Tutoriel VPN OpenVPN sous Centos 6.5. Dans un premier temps, il faudra avoir une connexion à Internet, utiliser un serveur DNS et désactiver SELinux.

Transcription

1 Tutoriel VPN OpenVPN sous Centos 6.5 Serveur Protocole Udp Port 1194 Configuration Iptables Iptables -I INPUT 2 -p udp dport j ACCEPT Préparation Dans un premier temps, il faudra avoir une connexion à Internet, utiliser un serveur DNS et désactiver SELinux. Assurez-vous d'avoir installé le dépôt EPEL car OpenVPN vient de cette source. Cas d utilisation : serveur - client Dans ce cas d'utilisation, nous allons utiliser un serveur CentOS et un client Seven. Le client, situé sur Internet, pourra accéder aux services de l'entreprise comme s'il était physiquement connecté au LAN. C'est le cas le plus commun comme, par exemple, des commerciaux qui veulent accéder à leur PGI alors qu'ils sont à l'autre bout du monde. Partie serveur Installation Premièrement, installons les packages nécessaires : # yum -y install openvpn easy-rsa OpenVPN est livré avec un fichier de configuration exemple que nous allons copier dans le bon répertoire : # cp /usr/share/doc/openvpn-*/sample/sample-config-files/server.conf /etc/openvpn Configuration Éditons le fichier maintenant qu'il est au bon endroit: # vi /etc/openvpn/server.conf

2 Nous allons dé-commenter la ligne suivante qui permet de router le trafic qui vient du client à travers le tunnel VPN: push "redirect-gateway def1 bypass-dhcp" La ligne suivante doit être décommentée car elle permet de préciser quel serveur DNS le client doit utiliser. Si vous avez un serveur DNS sur votre réseau, mettez son IP ici, sinon utilisez le serveur de Google: push "dhcp-option DNS " Les lignes suivantes doivent être décommenteés pour signifier à OpenVPN d'utiliser l'utilisateur et le group nobody. Cela permet d'augmenter la sécurité. user nobody group nobody Pour résumer: port 1194 proto udp dev tun ca ca.crt cert server.crt key server.key # This file should be kept secret dh dh2048.pem server ifconfig-pool-persist ipp.txt push "redirect-gateway def1 bypass-dhcp" push "dhcp-option DNS " keepalive comp-lzo user nobody group nobody persist-key persist-tun log openvpn.log status openvpn-status.log verb 3

3 Création des clés Mise en place Le serveur utilise un certificat pour monter un tunnel SSL avec le client. Cela nécessite une autorité de certification, pour délivrer des certificats, une paire certificat/clé pour le serveur et une paire certificat/clé pour le client. Nous allons utiliser une librairie qui nous permet de créer tous les fichiers dont nous allons avoir besoin: easy-rsa. Tout d'abord, créons un dossier pour stocker tous ces fichiers: # mkdir -p /etc/openvpn/easy-rsa/keys Copions les fichiers nécessaires : # cp -rf /usr/share/easy-rsa/2.0/* /etc/openvpn/easy-rsa Informations du certificat Nous allons inscrire les informations du certificat dans le fichier /etc/openvpn/easy-rsa/vars pour ne pas avoir à les saisir à chaque fois: export KEY_COUNTRY="FR" export KEY_PROVINCE="Herault" export KEY_CITY="Montpellier" export KEY_ORG="mtpmhr" export KEY_ ="root@mtpmhr.local" export KEY_OU="Informatique" Création de l'autorité de certification # cd /etc/openvpn/easy-rsa # source./vars NOTE: If you run./clean-all, I will be doing a rm -rf on /etc/openvpn/easyrsa/keys #./clean-all #./build-ca Generating a 2048 bit RSA private key writing new private key to 'ca.key' You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN.

4 There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. Country Name (2 letter code) [FR]: State or Province Name (full name) [Herault]: Locality Name (eg, city) [Juvignac]: Organization Name (eg, company) [Tala Informatique]: Organizational Unit Name (eg, section) [Informatique]: Common Name (eg, your name or your server's hostname) [Tala Informatique CA]: Name [EasyRSA]: Address [root@tala.informatique.fr]: Génération du certificat serveur Pour le serveur, ne pas mettre de mot de passe lorsque l'on vous pose la question. #./build-key-server server Generating a 2048 bit RSA private key writing new private key to 'server.key' You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. Country Name (2 letter code) [FR]: State or Province Name (full name) [Herault]: Locality Name (eg, city) [Montpellier]: Organization Name (eg, company) [mtpmhr]: Organizational Unit Name (eg, section) [Informatique]: Common Name (eg, your name or your server's hostname) [server]: Name [EasyRSA]: Address [root@mtpmhr.local]: Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []:

