Boken "Linux i praktiken"

Hej, Habr-besökare! I boken beskriver David Clinton 12 verkliga projekt, inklusive automatisering av backup- och återställningssystem, att ställa in en personlig filmoln som Dropbox och skapa en egen MediaWiki-server. Genom intressanta exempel lär du dig virtualisering, katastrofåterställning, säkerhetslösningar, backup, implementering av DevOps och felsökning av system. Varje kapitel avslutas med en översikt av praktiska rekommendationer, ett lexikon av nya termer och övningar.

Utdrag "10.1. Skapande av en OpenVPN-tunnel"

I den här boken har jag redan berättat en hel del om kryptering. SSH och SCP kan skydda data som överförs genom fjärranslutningar (kapitel 3), filkryptering skyddar data när de lagras på servern (kapitel 8), och TLS/SSL-certifikat kan skydda data vid överföring mellan webbplatser och klientwebbläsare (kapitel 9). Men ibland behövs en bredare skyddsnivå för dina data. Till exempel kan vissa medlemmar av ditt team behöva arbeta på resande fot och ansluta till nätverket över Wi-Fi via offentliga hotspots. Det är definitivt inte säkert att alla sådana hotspots är trygga, men dina anställda behöver verkligen ett sätt att ansluta till företagets resurser - och en VPN kan hjälpa till i detta fall.

En väl utformad VPN-tunnel säkerställer en direkt anslutning mellan fjärrklienter och servern på ett sätt som döljer data vid överföring genom osäkra nätverk. Så vad? Du har redan sett många verktyg som kan göra detta med hjälp av kryptering. Den verkliga värdet av en VPN är att när en tunnel öppnas kan avlägsna nätverk kopplas samman, som om de alla vore lokala. På så sätt använder du en bypass.

Genom att använda ett sådant utvidgat nätverk kan administratörer utföra sitt arbete på sina servrar från vilken plats som helst. Men viktigare är att ett företag med resurser som är spridda över flera filialer kan göra dem alla synliga och tillgängliga för alla grupper som behöver dem, oavsett var de finns (figur 10.1).

En tunnel i sig själv garanterar inte säkerhet. Men en av standarderna för kryptering kan inkluderas i nätverksstrukturen vilket väsentligt ökar säkerhetsnivån. Tunnlar skapade med hjälp av OpenVPN-paketet med öppen källkod använder den samma kryptering TLS/SSL som du redan har läst om. OpenVPN är inte det enda tillgängliga alternativet för tunneling, men det är ett av de mest kända. Det anses vara något snabbare och säkrare än det alternativa tunnelingprotokollet på nivå 2 som använder IPsec-kryptering.

Vill du att alla i ditt team ska kunna kommunicera säkert med varandra, oavsett om de är på väg eller arbetar i olika byggnader? För detta behöver du skapa en OpenVPN-server för att möjliggöra delning av applikationer och åtkomst till den lokala nätverksmiljön på servern. För att detta ska fungera krävs det att du kör två virtuella maskiner eller två containrar: en för att fungera som server/värd och en annan för klienten. Att skapa en VPN är en komplex process, så det kan vara värt att ta några minuter för att få en översikt över helheten.

10.1.1. Konfigurera OpenVPN-servern

Innan du börjar, jag vill ge dig ett nyttigt tips. Om du planerar att göra allt själv (och jag rekommenderar starkt att du gör det), kommer du förmodligen att upptäcka att du arbetar med flera terminalfönster öppna på skrivbordet, där varje fönster är anslutet till sin egen maskin. Det finns en risk att du vid något tillfälle kommer att skriva in ett kommando i fel fönster. För att undvika detta kan du använda kommandot hostname för att ändra maskinens namn som visas i kommandoraden till något som tydligt anger var du befinner dig. När du har gjort detta behöver du logga ut från servern och logga in igen för att de nya inställningarna ska träda i kraft. Så här ser det ut:

Genom att följa detta tillvägagångssätt och ge varje maskin ett lämpligt namn kan du enkelt hålla reda på var du är.

Efter att ha använt hostname kan du stöta på irriterande meddelanden om att kunna lösa värdnamnet OpenVPN-Server när du kör efterföljande kommandon. Att uppdatera filen /etc/hosts med det nya lämpliga värdnamnet bör lösa problemet.

