ProHoster > Blog > Administrimi > Libri "Linux në Veprim"

Libri "Linux në Veprim"

Libri "Linux nĂ« Veprim" PĂ«rshĂ«ndetje, HabrozhitĂ«s! NĂ« libĂ«r, David Clinton pĂ«rshkruan 12 projekte reale, duke pĂ«rfshirĂ« automatizimin e sistemit tĂ« kopjimit dhe rikuperimit, konfigurimin e njĂ« ruajtĂ«si personal tĂ« skedarĂ«ve nĂ« stilin e Dropbox dhe krijimin e njĂ« serveri tĂ« vetĂ« MediaWiki. PĂ«rmes shembujve interesantĂ«, do tĂ« mĂ«soni pĂ«r virtualizimin, rikuperimin nga fatkeqĂ«sitĂ«, sigurinĂ«, kopjimin, implementimin e DevOps dhe diagnostikimin e problemeve tĂ« sistemit. Çdo kapitull pĂ«rfundon me njĂ« pĂ«rmbledhje tĂ« rekomandimeve praktike, njĂ« glosar tĂ« termave tĂ« reja dhe ushtrime.

Fragmenti "10.1. Krijimi i një tuneli OpenVPN"

NĂ« kĂ«tĂ« libĂ«r kam folur shumĂ« mbi kriptimin. SSH dhe SCP mund tĂ« mbrojnĂ« tĂ« dhĂ«nat qĂ« transmetohen pĂ«rmes lidhjeve tĂ« largĂ«ta (kapitulli 3), kriptimi i skedarĂ«ve lejon mbrojtjen e tĂ« dhĂ«nave gjatĂ« ruajtjes nĂ« server (kapitulli 8), ndĂ«rsa certifikatat TLS/SSL janĂ« nĂ« gjendje tĂ« mbrojnĂ« tĂ« dhĂ«nat gjatĂ« transmetimit midis faqeve tĂ« internetit dhe shfletuesve tĂ« klientĂ«ve (kapitulli 9). Por ndonjĂ«herĂ« tĂ« dhĂ«nat tuaja kĂ«rkojnĂ« mbrojtje nĂ« njĂ« gamĂ« mĂ« tĂ« gjerĂ« lidhjesh. PĂ«r shembull, ndoshta disa anĂ«tarĂ« tĂ« ekipit tuaj duhet tĂ« punojnĂ« duke u lidhur pĂ«rmes Wi-Fi nĂ« pika tĂ« hapura. Definitivisht nuk duhen marrĂ« si tĂ« sigurta tĂ« gjitha kĂ«to pika lidhjeje, por njerĂ«zit tuaj kanĂ« nevojĂ« pĂ«r njĂ« mĂ«nyrĂ« pĂ«r t'u lidhur me burimet e kompanisĂ« — dhe nĂ« kĂ«tĂ« rast, njĂ« VPN mund tĂ« ndihmojĂ«.

Një tunel VPN i dizajnuar siç duhet siguron një lidhje të drejtpërdrejtë midis klientëve të largët dhe serverit në një mënyrë që fsheh të dhënat gjatë transfertës në një rrjet të pasigurt. E çfarë pastaj? Ju keni parë shumë mjete që e bëjnë këtë falë enkriptimit. Vlera e vërtetë e një VPN qëndron në faktin se, duke hapur një tunel, mund të lidhni rrjete të largëta siç do ishin të gjithë lokale në një vend. Në një kuptim, po përdorni një rrethvështrim.

Duke pĂ«rdorur njĂ« rrjet tĂ« tillĂ« tĂ« avancuar, administratorĂ«t mund tĂ« kryejnĂ« punĂ«n e tyre nĂ« serverat e tyre nga çfarĂ«do vendi. Por, mĂ« e rĂ«ndĂ«sishmja, njĂ« kompani me burime tĂ« shpĂ«rndara nĂ« disa filiale mund t’i bĂ«jĂ« ato tĂ« gjitha tĂ« dukshme dhe tĂ« aksesueshme pĂ«r tĂ« gjitha grupet qĂ« kanĂ« nevojĂ« pĂ«r to, kudo qĂ« ndodhen (shih. 10.1).

