotos, palaidiet sysctl -p:

# nano /etc/sysctl.conf
# sysctl -p

Jūsu servera vide tagad ir pilnībā konfigurēta, taču ir vēl viena lieta, kas jāizdara, pirms esat gatavs: jums būs jāveic tālāk norādītās darbības (mēs tās sīkāk apskatīsim tālāk).

  1. ServerÄ« izveidojiet publiskās atslēgas infrastruktÅ«ras (PKI) Å”ifrÄ“Å”anas atslēgu kopu, izmantojot skriptus, kas ir iekļauti pakotnē easy-rsa. BÅ«tÄ«bā OpenVPN serveris darbojas arÄ« kā sava sertifikātu iestāde (CA).
  2. Sagatavojiet klientam atbilstoÅ”as ā€‹ā€‹atslēgas
  3. Konfigurējiet serverim failu server.conf
  4. Iestatiet savu OpenVPN klientu
  5. Pārbaudiet savu VPN

Å ifrÄ“Å”anas atslēgu Ä£enerÄ“Å”ana

Lai lietas bÅ«tu vienkārÅ”as, galveno infrastruktÅ«ru varat iestatÄ«t tajā paŔā datorā, kurā darbojas OpenVPN serveris. Tomēr droŔības paraugprakse parasti iesaka ražoÅ”anas izvietoÅ”anai izmantot atseviŔķu CA serveri. Å ifrÄ“Å”anas atslēgas resursu Ä£enerÄ“Å”anas un izplatÄ«Å”anas process izmantoÅ”anai OpenVPN ir parādÄ«ts attēlā. 10.2.

Grāmata "Linux darbībā"
Kad instalējāt OpenVPN, direktorijs /etc/openvpn/ tika izveidots automātiski, taču tajā vēl nav nekā. Openvpn un easy-rsa pakotnēs ir iekļauti veidņu failu piemēri, kurus varat izmantot kā pamatu savai konfigurācijai. Lai sāktu sertifikācijas procesu, kopējiet easy-rsa veidnes direktoriju no /usr/share/ uz /etc/openvpn un mainiet uz easy-rsa/ direktoriju:

# cp -r /usr/share/easy-rsa/ /etc/openvpn
$ cd /etc/openvpn/easy-rsa

Easy-rsa direktorijā tagad būs daudz skriptu. Tabulā 10.1 ir uzskaitīti rīki, kurus izmantosit atslēgu izveidei.

Grāmata "Linux darbībā"

IepriekÅ”minētajām darbÄ«bām ir nepiecieÅ”amas root tiesÄ«bas, tāpēc jums ir jākļūst par root, izmantojot sudo su.

Pirmais fails, ar kuru strādāsit, tiek saukts par vars, un tajā ir vides mainÄ«gie, ko easy-rsa izmanto, Ä£enerējot atslēgas. Fails ir jārediģē, lai izmantotu savas vērtÄ«bas, nevis jau esoŔās noklusējuma vērtÄ«bas. Šādi izskatÄ«sies mans fails (10.1. saraksts).

Uzskaitījums 10.1. Galvenie faila fragmenti /etc/openvpn/easy-rsa/vars

export KEY_COUNTRY="CA"
export KEY_PROVINCE="ON"
export KEY_CITY="Toronto"
export KEY_ORG="Bootstrap IT"
export KEY_EMAIL="[email protected]"
export KEY_OU="IT"

Palaižot vars failu, tā vērtÄ«bas tiks nodotas čaulas videi, kur tās tiks iekļautas jÅ«su jauno atslēgu saturā. Kāpēc sudo komanda pati par sevi nedarbojas? Jo pirmajā solÄ« mēs rediģējam skriptu ar nosaukumu vars un pēc tam lietojam to. PiemēroÅ”ana un nozÄ«mē, ka vars fails nodod savas vērtÄ«bas čaulas videi, kur tās tiks iekļautas jÅ«su jauno atslēgu saturā.