Förbereda din server för OpenVPN

För att installera OpenVPN på din server behövs två paket: openvpn och easy-rsa (för att hantera processen för att generera krypteringsnycklar). Användare av CentOS bör först installera epel-release-repositoryt vid behov, precis som du gjorde i kapitel 2. För att kunna kontrollera åtkomsten till serverapplikationen kan du också installera webbservern Apache (apache2 för Ubuntu och httpd på CentOS).

Medan du ställer in servern rekommenderar jag att du aktiverar brandväggen, som blockerar alla portar utom 22 (SSH) och 1194 (standardporten för OpenVPN). Det här exemplet visar hur ufw fungerar i Ubuntu, men jag är säker på att du fortfarande kommer ihåg programmet firewalld CentOS från kapitel 9:

# ufw enable
# ufw allow 22
# ufw allow 1194

För att tillåta intern routing mellan nätverksgränssnitten på servern behöver du avkommentera en rad (net.ipv4.ip_forward = 1) i filen /etc/sysctl.conf. Detta kommer att möjliggöra omdirigering av fjärrklienter vid behov efter deras anslutning. För att den nya parametern ska träda i kraft, kör sysctl -p:

# nano /etc/sysctl.conf
# sysctl -p

Nu är servermiljön helt konfigurerad, men det finns fortfarande några saker kvar att göra innan du är redo: du behöver utföra följande steg (vi kommer att gå igenom dem i detalj längre fram).

1. Skapa en uppsättning nycklar för infrastrukturen med öppna nycklar (PKI) på servern med hjälp av skripten som följer med easy-rsa-paketet. I grunden fungerar OpenVPN-servern även som sin egen certifieringsmyndighet (CA).
2. Förbered motsvarande nycklar för klienten
3. Konfigurera serverns server.conf-fil
4. Konfigurera din OpenVPN-klient
5. Kontrollera din VPN

Generering av krypteringsnycklar

För att göra livet enklare kan du konfigurera din nyckelinfrastruktur på samma maskin som OpenVPN-servern körs på. Men i säkerhetsrekommendationer rekommenderas det vanligtvis att använda en separat CA-server för produktionsmiljöer. Processen för att generera och fördela krypteringsnycklar för användning i OpenVPN illustreras i fig. 10.2.

När du installerade OpenVPN skapades automatiskt katalogen /etc/openvpn/, men den är fortfarande tom. Paketen openvpn och easy-rsa levereras med exempel på mallfiler som du kan använda som bas för din konfiguration. För att starta certifieringsprocessen, kopiera easy-rsa-mallkatalogen från /usr/share/ till /etc/openvpn och navigera till katalogen easy-rsa/:

# cp -r /usr/share/easy-rsa/ /etc/openvpn
$ cd /etc/openvpn/easy-rsa

Katalog easy-rsa kommer nu att innehålla en hel del skript. I tabell 10.1 anges de verktyg som du kommer att använda för att skapa nycklar.

De angivna operationerna kräver root-behörigheter, så du behöver bli root via sudo su.

Den första filen du kommer att arbeta med kallas vars och innehåller miljövariabler som easy-rsa använder vid generering av nycklar. Du måste redigera filen för att använda dina egna värden istället för standardvärdena som redan finns. Så här kommer min fil att se ut (listning 10.1).

Listning 10.1. Viktiga delar av filen /etc/openvpn/easy-rsa/vars

export KEY_COUNTRY="CA"
export KEY_PROVINCE="ON"
export KEY_CITY="Toronto"
export KEY_ORG="Bootstrap IT"
export KEY_EMAIL="info@bootstrap-it.com"
export KEY_OU="IT"

Att köra filen vars kommer att överföra dess värden till skalets miljö, därifrån kommer de att inkluderas i innehållet i dina nya nycklar. Varför fungerar inte kommandot sudo på egen hand? Eftersom vi i första steget redigerar skriptet vars, och sedan tillämpar det. Tillämpningen betyder också att filen vars överför sina värden till skalets miljö, därifrån kommer de att inkluderas i innehållet i dina nya nycklar.