Tunneli vetë nuk garanton sigurinë. Por një nga standardet e enkriptimit mund të integrohet në strukturën e rrjetit, duke rritur ndjeshëm nivelin e sigurisë. Tunellet që krijohen duke përdorur paketën OpenVPN me kod burimor të hapur përdorin të njëjtin enkriptim TLS/SSL, për të cilin keni lexuar tashmë. OpenVPN nuk është opsioni i vetëm i disponueshëm për tunelizim, por është një nga më të njohurit. Mendohet se është pak më të shpejtë dhe më të sigurt se protokolli alternativ i tunelit të nivelit 2 që përdor enkriptimin IPsec.

Doni që në ekipin tuaj të gjithë të komunikojnë sigurtë me njëri-tjetrin, duke qenë në lëvizje ose duke punuar në ndërtesa të ndryshme? Për këtë, është e nevojshme të krijoni një server OpenVPN për të lejuar ndarjen e aplikacioneve dhe aksesin në ambientin lokal të rrjetit të serverit. Që kjo të funksionojë, mjafton të ekzekutoni dy makina virtuale ose dy kontejnerë: një për të luajtur rolin e serverit/mikpritësit, dhe një tjetër për klientin. Krijimi i VPN-së është një proces i ndërlikuar, kështu që ndoshta ia vlen të shpenzoni disa minuta për të imazhuar pamjen e përgjithshme.

Libri "Linux në Veprim"

10.1.1. Konfigurimi i serverit OpenVPN

Para të filloni, do t'ju jap një këshillë të dobishme. Nëse planifikoni ta bëni gjithçka vetë (dhe unë e rekomandoj shumë këtë), do të vëreni se po punoni me disa dritare terminali të hapura në Desktop, secila e lidhur me makinën e saj. Ka rrezik që në një moment të caktuar të shkruani një komandë në dritaren e gabuar. Në mënyrë që të shmangni këtë, mund të përdorni komandën hostname për të ndryshuar emrin e machine që shfaqet në komandën e rreshtit, në diçka që do t'ju japë një ide të qartë se ku ndodheni. Sapo ta bëni këtë, do t'ju duhet të dilni nga serveri dhe të hyni përsëri, në mënyrë që cilësimet e reja të hyjnë në fuqi. Ja si duket:

Libri "Linux në Veprim"
Duke ndjekur këtë qasje dhe duke i dhënë emra përkatës secilës nga makinat me të cilat punoni, do të mund të ndihmoni në ndjekjen e vendeve ku ndodheni.

Pas përdorimit të hostname, mund të përballeni me mesazhe të bezdisshme Unable to Resolve Host OpenVPN-Server gjatë ekzekutimit të komandave të mëvonshme. përditësimi i skedarit /etc/hosts me emrin e ri të hostit përkatës duhet të zgjidhë problemin.

Përgatitja e serverit tuaj për OpenVPN

Për të instaluar OpenVPN në serverin tuaj, nevojiten dy paketa: openvpn dhe easy-rsa (për menaxhimin e procesit të gjenerimit të çelësit të enkriptimit). Përdoruesit e CentOS duhet të instalojnë së pari depozitën epel-release, nëse është e nevojshme, ashtu siç e bëtë në kapitullin 2. Për të pasur mundësi të kontrolloni qasjen në aplikacionin e serverit, mund të instaloni gjithashtu serverin e uebit Apache (apache2 për Ubuntu dhe httpd në CentOS).

