[[Vorlage(Getestet, hardy, lucid, natty)]] {{{#!vorlage Wissen [:Pakete_installieren: Installation von Programmen] [:Paketquellen_freischalten:] [:Terminal: Ein Terminal öffnen] [:Editor: Einen Editor öffnen] [:Packprogramme: Archive entpacken] [:Rechte: Rechte für Dateien und Ordner ändern] [:sudo:Root-Rechte] }}} [[Inhaltsverzeichnis(2)]] [[Bild(openvpn-logo.png, align=left)]] [http://www.openvpn.net OpenVPN] {en} ist eine [wikipedia:Virtual_Private_Network:Virtual-Private-Network-Software], die auf dem bewährten Verschlüsselungsprotokoll [wikipedia:Transport_Layer_Security: SSL/TLS] aufbaut, welches auch für die Verschlüsselung von Webbrowser-Sitzungen im E-Commerce eingesetzt wird. Die Vorteile von OpenVPN gegenüber anderen Lösungen liegen in der (relativ) einfachen Konfiguration und der Verfügbarkeit für zahlreiche Plattformen (u.a. Linux, Solaris, versch. BSDs, Mac OS X und Microsoft Windows) bei gleichzeitig sehr guter Sicherheit. = Installation = Folgendes Paket wird benötigt [1]: {{{#!vorlage Paketinstallation openvpn, universe [2] }}} Als erstes sollte man die Beispielkonfiguration und das Verzeichnis zur Schlüsselerzeugung an einen geeigneten Ort entpacken [3]: {{{#!vorlage Befehl sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn/ sudo gunzip /etc/openvpn/server.conf.gz sudo cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa2 }}} = Server = == Schlüssel und Zertifikate generieren == {{{#!vorlage Hinweis Im folgenden Abschnitt wird beschrieben, wie man die Zertifikate auf dem Server als Root im Verzeichnis '''/etc/openvpn/easy-rsa2''' erstellt. Man kann diese ''Certificate Authority'' (CA) aber auch problemlos auf irgendeinem anderen Rechner und/oder an einer anderen Stelle im Dateisystem erstellen, wozu man dann auch keine Root-Rechte benötigt, wenn man als normaler Benutzer Schreibrechte besitzt. Man muss sich dann auch nicht immer auf dem Server einloggen, wenn man einen neuen Schlüssel für einen neuen Benutzer erstellen möchte. Nach dem Erzeugen muss man dann nur noch die jeweiligen Schlüssel und Zertifikate auf die entsprechenden Rechner kopieren, und zwar auf jeden Rechner (Server und Clients) seine eigene '''.key'''- und '''.crt'''-Datei sowie die globale '''ca.crt'''. Der Server benötigt auch noch die [wikipedia:Diffie-Hellman-Schlüsselaustausch:Diffie-Hellman-Datei] '''dh1024.key'''. Der CA-Schlüssel '''ca.key''' wird dagegen nur innerhalb der CA benötigt und muss nicht transferiert werden. }}} Die gegenseitige Authentifizierung zwischen Server und Client findet bei OpenVPN über kryptografische Schlüssel und Zertifikate statt, die als erstes erstellt werden müssen. Dazu wechselt man zuerst in das Verzeichnis '''/etc/openvpn/easy-rsa2/''' und editiert[4] dort die Datei '''vars''' mit Root-Rechten[7]. In der '''vars''' findet man am Ende folgende Einträge: {{{ export KEY_COUNTRY=DE export KEY_PROVINCE=NRW export KEY_CITY=Düsseldorf export KEY_ORG=”Vpntest” export KEY_EMAIL=”onlyspam@myhomepage.net” }}} Diese Einträge müssen ggf. auf die eigenen Verhältnisse angepasst werden. {{{#!vorlage Hinweis Aufgrund eines Fehlers wird manchmal das Unterverzeichnis für die Keys nicht erstellt. Man sollte dies darum von Hand nachholen (weiterhin in '''/etc/openvpn/easy-rsa2/'''): {{{#!vorlage Befehl sudo mkdir keys \}}} }}} Danach muss die oben angepasste Datei '''vars''' in die Umgebungsvariablen aufgenommen werden [3]: {{{#!vorlage Befehl source ./vars }}} Es erscheint eine Warnmeldung, worauf mit den folgenden Skript-Aufrufen das Master-Zertifikat und der