Noteikti atkārtoti palaidiet failu, izmantojot jaunu čaulu, lai pabeigtu nepabeigto procesu. Kad tas ir izdarīts, skripts liks jums palaist citu skriptu, notīrot visu, lai noņemtu jebkādu saturu direktorijā /etc/openvpn/easy-rsa/keys/:

Grāmata "Linux darbībā"
Protams, nākamais solis ir palaist skriptu ā€œclean-allā€, kam seko build-ca, kas izmanto pkitool skriptu, lai izveidotu saknes sertifikātu. Jums tiks lÅ«gts apstiprināt identitātes iestatÄ«jumus, ko nodroÅ”ina vars:

# ./clean-all
# ./build-ca
Generating a 2048 bit RSA private key

Nākamais nāk build-key-server skripts. Tā kā tas izmanto to paÅ”u pkitool skriptu kopā ar jaunu saknes sertifikātu, jÅ«s redzēsit tos paÅ”us jautājumus, lai apstiprinātu atslēgu pāra izveidi. Atslēgām tiks pieŔķirti nosaukumi, pamatojoties uz jÅ«su nodotajiem argumentiem, kas parasti ir serveris, kā parādÄ«ts piemērā, ja vien Å”ajā maŔīnā nedarbojat vairākus VPN:

# ./build-key-server server
[...]
Certificate is to be certified until Aug 15 23:52:34 2027 GMT (3650 days)
Sign the certificate? [y/n]:y
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated

OpenVPN izmanto Diffie-Hellman algoritma Ä£enerētus parametrus (izmantojot build-dh), lai vienotos par autentifikāciju jauniem savienojumiem. Å eit izveidotajam failam nav jābÅ«t slepenam, bet tas ir jāģenerē, izmantojot skriptu build-dh RSA atslēgām, kas paÅ”laik ir aktÄ«vas. Ja nākotnē izveidosit jaunas RSA atslēgas, jums bÅ«s jāatjaunina arÄ« Diffie-Hellman fails:

# ./build-dh

Jūsu servera puses atslēgas tagad nonāks direktorijā /etc/openvpn/easy-rsa/keys/, taču OpenVPN to nezina. Pēc noklusējuma OpenVPN meklēs atslēgas mapē /etc/openvpn/, tāpēc kopējiet tās:

# cp /etc/openvpn/easy-rsa/keys/server* /etc/openvpn
# cp /etc/openvpn/easy-rsa/keys/dh2048.pem /etc/openvpn
# cp /etc/openvpn/easy-rsa/keys/ca.crt /etc/openvpn

Klientu Å”ifrÄ“Å”anas atslēgu sagatavoÅ”ana

Kā jau redzējāt, TLS Å”ifrÄ“Å”anai tiek izmantoti atbilstoÅ”o atslēgu pāri: viena ir instalēta serverÄ« un viena ir instalēta attālajā klientā. Tas nozÄ«mē, ka jums bÅ«s nepiecieÅ”amas klienta atslēgas. MÅ«su vecais draugs pkitool ir tieÅ”i tas, kas jums nepiecieÅ”ams. Å ajā piemērā, kad mēs palaižam programmu direktorijā /etc/openvpn/easy-rsa/, mēs tai nododam klienta argumentu, lai Ä£enerētu failus ar nosaukumu client.crt un client.key:

# ./pkitool client

Abi klienta faili kopā ar sākotnējo ca.crt failu, kas joprojām atrodas atslēgas/ direktorijā, tagad ir droÅ”i jāpārsÅ«ta uz jÅ«su klientu. Viņu Ä«paÅ”umtiesÄ«bu un piekļuves tiesÄ«bu dēļ tas var nebÅ«t tik vienkārÅ”i. VienkārŔākā pieeja ir manuāli kopēt avota faila saturu (un tikai Å”o saturu) terminālÄ«, kas darbojas datora darbvirsmā (atlasiet tekstu, ar peles labo pogu noklikŔķiniet uz tā un izvēlnē atlasiet Kopēt). Pēc tam ielÄ«mējiet to jaunā failā ar tādu paÅ”u nosaukumu, kādu izveidojat otrajā terminālÄ«, kas savienots ar jÅ«su klientu.

Bet ikviens var izgriezt un ielÄ«mēt. Tā vietā domājiet kā administrators, jo jums ne vienmēr bÅ«s piekļuve GUI, kurā ir iespējamas izgrieÅ”anas/ielÄ«mÄ“Å”anas darbÄ«bas. Kopējiet failus uz sava lietotāja mājas direktoriju (lai attālā scp darbÄ«ba varētu tiem piekļūt) un pēc tam izmantojiet chown, lai mainÄ«tu failu Ä«paÅ”umtiesÄ«bas no saknes uz parastu lietotāju, kas nav saknes lietotājs, lai varētu veikt attālo scp darbÄ«bu. Pārliecinieties, vai visi faili paÅ”laik ir instalēti un pieejami. JÅ«s tos pārvietosit klientam nedaudz vēlāk:

# cp /etc/openvpn/easy-rsa/keys/client.key /home/ubuntu/
# cp /etc/openvpn/easy-rsa/keys/ca.crt /home/ubuntu/
# cp /etc/openvpn/easy-rsa/keys/client.crt /home/ubuntu/
# chown ubuntu:ubuntu /home/ubuntu/client.key
# chown ubuntu:ubuntu /home/ubuntu/client.crt
# chown ubuntu:ubuntu /home/ubuntu/ca.crt

Kad pilns Å”ifrÄ“Å”anas atslēgu komplekts ir gatavs lietoÅ”anai, jums ir jāpaziņo serverim, kā vēlaties izveidot VPN. Tas tiek darÄ«ts, izmantojot failu server.conf.

Taustiņu nospieÅ”anas skaita samazināŔana

Vai ir pārāk daudz rakstÄ«Å”anas? PaplaÅ”ināŔana ar iekavām palÄ«dzēs samazināt Ŕīs seÅ”as komandas lÄ«dz divām. Esmu pārliecināts, ka varat izpētÄ«t Å”os divus piemērus un saprast, kas notiek. Vēl svarÄ«gāk ir tas, ka jÅ«s varēsit saprast, kā piemērot Å”os principus darbÄ«bām, kas ietver desmitiem vai pat simtiem elementu:

# cp /etc/openvpn/easy-rsa/keys/{ca.crt,client.{key,crt}} /home/ubuntu/
# chown ubuntu:ubuntu /home/ubuntu/{ca.crt,client.{key,crt}}

Server.conf faila iestatīŔana

Kā jÅ«s varat zināt, kā vajadzētu izskatÄ«ties failam server.conf? Atcerieties easy-rsa direktorija veidni, ko nokopējāt no /usr/share/? Kad instalējāt OpenVPN, jums palika saspiests konfigurācijas veidnes fails, kuru varat kopēt mapē /etc/openvpn/. Es izmantoÅ”u faktu, ka veidne ir arhivēta, un iepazÄ«stināŔu jÅ«s ar noderÄ«gu rÄ«ku: zcat.

JÅ«s jau zināt par faila teksta satura drukāŔanu ekrānā, izmantojot komandu cat, bet ko darÄ«t, ja fails tiek saspiests, izmantojot gzip? JÅ«s vienmēr varat izpakot failu, un tad cat to labprāt izvadÄ«s, taču tas ir par vienu vai diviem soļiem vairāk nekā nepiecieÅ”ams. Tā vietā, kā jÅ«s, iespējams, uzminējāt, varat izdot komandu zcat, lai vienā darbÄ«bā ielādētu neiepakotu tekstu atmiņā. Å ajā piemērā tā vietā, lai drukātu tekstu uz ekrāna, jÅ«s to novirzÄ«sit uz jaunu failu server.conf:

# zcat 
  /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz 
  > /etc/openvpn/server.conf
$ cd /etc/openvpn

Noliksim malā plaÅ”o un noderÄ«go dokumentāciju, kas tiek piegādāta kopā ar failu, un redzēsim, kā tas varētu izskatÄ«ties, kad esat pabeidzis rediģēŔanu. Ņemiet vērā, ka semikols (;) norāda OpenVPN nelasÄ«t vai neizpildÄ«t nākamo rindiņu (10.2. saraksts).

Grāmata "Linux darbībā"
Apskatīsim dažus no Ŕiem iestatījumiem.