Ndërsa po konfiguroni serverin, ju rekomandoj të aktivizoni firewall-in, i cili bllokon të gjitha portet përveç 22 (SSH) dhe 1194 (porti i paracaktuar i OpenVPN). Ky shembull ilustron se si do të funksionojë ufw në Ubuntu, por jam i sigurt që ende e mbani mend programin firewalld të CentOS nga kapitulli 9:

# ufw enable
# ufw allow 22
# ufw allow 1194

Për të lejuar rrugëzimin e brendshëm midis ndërfaqeve të rrjetit në server, duhet të komenton një varg (net.ipv4.ip_forward = 1) në skedarin /etc/sysctl.conf. Kjo do të lejojë ridrejtimin e klientëve të largët sipas nevojës pas lidhjes së tyre. Për ta zbatuar parametrin e ri, nisni sysctl -p:

# nano /etc/sysctl.conf
# sysctl -p

Tani mjedisi i serverit është plotësisht i konfiguruar, por duhet të bëni akoma disa gjëra para se të jeni të gatshëm: do të duhet të ndjekim hapat e mëposhtëm (do t'i shqyrtojmë ato në detaje më vonë).

  1. Krijoni në server një grup çelësash për enkriptimin e infrastrukturës së çelësave publik (PKI) duke përdorur skriptet e ofruara me paketën easy-rsa. Në thelb, serveri OpenVPN gjithashtu vepron si një qendër certifikimi (CA) e tij.
  2. Përgatitni çelësat për klientin tuaj
  3. Konfiguroni skedarin server.conf për serverin
  4. Konfiguroni klientin tuaj OpenVPN
  5. Kontrolloni VPN tuaj

Gjenerimi i çelësave të enkriptimit

Për të mos e komplikuar jetën, mund të konfiguroni infrastrukturën tuaj të çelësave në të njëjtin kompjuter ku funksionon serveri OpenVPN. Megjithatë, udhëzimet mbi sigurinë zakonisht sugjerojnë përdorimin e një serveri të veçantë CA për implementime në mjedise prodhimi. Procesi i gjenerimit dhe shpërndarjes së burimeve të çelësit të enkriptimit për përdorim në OpenVPN demonstrohet në figurën 10.2.

Libri "Linux në Veprim"
Kur keni instaluar OpenVPN, automatikisht është krijuar një katalog /etc/openvpn/, por nuk ka asgjë atje për momentin. Paketat openvpn dhe easy-rsa ofrohen me shembuj të skedave të shabllonëve që mund t'i përdorni si bazë për konfigurimin tuaj. Për të nisur procesin e certifikimit, kopjoni katalogun e shabllonit easy-rsa nga /usr/share/ në /etc/openvpn dhe kaloni në katalogun easy-rsa/:

# cp -r /usr/share/easy-rsa/ /etc/openvpn
$ cd /etc/openvpn/easy-rsa

Katalogu easy-rsa tani do të përmbajë një numër të konsiderueshëm skenarësh. Në tabela 10.1 janë listuar mjetet që do të përdorni për krijimin e çelësave.

Libri "Linux në Veprim"

Operacionet e listuara kërkojnë të drejtat e root-it, prandaj përmes sudo su duhet të bëheni root.

Skedari i parë me të cilin do të punoni quhet vars dhe përmban variablat e ambientit që easy-rsa i përdor gjatë gjenerimit të çelësave. Ju duhet ta redaktoni skedarin për të përdorur vlerat tuaja në vend të atyre standarde që already kanë. Ja si do të duket skedari im (listing 10.1).

Listing 10.1. Fragmentet kryesore të skedarit /etc/openvpn/easy-rsa/vars

export KEY_COUNTRY="CA"
export KEY_PROVINCE="ON"
export KEY_CITY="Toronto"
export KEY_ORG="Bootstrap IT"
export KEY_EMAIL="info@bootstrap-it.com"
export KEY_OU="IT"

Ekzekutimi i skedarit vars do të transmetojë vlerat e tij në ambientin e shell-it, nga ku do të përfshihen në përmbajtjen e çelësave tuaj të rinj. Pse komanda sudo vetvetiu nuk funksionon? Sepse në fazën e parë ne po redaktojmë skenarin e quajtur vars dhe pastaj e zbatojmë atë. Zbatimi nënkupton që skedari vars përcjell vlerat e tij në ambientin e shell-it, nga ku do të përfshihen në përmbajtjen e çelësave tuaj të rinj.