5 Using configuration from /etc/openvpn/easy-rsa/openssl cnf Check that the request matches the signature Signature ok The Subject's Distinguished Name is as follows countryname :PRINTABLE:'FR' stateorprovincename :PRINTABLE:'Herault' localityname :PRINTABLE:'Juvignac' organizationname :PRINTABLE:'mtpmhr' organizationalunitname:printable:'informatique' commonname :PRINTABLE:'server' name :PRINTABLE:'EasyRSA' address Certificate is to be certified until Oct 14 17:16: GMT (3650 days) Sign the certificate? [y/n]:y 1 out of 1 certificate requests certified, commit? [y/n]y Write out database with 1 new entries Data Base Updated Nous allons également avoir besoin de clés Diffie Hellman pour procéder à la vérification des certificats de manière sécurisée. Pour les générer, nous allons utiliser le script build-dh et copier tous les fichiers dans /etc/openvpn: #./build-dh Generating DH parameters, 2048 bit long safe prime, generator 2 This is going to take a long time... # cd /etc/openvpn/easy-rsa/keys # cp dh2048.pem ca.crt server.crt server.key /etc/openvpn Démarrage et enregistrement du serveur # service openvpn start # chkconfig openvpn on

6 Activation du routage Il faut activer le routage, comme on le ferait sur un pare-feu, pour que les clients qui sont sur le sous-réseau du VPN puissent accéder au réseau sur lequel se trouve la passerelle OpenVPN. Tout d'abord paramétrons le pare-feu pour faire du NAT: # iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE # iptables -F FORWARD # service iptables save Enfin, activons le routage dans le fichier /etc/sysctl.conf: net.ipv4.ip_forward = 1 Rechargeons les paramètres du noyau: # sysctl -p Partie cliente Installation du client Premièrement, installez le client OpenVPN sur la machine Windows. Génération du certificat client Comme pour la partie serveur, la première étape est la génération des clés. Cela se fait sur le serveur OpenVPN: # cd /etc/openvpn/easy-rsa #./build-key client Generating a 2048 bit RSA private key writing new private key to 'client.key' You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value,

7 If you enter '.', the field will be left blank. Country Name (2 letter code) [FR]: State or Province Name (full name) [Herault]: Locality Name (eg, city) [Juvignac]: Organization Name (eg, company) [Tala Informatique]: Organizational Unit Name (eg, section) [Informatique]: Common Name (eg, your name or your server's hostname) [client]: Name [EasyRSA]: Address Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []: Using configuration from /etc/openvpn/easy-rsa/openssl cnf Check that the request matches the signature Signature ok The Subject's Distinguished Name is as follows countryname :PRINTABLE:'FR' stateorprovincename :PRINTABLE:'Herault' localityname :PRINTABLE: Montpellier organizationname :PRINTABLE:'mtpmhr.local' organizationalunitname:printable:'informatique' commonname :PRINTABLE:'client' name :PRINTABLE:'EasyRSA' address :IA5STRING:'root@mtpmhr.local' Certificate is to be certified until Oct 14 17:22: GMT (3650 days) Sign the certificate? [y/n]:y 1 out of 1 certificate requests certified, commit? [y/n]y Write out database with 1 new entries Data Base Updated

8 Récupération des fichiers Il va falloir maintenant récupérer les trois fichiers suivants: ca.crt client.crt client.key Ils se trouvent dans le répertoire /etc/openvpn/easy-rsa/keys du serveur. Fichier de configuration Il faut créer le fichier de configuration, client.ovpn, qui va nous permettre de nous connecter au serveur dont voici le contenu: client dev tun proto udp remote!!!adresse IP du serveur OpenVPN!!! 1194 resolv-retry infinite nobind persist-key persist-tun comp-lzo verb 3 <ca>!!!! Contenu du fichier ca.crt!!!! </ca> <cert>!!!! Contenu du fichier client.crt!!!! </cert> <key>!!!! Contenu du fichier client.key!!!! </key> Adaptez: l'adresse IP du serveur OpenVPN; les contenus des fichiers commencent par le mot BEGIN et se terminent par le mot END Pour finir, relancez le serveur VPN et lancez le client.