  • Pēc noklusējuma OpenVPN darbojas portā 1194. Varat to mainÄ«t, piemēram, lai vēl vairāk slēptu savas darbÄ«bas vai izvairÄ«tos no konfliktiem ar citiem aktÄ«viem tuneļiem. Tā kā 1194 ir nepiecieÅ”ama minimāla saskaņoÅ”ana ar klientiem, vislabāk to darÄ«t Ŕādā veidā.
  • OpenVPN datu pārsÅ«tÄ«Å”anai izmanto vai nu pārraides kontroles protokolu (TCP) vai lietotāja datugrammu protokolu (UDP). TCP var bÅ«t nedaudz lēnāks, taču tas ir uzticamāks un, visticamāk, to sapratÄ«s lietojumprogrammas, kas darbojas abos tuneļa galos.
  • Varat norādÄ«t dev tun, ja vēlaties izveidot vienkārŔāku, efektÄ«vāku IP tuneli, kas pārnēsā datu saturu un neko citu. No otras puses, ja jums ir nepiecieÅ”ams savienot vairākas tÄ«kla saskarnes (un to pārstāvētos tÄ«klus), izveidojot Ethernet tiltu, jums bÅ«s jāizvēlas dev tap. Ja jÅ«s nesaprotat, ko tas viss nozÄ«mē, izmantojiet tun argumentu.
  • Nākamajās četrās rindās OpenVPN ir norādÄ«ti trÄ«s servera autentifikācijas failu un iepriekÅ” izveidotā opciju faila dh2048 nosaukumi.
  • Servera lÄ«nija iestata diapazonu un apakÅ”tÄ«kla masku, kas tiks izmantots, lai klientiem pieŔķirtu IP adreses, piesakoties.
  • Izvēles push parametrs "route 10.0.3.0 255.255.255.0" ļauj attāliem klientiem piekļūt privātiem apakÅ”tÄ«kliem aiz servera. Lai tas darbotos, ir jāiestata tÄ«kls arÄ« paŔā serverÄ«, lai privātais apakÅ”tÄ«kls zinātu par OpenVPN apakÅ”tÄ«klu (10.8.0.0).
  • Port-share localhost 80 lÄ«nija ļauj novirzÄ«t klienta trafiku, kas nāk no porta 1194, uz vietējo tÄ«mekļa serveri, kas klausās portā 80. (Tas bÅ«s noderÄ«gi, ja izmantojat tÄ«mekļa serveri, lai pārbaudÄ«tu savu VPN.) Tas darbojas tikai tad, kad ir atlasÄ«ts tcp protokols.
  • Lietotāja neviens un grupas nogroup rindas ir jāiespējo, noņemot semikolu (;). Piespiežot attālos klientus darboties kā nevienam un bezgrupai, tiek nodroÅ”ināts, ka sesijas serverÄ« nav priviliģētas.
  • žurnāls norāda, ka paÅ”reizējie žurnāla ieraksti pārrakstÄ«s vecos ierakstus katru reizi, kad tiek startēts OpenVPN, savukārt žurnāla pievienoÅ”ana pievieno jaunus ierakstus esoÅ”ajam žurnālfailam. Pats openvpn.log fails tiek ierakstÄ«ts direktorijā /etc/openvpn/.

Turklāt konfigurācijas failam bieži tiek pievienota arī viena klienta vērtība, lai vairāki klienti varētu redzēt viens otru papildus OpenVPN serverim. Ja esat apmierināts ar savu konfigurāciju, varat startēt OpenVPN serveri:

# systemctl start openvpn

Tā kā OpenVPN un systemd attiecības mainās, pakalpojuma palaiŔanai dažkārt var būt nepiecieŔama Ŕāda sintakse: systemctl start openvpn@server.

Palaižot ip addr, lai uzskaitÄ«tu servera tÄ«kla saskarnes, tagad vajadzētu izvadÄ«t saiti uz jaunu saskarni ar nosaukumu tun0. OpenVPN to izveidos, lai apkalpotu ienākoÅ”os klientus:

$ ip addr
[...]
4: tun0: mtu 1500 qdisc [...]
      link/none
      inet 10.8.0.1 peer 10.8.0.2/32 scope global tun0
          valid_lft forever preferred_lft forever

Jums var bÅ«t nepiecieÅ”ams restartēt serveri, pirms viss sāk darboties pilnÄ«bā. Nākamā pietura ir klienta dators.

10.1.2. OpenVPN klienta konfigurēŔana

Tradicionāli tuneļi tiek bÅ«vēti ar vismaz divām izejām (citādi mēs tos sauktu par alām). Pareizi konfigurēts OpenVPN serverÄ« novirza trafiku vienā tunelÄ« un no tā. Bet jums bÅ«s nepiecieÅ”ama arÄ« programmatÅ«ra, kas darbojas klienta pusē, tas ir, tuneļa otrā galā.

Å ajā sadaļā es pievērsÄ«Å”os manuālai noteikta veida Linux datora iestatÄ«Å”anai, lai tas darbotos kā OpenVPN klients. Bet tas nav vienÄ«gais veids, kā Ŕī iespēja ir pieejama. OpenVPN atbalsta klientu lietojumprogrammas, kuras var instalēt un izmantot galddatoros un klēpjdatoros, kuros darbojas operētājsistēma Windows vai macOS, kā arÄ« Android un iOS viedtālruņos un planÅ”etdatoros. PlaŔāku informāciju skatiet vietnē openvpn.net.