Sigurohuni të rinisni skedarin duke përdorur një shell të re për të përfunduar procesin e papërfunduar. Kur kjo të jetë bërë, skenari do t'ju ofrojë të nisni një skenar tjetër, clean-all, për të hequr çdo përmbajtje në direktorinë /etc/openvpn/easy-rsa/keys/:

Libri "Linux në Veprim"
Natyrisht, hapi tjetër do të jetë ekzekutimi i skenarit clean-all, pasuar nga build-ca, i cili përdor skenarin pkitool për të krijuar certifikatën rrënjësore. Do t'ju kërkohet të konfirmoni configurimet e identifikimit të dhëna nga vars:

# ./clean-all
# ./build-ca
Generating a 2048 bit RSA private key

MĂ« pas Ă«shtĂ« skenari build-key-server. Duke qenĂ« se ai pĂ«rdor tĂ« njĂ«jtin skenar pkitool sĂ« bashku me certifikatĂ«n e re rrĂ«njĂ«sore, do tĂ« shihni tĂ« njĂ«jtat pyetje pĂ«r tĂ« konfirmuar krijimin e çiftit tĂ« çelĂ«save. ÇelĂ«sat do tĂ« emĂ«rohen nĂ« bazĂ« tĂ« argumenteve qĂ« ju dĂ«rgoni, tĂ« cilat, pĂ«rveç nĂ«se jeni duke drejtuar disa VPN nĂ« kĂ«tĂ« kompjuter, zakonisht do tĂ« jenĂ« server, si nĂ« shembullin:

# ./build-key-server server
[...]
Certificate is to be certified until Aug 15 23:52:34 2027 GMT (3650 days)
Sign the certificate? [y/n]:y
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated

OpenVPN përdor parametra të gjeneruar nga algoritmi Diffie-Hellman (përdorimi i build-dh) për të koordinuar autentikimin për lidhjet e reja. Skedari i krijuar këtu nuk duhet të jetë sekret, por duhet të jetë gjeneruar duke përdorur skriptin build-dh për çelësat RSA që janë aktiv tani. Nëse krijoni çelësa të rinj RSA në të ardhmen, do t'ju nevojitet gjithashtu të përditësoni skedarin në bazën e algoritmit Diiffie-Hellman:

# ./build-dh

ÇelĂ«sat tuaj nĂ« anĂ«n e serverit tani do tĂ« kalojnĂ« nĂ« katalogun /etc/openvpn/easy-rsa/keys/, por OpenVPN nuk e di kĂ«tĂ«. Nga çfarĂ«do qĂ« Ă«shtĂ« default, OpenVPN do tĂ« kĂ«rkojĂ« çelĂ«sat nĂ« /etc/openvpn/, kĂ«shtu qĂ« kopjoni ato:

# cp /etc/openvpn/easy-rsa/keys/server* /etc/openvpn
# cp /etc/openvpn/easy-rsa/keys/dh2048.pem /etc/openvpn
# cp /etc/openvpn/easy-rsa/keys/ca.crt /etc/openvpn

Përgatitja e çelësave të kriptimit për klientin

Siç keni parë, në kriptimin TLS përdoren palë çelësash përkatëse: një e vendosur në server, dhe një tjetër në klientin e largët. Kjo do të thotë se do t'ju nevojiten çelësat e klientit. Mik i vjetër pkitool është pikërisht ajo që na nevojitet për këtë. Në këtë shembull, duke e ekzekutuar programin në katalogun /etc/openvpn/easy-rsa/, i japim asaj argumentin client për të gjeneruar skedarët e quajtur client.crt dhe client.key:

