Starta OpenVPN i Docker på 2 sekunder

Hej, Habr-folk! Har ni någonsin stött på en situation där ni verkligen skulle vilja förflytta er virtuellt till en annan stad, ett annat land eller till och med en annan kontinent? Den här behovet uppstår ganska ofta för mig, därför har möjligheten att ha en egen VPN-server som kan startas var som helst på bara några sekunder varit ganska akut. I den här artikeln vill jag berätta om mitt projekt, som jag kom på när jag letade efter en färdig lösning, i det här fallet en docker-image, som skulle göra det möjligt att snabbt få igång en OpenVPN-server med minimal konfiguration och en acceptabel säkerhetsnivå.

Bakgrund

Möjligheten att köra tjänsten på vilken maskin som helst: vare sig det är en fysisk server, en virtuell privat server, eller till och med ett containerutrymme inom ett annat containerhanteringssystem — var kritiskt viktig. Jag föll omedelbart för Docker. För det första ökar populariteten för den här tjänsten, vilket innebär att fler och fler tjänsteleverantörer erbjuder färdiga lösningar med dess förinstallation; för det andra — det finns ett centralt lagringsutrymme för images där man kan ladda ner och starta tjänsten med ett enda kommando i terminalen. Tanken att ett liknande projekt redan borde finnas hade förföljt mig, och jag letade envist. Men de flesta projekten jag fann var antingen för klumpiga (man behövde skapa en container för permanent datalagring och starta containern med applikationen flera gånger med olika parametrar), eller saknade anständig dokumentation, eller helt enkelt var övergivna. Efter att inte ha hittat något acceptabelt började jag arbeta på mitt projekt. Framför mig låg sömnlösa nätter med att studera dokumentation, skriva kod och debugga, men slutligen såg min tjänst dagens ljus och lyste med alla färger av en monokrom LED-panel på routern. Så, låt mig gärna presentera — Docker-OpenVPN. Jag har till och med skapat en logotyp (ovan, före stycket), men var inte hård mot den, eftersom jag inte är designer (än). När jag realiserade det här projektet lade jag fokus på snabb distribution, minimala inställningar och en acceptabel säkerhetsnivå. Genom trial and error hittade jag den optimala balansen mellan dessa kriterier, även om jag på vissa ställen var tvungen att offra hastigheten för säkerheten, och för att ha minimala inställningar fick jag ge upp portabiliteten: i den aktuella konfigurationen kan en container som skapats på en server inte flyttas och startas på en annan. Till exempel genereras alla klient- och servercertifikat vid tjänstens start och detta tar cirka 2 sekunder. Dock var jag tvungen att flytta genereringen av Diffie-Hellman-filen till byggtiden: den skapas under bygget av Docker-bilden och kan ta upp till 10 minuter. Jag skulle väldigt gärna vilja få en säkerhetsgranskning av en sådan lösning från det högt respekterade communityt.

Launch

För att starta tjänsten behöver vi ett par saker:

1. Server: fysisk eller virtuell. Teoretiskt kan det köras i Docker-in-Docker-läge, men jag har inte genomfört omfattande tester av det alternativet;
2. Egentligen Docker. Många webbhotell erbjuder färdiga lösningar med Docker "ombord";
3. En offentlig IP-adress.

Om alla uppgifter är på plats återstår det bara för oss att köra följande kommando i konsolen på din server:

docker run --cap-add=NET_ADMIN 
-it -p 1194:1194/udp -p 80:8080/tcp 
-e HOST_ADDR=$(curl -s https://api.ipify.org) 
alekslitvinenk/openvpn

Den uppmärksamma läsaren kan ha lagt märke till att serverns IP-adress automatiskt bestäms med hjälp av ipify.org. Om detta av någon anledning inte fungerar kan adressen anges manuellt. Om alla föregående steg har genomförts korrekt bör vi se något liknande i konsolen:

Sun Jun  9 08:56:11 2019 Initialiseringssekvens slutförd
Sun Jun  9 08:56:12 2019 Client.ovpn-fil har genererats
Sun Jun  9 08:56:12 2019 Konfigurera servern har startats, ladda ner din client.ovpn-konfiguration på http://example.com/
Sun Jun  9 08:56:12 2019 OBS: Efter att du har laddat ner din klientkonfiguration kommer HTTP-servern att stängas av!

Vi är nära målet: nu måste vi kopiera example.com (i ditt fall blir det adressen till din server) och klistra in den i webbläsarens adressfält. När du trycker på Enter kommer client.ovpn-filen att laddas ner, och själva http-servern kommer att försvinna. Om detta förslag känns tveksamt kan du använda följande knep: kör det föregående kommandot och lägg till flaggor zp och lösenord. Nu, om du klistrar in den genererade länken i webbläsarfönstret – får du en zip-fil med lösenord. När du har filen med klientkonfigurationen kan du använda vilken lämplig klient som helst. Jag använder Tunnelblick för Mac.

Videotutorial

Denna videotutorial innehåller en detaljerad instruktion för utplacering av tjänsten på DigitalOcean.

P.S. Om du tycker att detta projekt är användbart, vänligen ge det en stjärna på GitHub, gör en fork och berätta för vänner. Bidragsgivare och säkerhetsgranskningar välkomnas också.P.P.S. Om denna artikel hamnar på Habr, planerar jag att skriva nästa om hur jag körde Docker-in-Docker och Docker-in-Docker-in-Docker, varför jag gjorde det och vad som kom ut av det.
EDIT1:

1. Jag har rättat till felen i publiceringen,
2. I svar på kommentarerna beslutade jag att ta med denna information här: flaggan —privileged behövs för att arbeta med iptables

EDIT2:

1. Jag har förbättrat kommandot för att starta bilden: nu kräver det inte flaggan —privileged
2. Lagt till länk till ryskspråkig videoguide: youtu.be/A8zvrHsT9A0

Källa: habr.com