Se till att köra filen igen med ett nytt skal för att avsluta den oavslutade processen. När detta är gjort kommer skriptet att be dig att köra ett annat skript, clean-all, för att ta bort allt innehåll i katalogen /etc/openvpn/easy-rsa/keys/:

Som en naturlig följd kommer nästa steg att vara att köra skriptet clean-all, följt av build-ca, som använder skriptet pkitool för att skapa ett rotcertifikat. Du kommer att bli ombedd att bekräfta identifieringsinställningarna som tillhandahålls av vars:

# ./clean-all
# ./build-ca
Generating a 2048 bit RSA private key

Därefter kommer skriptet build-key-server. Eftersom det använder samma skript pkitool tillsammans med det nya rotcertifikatet, kommer du att se samma frågor för att bekräfta skapandet av nyckelparet. Nycklarna kommer att få namn baserade på de argument du anger, som, såvida du inte kör flera VPN:er på denna dator, vanligtvis kommer att vara server, som i exemplet:

# ./build-key-server server
[...]
Certificate is to be certified until Aug 15 23:52:34 2027 GMT (3650 days)
Sign the certificate? [y/n]:y
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated

OpenVPN använder parametrar som genererats med Diffie-Hellman-algoritmen (med hjälp av build-dh) för att åstadkomma autentisering för nya anslutningar. Den skapade filen här behöver inte vara hemlig, men den bör genereras med hjälp av build-dh-skriptet för de RSA-nycklar som för tillfället är aktiva. Om du skapar nya RSA-nycklar i framtiden måste du också uppdatera filen baserat på Diffie-Hellman-algoritmen:

# ./build-dh

Dina nycklar på serversidan hamnar nu i katalogen /etc/openvpn/easy-rsa/keys/, men OpenVPN vet inte om detta. Som standard söker OpenVPN efter nycklar i /etc/openvpn/, så kopiera dem:

# cp /etc/openvpn/easy-rsa/keys/server* /etc/openvpn
# cp /etc/openvpn/easy-rsa/keys/dh2048.pem /etc/openvpn
# cp /etc/openvpn/easy-rsa/keys/ca.crt /etc/openvpn

Förberedelse av klientens krypteringsnycklar

Som du redan har sett använder TLS-kryptering par av motsvarande nycklar: en är installerad på servern och den andra på den fjärrklient. Det betyder att du behöver klientnycklar. Vår gamla vän pkitool är precis vad som behövs för detta. I detta exempel, genom att köra programmet i katalogen /etc/openvpn/easy-rsa/, skickar vi argumentet client för att generera filer med namnen client.crt och client.key:

# ./pkitool client

De två klientfilerna tillsammans med den ursprungliga filen ca.crt, som fortfarande ligger i katalogen keys/, måste nu säkert överföras till din klient. På grund av deras ägande och åtkomsträttigheter kan detta visa sig vara en klurig uppgift. Det enklaste tillvägagångssättet är att manuellt kopiera innehållet i den ursprungliga filen (och inget annat än detta innehåll) till terminalen som körs på skrivbordet på din PC (markera texten, högerklicka och välj Kopiera i menyn). Klistra sedan in detta i en ny fil med samma namn som du skapar i den andra terminalen som är ansluten till din klient.

Men vem som helst kan ju klippa och klistra. Tänk istället som en administratör, för du kommer inte alltid ha tillgång till ett GUI där klipp-och-klistra-operationer är möjligt. Kopiera filer till din användarhemskatalog (så att den fjärroperationen scp kan komma åt dem), och ändra sedan ägaren till filerna från root till en vanlig användare utan root-behörigheter med hjälp av chown, så att den fjärroperationen scp kan utföras. Se till att alla dina filer för närvarande är korrekt inställda och tillgängliga. Du kommer att flytta dem till klienten lite senare:

# cp /etc/openvpn/easy-rsa/keys/client.key /home/ubuntu/
# cp /etc/openvpn/easy-rsa/keys/ca.crt /home/ubuntu/
# cp /etc/openvpn/easy-rsa/keys/client.crt /home/ubuntu/
# chown ubuntu:ubuntu /home/ubuntu/client.key
# chown ubuntu:ubuntu /home/ubuntu/client.crt
# chown ubuntu:ubuntu /home/ubuntu/ca.crt

Med en komplett uppsättning av krypteringsnycklar redo att användas måste du informera servern hur du vill skapa VPN. Detta görs med hjälp av filen server.conf.