# ./pkitool client

Dy klientët e skedarëve së bashku me skedarin origjinal ca.crt, i cili ende ndodhet në katalogun keys/, tani duhet të transferohen në mënyrë të sigurt te klienti juaj. Për shkak të pronësisë dhe të drejtave të aksesit, kjo mund të jetë një detyrë e thjeshtë. Qasja më e lehtë është të kopjoni manualisht përmbajtjen e skedarit origjinal (dhe asgjë tjetër përveç kësaj përmbajtjeje) në terminalin që punoni në Desktopin e PC-së tuaj (zgjidhni tekstin, klikoni me të djathtën dhe zgjidhni opsionin Copy). Më pas, ngjiteni atë në një skedarin e ri me të njëjtin emër, të cilin po e krijoni në terminalin e dytë, të lidhur me klientin tuaj.

Por një administrator, do të mendoni ndryshe sepse nuk do të keni gjithmonë qasje në GUI ku operacioni i prerjes/klijimit është i mundur. Kopjoni skedaret në dosjen tuaj personale (në mënyrë që operacioni i largët scp të mund t'i aksesojë), dhe pastaj përdorni chown për të ndryshuar pronarin e skedarëve nga root në përdorues normal pa privilegje root, në mënyrë që të mund të kryeni veprimin e largët scp. Sigurohuni që të gjitha skedarët tuaj të jenë të vendosur dhe të aksesueshëm për momentin. Në klient do t'i transferoni ato më vonë:

# cp /etc/openvpn/easy-rsa/keys/client.key /home/ubuntu/
# cp /etc/openvpn/easy-rsa/keys/ca.crt /home/ubuntu/
# cp /etc/openvpn/easy-rsa/keys/client.crt /home/ubuntu/
# chown ubuntu:ubuntu /home/ubuntu/client.key
# chown ubuntu:ubuntu /home/ubuntu/client.crt
# chown ubuntu:ubuntu /home/ubuntu/ca.crt

Me një komplet të plotë çelësash përkriptues, ju nevojitet të informoni serverin se si dëshironi të krijoni VPN. Kjo bëhet përmes skedarit server.conf.

Reduktojmë numrin e goditjeve nga tastiera

Po shkruani shumë? Ky shtesë me kllapa do të ndihmojë për të reduktuar këto gjashtë komanda në dy. Jam i sigurt se do të jeni në gjendje të mësoni këto dy shembuj dhe të kuptoni se çfarë po ndodh. Më e rëndësishmja, do të jeni në gjendje të kuptoni se si të aplikoni këto parime në operacionet që përfshijnë dhjetëra ose madje qindra elemente:

# cp /etc/openvpn/easy-rsa/keys/{ca.crt,client.{key,crt}} /home/ubuntu/
# chown ubuntu:ubuntu /home/ubuntu/{ca.crt,client.{key,crt}}

Konfigurimi i skedarit server.conf

Nga e dini se si duhet të duket skedari server.conf? Kujtoni modelin e drejtorisë easy-rsa që keni kopjuar nga /usr/share/? Kur instaloni OpenVPN, kishte një skedë të shtrydhur të modelit të konfigurimit që mund ta kopjoni në /etc/openvpn/. Do të mbështetem në faktin se modeli është arkivuar, dhe do t'ju prezantoj me një mjet të dobishëm: zcat.

Tashmë e dini për daljen e përmbajtjes tekstuale të skedarit në ekran me komandën cat, por çfarë nëse skedari është i shtrydhur me gzip? Gjithmonë mund të shtrydhni skedarin, dhe atëherë cat me kënaqësi do ta shfaqë, por kjo kërkon një ose dy hapa më shumë se sa duhet. Në vend të kësaj, siç e keni ndoshta supozuar, mund të jepni komandën zcat për të ngarkuar tekstin e shtrydhur në memorje me një hap. Në shembullin e ardhshëm, në vend që të printoni tekstin në ekran, do ta redirektoni atë në një skedar të ri me emrin server.conf:

# zcat 
  /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz 
  > /etc/openvpn/server.conf
$ cd /etc/openvpn

Lërini mënjanë dokumentacionin e gjerë dhe të dobishëm që shoqëron skedarin dhe shihni si mund të duket kur ta përfundoni redaktimin. Vini re se pika me presje (;) i tregon OpenVPN të mos lexojë dhe të mos ekzekutojë rreshtin e ardhshëm (listimi 10.2).