Master-Schlüssel erstellt werden: {{{#!vorlage Befehl sudo -E ./clean-all sudo -E ./build-ca }}} Jetzt muss noch das Zertifikat und der Schlüssel für den Server erstellt werden: {{{#!vorlage Befehl sudo -E ./build-key-server server }}} Wichtig dabei ist, dass bei "''Common Name''" der Name eingegeben werden sollte, mit dem auf den Server später zugegriffen wird. Das kann z.B. auch der DynDNS-Name sein. Das "''Challenge Password''" kann leer gelassen werden. Um die Datenbank zu aktualisieren, muss danach zweimal mit [[Vorlage(Tasten, y)]] bestätigt werden. Anschließend müssen nun die Schlüssel für die Benutzer angelegt werden: {{{#!vorlage Befehl sudo -E ./build-key ersterclient sudo -E ./build-key zweiterclient sudo -E ./build-key dritterclient }}} Das geschieht nach dem gleichen Prinzip wie gerade eben beim Server, jedoch muss nun bei "''Common Name''" jeweils der Name des Clients eingetragen werden. {{{#!vorlage Hinweis Benötigt man zu einem späteren Zeitpunkt weitere Zertifikate, muss zuerst die vars als root (sudo -s) erneut gesourcet werden. Danach können wie gewohnt neue Zertifikate mittels ./build-key erstellt werden. }}} Jetzt müssen noch die Diffie-Hellman-Parameter generiert werden. Diese sind nötig, um kryptografische Schlüssel sicher über unsichere Kanäle auszuhandeln. Das geschieht mit {{{#!vorlage Befehl sudo -E ./build-dh }}} Die Erstellung kann je nach System einige Zeit dauern. Wenn die Erstellung erfolgreich gewesen ist, liegen nun alle benötigten Dateien im Verzeichnis '''/etc/openvpn/easy-rsa2/keys/'''. Die Dateien mit der Endung '''.key''' sind die geheimen Schlüssel, die nur auf dem entsprechenden Rechner, zu dem sie gehören, gespeichert werden sollten. Die '''.crt'''-Dateien sind die Zertifikate, die nicht geheim gehalten werden müssen. Die Client-Schlüssel und -Zertifikate müssen nun auf die Clients transferiert werden, '''server.key''' und '''ca.key''' bleiben wo sie sind. Außerdem muss jeder Client noch die Datei '''ca.crt''' erhalten, damit er den Server einwandfrei identifizieren kann. Zusätzlich muss noch darauf geachtet werden, dass die Dateien nie im ASCII-Modus übertragen werden. Dies kann dazu führen, dass die Datei nicht mehr entschlüsselt werden kann und somit ein Verbinden mit dem openVPN-Server nicht möglich ist. Fehlermeldung: "`Error: private key password verification failed`". Am besten umgeht man das Problem, indem man alle zu übertragenden Dateien in ein '''.tar'''- oder '''.rar'''-Archiv packt. == Konfiguration == Nun muss noch die Server-Konfigurationsdatei '''/etc/openvpn/server.conf''' angepasst werden. Wichtig ist, dass die Pfade zu den Schlüsseln angepasst werden. Alle anderen Einstellungen sind schon ganz brauchbar. {{{ ca ./easy-rsa2/keys/ca.crt cert ./easy-rsa2/keys/server.crt key ./easy-rsa2/keys/server.key # Diese Datei geheim halten. dh ./easy-rsa2/keys/dh1024.pem # Diffie-Hellman-Parameter }}} Zur Verbesserung der Sicherheit sollte man den Daemon unter einer unprivilegierten Benutzerkennung laufen lassen, indem man folgende Zeilen aktiviert: {{{ # Downgrade privileges after initialization (non-Windows only) user nobody group nogroup }}} Noch besser ist es, hier nicht auf die Kennung ''nobody/nogroup'' zurückzugreifen, sondern eine eigene spezialisierte ''openvpn/openvpn''-Identität zu schaffen, wobei man die Shell auf "`/bin/false`" setzen kann. {{{#!vorlage Befehl sudo adduser --system --no-create-home --disabled-login openvpn sudo addgroup --system --no-create-home --disabled-login openvpn }}} Wer den Server in einem privaten LAN