Minska antalet tangentryckningar

Måste du skriva för mycket? En parentesförlängning hjälper till att minska dessa sex kommandon till två. Jag är säker på att du kan lära dig dessa två exempel och förstå vad som händer. Ännu viktigare, du kommer att förstå hur du tillämpar dessa principer på operationer som involverar dussintals eller till och med hundratals element:

# cp /etc/openvpn/easy-rsa/keys/{ca.crt,client.{key,crt}} /home/ubuntu/
# chown ubuntu:ubuntu /home/ubuntu/{ca.crt,client.{key,crt}}

Inställning av filen server.conf

Hur kan du veta hur filen server.conf ska se ut? Kommer du ihåg mallen för katalogen easy-rsa som du kopierade från /usr/share/? Vid installation av OpenVPN finns en komprimerad fil med konfigurationsmallar som du kan kopiera till /etc/openvpn/. Jag kommer att utgå ifrån att mallen är arkiverad och introducera dig till ett användbart verktyg: zcat.

Du vet redan hur man skriver ut textinnehållet i en fil på skärmen med kommandot cat, men vad händer om filen är komprimerad med gzip? Du kan alltid packa upp filen, och då kommer cat att skriva ut den utan problem, men det är ett eller två steg mer än vad som behövs. Istället, som du kanske har gissat, kan du använda kommandot zcat för att hämta den uppackade texten i minnet i ett steg. I nästa exempel kommer du, istället för att skriva ut texten på skärmen, att omdirigera den till en ny fil som heter server.conf:

# zcat 
  /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz 
  > /etc/openvpn/server.conf
$ cd /etc/openvpn

Låt oss lämna den omfattande och användbara dokumentationen som följer med filen åt sidan och titta på hur den kan se ut när du är klar med redigeringen. Observera att semikolon (;) anger för OpenVPN att inte läsa och utföra nästa rad (lista 10.2).

Låt oss gå igenom några av dessa inställningar.

• Som standard kör OpenVPN på port 1194. Du kan ändra detta, till exempel för att dölja dina aktiviteter ytterligare eller undvika konflikter med andra aktiva tunnlar. Eftersom 1194 kräver minimal samordning med klienterna, är det bäst att göra just så.
• OpenVPN använder antingen transmissionsprotokollet (TCP) eller användardatagramprotokollet (UDP) för datatransmission. TCP kan vara något långsammare, men det är mer pålitligt och har större chans att förstås av program som körs i båda ändar av tunneln.
• Du kan ange dev tun när du vill skapa en enklare och mer effektiv IP-tunnel som överför datainnehåll och inget mer. Om du å sin sida behöver ansluta flera nätverksgränssnitt (och de nätverk de representerar) genom att skapa en Ethernet-bro, måste du välja dev tap. Om du inte förstår vad detta betyder, använd argumentet tun.
• De följande fyra raderna överför till OpenVPN namnen på tre autentiseringsfiler på servern och den parameterfil dh2048 som du skapade tidigare.
• Raden server anger intervallet och subnetmasken som ska användas för att tilldela IP-adresser till klienter vid inloggning.
• Den valfria parametern push "route 10.0.3.0 255.255.255.0" gör det möjligt för fjärrklienter att få åtkomst till privata undernät bakom servern. För att denna funktion ska fungera krävs även nätverksinställningar på själva servern, så att det privata undernätet känner till OpenVPN-under nätet (10.8.0.0).
• Raden port-share localhost 80 gör det möjligt att omdirigera klienttrafik som kommer in via port 1194 till en lokal webbserver som lyssnar på port 80. (Detta är användbart om du planerar att använda webbservern för att testa din VPN.) Detta fungerar endast när TCP-protokollet är valt.
• Raderna user nobody och group nogroup måste vara aktiverade — detta görs genom att ta bort semikolonerna (;). Att tvinga fjärrklienter att köra under nobody och nogroup garanterar att sessioner på servern är oprivilegerade.
• log anger att nuvarande loggposter kommer att skriva över gamla poster vid varje start av OpenVPN, medan log-append lägger till nya poster i den befintliga loggfilen. Själva filen openvpn.log skrivs till katalogen /etc/openvpn/.

Dessutom läggs ofta värdet client-to-client till konfigurationsfilen så att flera klienter kan se varandra utöver OpenVPN-servern. Om du är nöjd med din konfiguration kan du starta OpenVPN-servern:

# systemctl start openvpn

På grund av den föränderliga naturen av relationerna mellan OpenVPN och systemd kan det ibland krävas en sådan syntax för att starta tjänsten: systemctl start openvpn@server.