Libri "Linux në Veprim"
Le të kalojmë disa nga këto parametra.

  • PĂ«r default, OpenVPN funksionon pĂ«rmes portit 1194. Mund ta ndryshoni kĂ«tĂ«, pĂ«r shembull, pĂ«r tĂ« fshehur mĂ« shumĂ« veprimet tuaja ose pĂ«r tĂ« shmangur konfikte me tunellet e tjera aktive. Duke qenĂ« se 1194 kĂ«rkon koordinim minimal me klientĂ«t, Ă«shtĂ« mĂ« mirĂ« tĂ« veproni kĂ«shtu.
  • OpenVPN pĂ«rdor pĂ«r transmetim ose protokollin e kontrollit tĂ« transmetimit (TCP) ose protokollin e gramave tĂ« pĂ«rdoruesve (UDP). TCP mund tĂ« jetĂ« paksa mĂ« i ngadaltĂ«, por Ă«shtĂ« mĂ« i besueshĂ«m dhe ka mĂ« shumĂ« gjasa tĂ« kuptohet nga aplikacionet qĂ« funksionojnĂ« nĂ« tĂ« dy anĂ«t e tunelit.
  • Mund tĂ« specifikoni dev tun kur dĂ«shironi tĂ« krijoni njĂ« tunel IP mĂ« tĂ« thjeshtĂ« dhe mĂ« tĂ« efektshĂ«m i cili transmeton pĂ«rmbajtjen e tĂ« dhĂ«nave dhe asgjĂ« mĂ« shumĂ«. NĂ«se, nga ana tjetĂ«r, ju nevojitet tĂ« lidheni me disa ndĂ«rfaqe rrjetesh (dhe rrjetet qĂ« ato pĂ«rfaqĂ«sojnĂ«), duke krijuar njĂ« urĂ« Ethernet, atĂ«herĂ« do tĂ« duhet tĂ« zgjidhni dev tap. NĂ«se nuk e kuptoni çfarĂ« do tĂ« thotĂ« kjo, pĂ«rdorni argumentin tun.
  • KatĂ«r linjat e ardhshme i japin OpenVPN emrat e tre dosjeve tĂ« autentifikimit nĂ« server dhe dosjen e parametrave dh2048, qĂ« e keni krijuar mĂ« parĂ«.
  • Linia server pĂ«rcakton diapazonin dhe maskĂ«n e nĂ«nrrjetit qĂ« do tĂ« pĂ«rdoren pĂ«r t'u dhĂ«nĂ« klientĂ«ve IP adresat kur regjistrohen.
  • Parametri opsional push «route 10.0.3.0 255.255.255.0» lejon klientĂ«t e largĂ«t tĂ« aksesojnĂ« nĂ«nrrjetet private pas serverit. Kjo kĂ«rkon gjithashtu konfigurimin e rrjetit nĂ« vetĂ« serverin, nĂ« mĂ«nyrĂ« qĂ« nĂ«nrrjeti privat tĂ« dijĂ« pĂ«r nĂ«nrrjetin OpenVPN (10.8.0.0).
  • Linia port-share localhost 80 lejon redirektimin e trafikut tĂ« klientĂ«ve qĂ« vjen pĂ«rmes portit 1194 nĂ« serverin lokal tĂ« uebit qĂ« dĂ«gjon nĂ« portin 80. (Kjo do tĂ« jetĂ« e dobishme nĂ«se keni pĂ«r qĂ«llim tĂ« angazhoni njĂ« server uebi pĂ«r testimin e VPN tuaj.) Kjo funksionon vetĂ«m kur protokolli tcp Ă«shtĂ« i zgjedhur.
  • Linjat user nobody dhe group nogroup duhet tĂ« jenĂ« aktive — kjo kĂ«rkon tĂ« hiqen piketat (;). Detyrimi i punĂ«s sĂ« klientĂ«ve tĂ« largĂ«t nĂ«n nobody dhe nogroup garanton qĂ« seancat nĂ« server do tĂ« jenĂ« tĂ« pavolitshme.
  • Dokumenti log tregon se regjistrimet aktuale nĂ« ditar do tĂ« shkruhen mbi regjistrimet e vjetra me çdo aktivizim tĂ« OpenVPN, ndĂ«rsa log-append shton regjistrime tĂ« reja nĂ« skedarin ekzistues tĂ« ditarit. Skedari vetĂ« openvpn.log shkruhet nĂ« katalogun /etc/openvpn/.