OpenVPN pakotne klienta datorā bÅ«s jāinstalē tāpat, kā tā tika instalēta serverÄ«, lai gan Å”eit nav nepiecieÅ”ams easy-rsa, jo jÅ«su izmantotās atslēgas jau pastāv. Veidnes fails client.conf ir jākopē tikko izveidotajā direktorijā /etc/openvpn/. Å oreiz fails netiks saspiests, tāpēc parastā cp komanda veiks darbu lieliski:

# apt install openvpn
# cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf 
  /etc/openvpn/

Lielākā daļa iestatÄ«jumu failā client.conf bÅ«s diezgan paÅ”saprotami: tiem jāatbilst servera vērtÄ«bām. Kā redzams tālāk sniegtajā parauga failā, unikālais parametrs ir attālais 192.168.1.23 1194, kas klientam paziņo servera IP adresi. Vēlreiz pārliecinieties, vai Ŕī ir jÅ«su servera adrese. Jums arÄ« jāpiespiež klienta dators pārbaudÄ«t servera sertifikāta autentiskumu, lai novērstu iespējamu starpnieka uzbrukumu. Viens veids, kā to izdarÄ«t, ir pievienot rindiņu remote-cert-tls serveris (saraksts 10.3).

Grāmata "Linux darbībā"
Tagad varat doties uz direktoriju /etc/openvpn/ un izvilkt sertifikācijas atslēgas no servera. Aizstājiet servera IP adresi vai domēna nosaukumu piemērā ar savām vērtībām:

Grāmata "Linux darbībā"
Visticamāk, nekas aizraujoÅ”s nenotiks, kamēr klientā nepalaidÄ«sit OpenVPN. Tā kā jums ir jānodod daži argumenti, jÅ«s to darÄ«sit no komandrindas. Arguments --tls-client norāda OpenVPN, ka jÅ«s darbosities kā klients un izveidosit savienojumu, izmantojot TLS Å”ifrÄ“Å”anu, un --config norāda uz jÅ«su konfigurācijas failu:

# openvpn --tls-client --config /etc/openvpn/client.conf

UzmanÄ«gi izlasiet komandas izvadi, lai pārliecinātos, ka savienojums ir pareizi. Ja kaut kas noiet greizi pirmo reizi, tas var bÅ«t saistÄ«ts ar iestatÄ«jumu neatbilstÄ«bu starp servera un klienta konfigurācijas failiem vai tÄ«kla savienojuma/ugunsmÅ«ra problēma. Å eit ir daži problēmu novērÅ”anas padomi.

  • UzmanÄ«gi izlasiet klienta OpenVPN operācijas izvadi. Tajā bieži ir vērtÄ«gi padomi par to, ko tieÅ”i nevar izdarÄ«t un kāpēc.
  • Pārbaudiet kļūdu ziņojumus failos openvpn.log un openvpn-status.log servera direktorijā /etc/openvpn/.
  • Pārbaudiet, vai sistēmas žurnālos serverÄ« un klientā nav ar OpenVPN saistÄ«tu un laika ziņojumu. (journalctl -ce parādÄ«s jaunākos ierakstus.)
  • Pārliecinieties, vai starp serveri un klientu ir aktÄ«vs tÄ«kla savienojums (vairāk par to 14. nodaļā).

Par Autors

Deivids Klintons - sistēmas administrators, skolotājs un rakstnieks. ViņŔ ir administrējis, rakstÄ«jis un veidojis izglÄ«tojoÅ”us materiālus daudzām svarÄ«gām tehniskām disciplÄ«nām, tostarp Linux sistēmām, mākoņdatoÅ”anu (Ä«paÅ”i AWS) un konteineru tehnoloÄ£ijām, piemēram, Docker. ViņŔ uzrakstÄ«ja grāmatu Learn Amazon Web Services in a Month of Lunches (Manning, 2017). Daudzus viņa video apmācÄ«bas kursus var atrast vietnē Pluralsight.com, un saites uz citām viņa grāmatām (par Linux administrÄ“Å”anu un servera virtualizāciju) ir pieejamas vietnē bootstrap-it.com.

Ā» SÄ«kāku informāciju par grāmatu var atrast vietnē izdevēja vietne
Ā» Satura
Ā» Izraksts

Par Khabrozhiteley 25% atlaide, izmantojot kuponu - Linux
Apmaksājot grāmatas papīra versiju, pa e-pastu tiks nosūtīta elektroniskā grāmata.

Avots: www.habr.com

Pievieno komentāru