Att köra ip addr för att visa listan över nätverksgränssnitt på din server bör nu återge en referens till det nya gränssnittet med namnet tun0. OpenVPN kommer att skapa det för att hantera inkommande klienter:

$ ip addr
[...]
4: tun0: mtu 1500 qdisc [...]
      link/none
      inet 10.8.0.1 peer 10.8.0.2/32 scope global tun0
          valid_lft forever preferred_lft forever

Du kan behöva starta om servern innan allt börjar fungera fullt ut. Nästa stopp är klientdatorn.

10.1.2. Konfigurera OpenVPN-klienten

Traditionellt byggs tunnlar med minst två utgångar (annars skulle vi kalla dem grottor). En korrekt konfigurerad OpenVPN-server dirigerar trafik in i och ut ur tunneln från ena sidan. Men du kommer också att behöva någon programvara som körs på klientsidan, det vill säga i den andra änden av tunneln.

I det här avsnittet kommer jag att fokusera på manuell installation av en Linux-dator av något slag för att fungera som OpenVPN-klient. Men detta är inte det enda sättet denna möjlighet finns tillgänglig. OpenVPN stöder klientapplikationer som kan installeras och användas på stationära datorer och laptops med Windows eller macOS, samt på smartphones och surfplattor som kör Android och iOS. Se detaljer på openvpn.net.

OpenVPN-paketet måste installeras på klientdatorn, precis som det installerades på servern, även om det inte behövs något easy-rsa här eftersom de nycklar du använder redan finns. Du behöver kopiera filen client.conf-mallen till katalogen /etc/openvpn/, som just har skapats. Denna gång kommer filen inte att komprimeras, så ett vanligt cp-kommando kommer att fungera utmärkt för detta:

# apt install openvpn
# cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf 
  /etc/openvpn/

De flesta inställningarna i din client.conf-fil kommer att vara ganska tydliga: de bör matcha värdena på servern. Som visas i följande exempel på fil är det unika parametern remote 192.168.1.23 1194, som anger klientens IP-adress till servern. Kontrollera återigen att detta är adressen till din server. Du bör också se till att klientdatorn verifierar serverns certifikat för att förhindra en eventuell 'man-in-the-middle'-attack. Ett sätt att göra detta är att lägga till raden remote-cert-tls server (listning 10.3).

Nu kan du gå till katalogen /etc/openvpn/ och extrahera certifikatnycklarna från servern. Byt ut serverns IP-adress eller domännamn i exemplet mot dina egna värden:

Inget särskilt spännande kommer förmodligen att hända förrän du startar OpenVPN på klienten. Eftersom du måste skicka ett par argument gör du detta från kommandoraden. Argumentet —tls-client talar om för OpenVPN att du kommer att agera som klient och ansluta genom TLS-kryptering, medan —config anger din konfigurationsfil:

# openvpn --tls-client --config /etc/openvpn/client.conf

Läs noggrant utskriften från kommandot för att säkerställa att du är korrekt ansluten. Om något går fel för första gången kan det bero på att inställningarna mellan serverns och klientens konfigurationsfiler inte stämmer överens, eller på ett problem med nätverksanslutningen/brandväggen. Här är några tips för att felsöka.

• Läs noggrant utskriften av OpenVPN-operationen på klienten. Den innehåller ofta värdefulla råd om vad som inte kan genomföras och varför.
• Kontrollera felmeddelandena i openvpn.log och openvpn-status.log i katalogen /etc/openvpn/ på servern.
• Kontrollera relaterade meddelanden för OpenVPN och tidssynkroniserade meddelanden i systemloggarna på servern och klienten. (journalctl -ce visar de senaste posterna.)
• Se till att du har en aktiv nätverksanslutning mellan servern och klienten (för mer information, se kapitel 14).

Om författaren

David Clinton — systemadministratör, lärare och författare. Han har administrerat, skrivit om och skapat utbildningsmaterial för många viktiga tekniska discipliner, inklusive Linux-system, molnberäkning (specifikt AWS) och behållarteknologier som Docker. Han har skrivit boken Learn Amazon Web Services in a Month of Lunches (Manning, 2017). Många av hans utbildningsvideokurser finns på Pluralsight.com, och länkar till andra av hans böcker (om Linuxadministration och servervirtualisering) finns på bootstrap-it.com.

” För mer information om boken kan man läsa på förlagets webbplats
» Innehållsförteckning
» Utdrag

För Habr-följare är det 25 % rabatt med koden — Linux
Vid betalning av den tryckta versionen av boken skickas en e-bok till e-post.

Källa: habr.com