Për më tepër, vlera client-to-client shpesh shtohet në skedarin e konfigurimit për të lejuar disa klientë të shohin njëri-tjetrin përveç serverit OpenVPN. Nëse jeni të kënaqur me konfigurimin tuaj, mund të filloni serverin OpenVPN:

# systemctl start openvpn

Për shkak të natyrës në ndryshim të marrëdhënieve midis OpenVPN dhe systemd, ndonjëherë mund të jetë e nevojshme një sintaksë e tillë për të aktivizuar shërbimin: systemctl start openvpn@server.

Aktivizimi i ip addr për të shfaqur listën e ndërfaqeve të rrjetit në serverin tuaj tani duhet të japë një lidhje me ndërfaqen e re të quajtur tun0. OpenVPN do ta krijojë atë për të shërbyer klientët e ardhshëm:

$ ip addr
[...]
4: tun0: mtu 1500 qdisc [...]
      link/none
      inet 10.8.0.1 peer 10.8.0.2/32 scope global tun0
          valid_lft forever preferred_lft forever

Mund të jetë e nevojshme të rindezni serverin përpara se gjithçka të fillojë të funksionojë plotësisht. Stacioni tjetër është kompjuteri klient.

10.1.2. Konfigurimi i klientit OpenVPN

Tradicionalisht, tunelët ndërtohen me të paktën dy dalje (ndryshe do t'i quanim shpellat). OpenVPN i cilësuar drejtë në server drejton trafik në tunel dhe nga ai nga njëra anë. Por gjithashtu do t'ju nevojitet ndonjë softuer që funksionon në anën e klientit, që do të thotë në anën tjetër të tunelit.

Në këtë seksion, do të përqendrohem në konfigurimin manual të një kompiuteri me Linux të çfarëdo lloji për të punuar si klient i OpenVPN. Por kjo nuk është mënyra e vetme që ofron një mundësi të tillë. OpenVPN mbështet aplikacione klienti që mund të instalohen dhe përdoren në kompjuterë dhe laptopë me Windows ose macOS, si dhe në smartphone dhe tabletë me Android dhe iOS. Më shumë informacione mund të gjeni në openvpn.net.

Paketa OpenVPN duhet të instalohet në kompjuterin klient, ashtu siç u instalua në server; megjithatë, këtu nuk është e nevojshme 'easy-rsa', pasi çelësat që po përdorni tashmë ekzistojnë. Ju nevojitet të kopjoni skedarin e shabllonit 'client.conf' në katalogun /etc/openvpn/, i cili sapo u krijua. Këtë herë skedari nuk do të arkivohet, kështu që urdhri normal 'cp' do të bëjë punën mjaft mirë:

# apt install openvpn
# cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf 
  /etc/openvpn/

Shumica e cilësimeve në skedarin tuaj 'client.conf' do të jenë mjaft të qarta: ato duhet të përputhen me vlerat në server. Siç shihet nga shembulli i mëposhtëm të skedarit, parametri unik është 'remote 192.168.1.23 1194', i cili i tregon klientit adresën IP të serverit. Sigurohuni që kjo të jetë adresa e serverit tuaj. Ju gjithashtu duhet ta bëni kompjuterin klient të verifikojë autenticitetin e certifikatës së serverit për të parandaluar sulmin e mundshëm 'njeri në mes'. Një nga mënyrat për ta bërë këtë është të shtoni rreshtin 'remote-cert-tls server' (listimi 10.3).

Libri "Linux në Veprim"
Tani mund të kaloni në katalogun /etc/openvpn/ dhe të nxirrni çelësat e certifikimit nga serveri. Zëvendësoni adresën IP të serverit ose emrin e domainit në shembullin me vlerat tuaja:

Libri "Linux në Veprim"
Nuk ka asgjë tërheqëse, me siguri, derisa të aktivizoni OpenVPN në klient. Meqenëse ju nevojitet të kaloni disa argumente, do ta bëni këtë nga linja e komandës. Argumenti --tls-client i thotë OpenVPN se do të veproni si klient dhe do të lidhni përmes enkriptimit TLS, ndërsa --config tregon për skedarin tuaj të konfigurimit:

# openvpn --tls-client --config /etc/openvpn/client.conf

Lexoni me kujdes daljen e komandës për t'u siguruar se jeni lidhur siç duhet. Nëse ndodh ndonjë problem herën e parë, ndoshta kjo është për shkak të mos përputhjes së konfigurimeve midis skedarëve të konfigurimit të serverit dhe klientit ose një problemi me lidhjen rrjetit/firewall. Ja disa këshilla për zgjidhjen e problemeve.

  • Lexoni me kujdes daljen e operacionit OpenVPN nĂ« klient. Ajo shpesh pĂ«rmban kĂ«shilla tĂ« vlefshme pĂ«r atĂ« qĂ« nuk mund tĂ« realizohet dhe pse.
  • Kontrolloni mesazhet e gabimeve nĂ« skedarĂ«t openvpn.log dhe openvpn-status.log nĂ« katalogun /etc/openvpn/ nĂ« server.
  • Kontrolloni mesazhet pĂ«rkatĂ«se lidhur me OpenVPN nĂ« regjistrat sistemorĂ« nĂ« server dhe klient. (journalctl -ce do tĂ« shfaqĂ« regjistrat mĂ« tĂ« fundit.)
  • Sigurohuni qĂ« keni njĂ« lidhje aktive rrjeti midis serverit dhe klientit (informacione tĂ« mĂ«tejshme - nĂ« kapitullin 14).

PĂ«r autorin

David Clinton — administrator sistemi, mĂ«sues dhe shkrimtar. Ai ka administruar, shkruar pĂ«r kĂ«tĂ« dhe krijuar materiale mĂ«simore pĂ«r shumĂ« disiplinat teknike tĂ« rĂ«ndĂ«sishme, duke pĂ«rfshirĂ« sistemet Linux, llogaritĂ« nĂ« nivelin e re zum dhe teknologjitĂ« e kontejnerĂ«ve, si Docker. Ai ka shkruar librin Learn Amazon Web Services in a Month of Lunches (Manning, 2017). ShumĂ« nga videot e tij mĂ«simore mund tĂ« gjenden nĂ« Pluralsight.com, ndĂ«rsa lidhjet pĂ«r librat e tij tĂ« tjera (pĂ«r administrimin e Linuxit dhe virtualizimin e serverĂ«ve) janĂ« tĂ« disponueshme nĂ« bootstrap-it.com.

» Më shumë detaje për librin mund të gjenden në faqen e botuesit
» Përmbajtja
» Pjesa

PĂ«r pĂ«rdoruesit e Habr, zbritje 25% me kuponin — Linux
Pas pagesës për versionin në paper të librit, një libër elektronik do të dërgohet në e-mail.

Burimi: habr.com

Bleni hostim tĂ« besueshĂ«m pĂ«r faqe me mbrojtje nga DDoS, serverĂ« VPS VDS đŸ”„ Bleni hostim tĂ« besueshĂ«m pĂ«r faqe me mbrojtje nga DDoS, serverĂ« VPS VDS | ProHoster