stehen hat, muss noch "Port-Forwarding" auf seinem Router aktivieren. OpenVPN nutzt standardmäßig den Port 1194 (UDP), der auf die interne IP-Adresse des VPN-Servers weitergeleitet werden muss. Wer einen Linux-[:Router:] betreibt, kann dafür das [:Skripte/nathelper: nathelper-Skript] verwenden. Besitzer eines Hardware-Routers sollten bei Bedarf dessen Betriebsanleitung oder die Webseiten des Router-Herstellers zu Rate ziehen. Jetzt kann der Server folgendermaßen gestartet werden: {{{#!vorlage Befehl sudo /etc/init.d/openvpn restart }}} Falls das nicht erfolgreich ist und folgender Fehler in '''/var/log/daemon.log''' bzw. '''/var/log/syslog''' steht (häufig bei virtualisierten Systemen der Fall): {{{ openvpn[...]: Note: Cannot open TUN/TAP dev /dev/net/tun: Permission denied (errno=13) openvpn[...]: Note: Attempting fallback to kernel 2.2 TUN/TAP interface openvpn[...]: Cannot allocate TUN/TAP dev dynamically }}} hilft eventuell der Abschnitt [#Probleme Probleme] weiter. == LAN einbeziehen == Um dem Client nicht nur den Server selber, sondern auch das LAN über das VPN zugänglich zu machen, muss nochmal die '''server.conf''' bearbeitet werden. Dort wird im betreffenden Bereich folgendes eingetragen: {{{ push "route 192.168.2.0 255.255.255.0" }}} Der hier genannte IP-Bereich muss natürlich durch den des serverseitigen LANs ersetzt werden. Außerdem muss noch das IP-Forwarding am Server aktiviert werden: {{{#!vorlage Befehl sudo sysctl -w net/ipv4/ip_forward=1 }}} Um diese Änderung permanent zu machen, kann man sie in die Datei '''/etc/sysctl.conf''' eintragen: {{{ net.ipv4.ip_forward=1 }}} Wenn der OpenVPN-Daemon nicht auf dem "Default-Gateway" des lokalen Netzes läuft, so muss auf letzterem (dem Default-Gateway/Router) noch eine Route erstellt werden, die den OpenVPN-Server als Gateway für das VPN festlegt. Handelt es sich dabei um einen Linux-Rechner, so lautet der Befehl wie folgt und kann bei Bedarf (ohne "`sudo`") in die Datei '''/etc/rc.local''' eingetragen werden: {{{#!vorlage Befehl sudo route add -net 10.8.0.0 netmask 255.255.255.0 gw vpn.server.i.p }}} Bei besseren "Consumer-Routern" wie z.B. einer FritzBox gibt es häufig auch in den Netzwerkeinstellungen die Option "IP-Routen" oder "statische Routen". Besagte FritzBoxen erwarten dort die Eingabe von IP-Adresse, Subnetzmaske und Gateway. Dabei ist mit IP-Adresse die Adresse des IP-Netzwerkes (hier 10.8.0.0) gemeint. Es ergibt sich für typische Privat-Netzwerke also folgende Einstellung, wenn z.B. der lokale Adressbereich 192.168.1.0 ist und der Openvpn-Server auf einem Rechner mit der IP 192.168.1.66 läuft. {{{ IP-Adresse 10.8.0.0 Subnetzmaske 255.255.255.0 Gateway 192.168.1.66 }}} Weiterhin müssen bei einer evtl. vorhandenen Firewall Regeln (bei Iptables in der "Forward-chain") eingerichtet werden, die die Kommunikation erlauben. = Client-Konfiguration = Zuerst muss auch auf den Clients das '''openvpn'''-Paket installiert werden, wie weiter oben beschrieben. Statt der Datei '''server.conf''' wird hier aber logischerweise die '''/etc/openvpn/client.conf''' editiert [4], die vorher mit {{{#!vorlage Befehl sudo cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf /etc/openvpn/ }}} in das entsprechende Verzeichnis kopiert wurde. Dort ändert man die IP-Adresse, unter der der Server erreichbar ist. Wer keine statische IP zur Verfügung hat, kann dort auch seine dyndns-Adresse angeben. {{{ remote ich.dyndns.org }}} Die Pfade der einzelnen '''ca''', '''cert''', usw. müssen hier nicht unbedingt angepasst werden, wenn die einzelnen Dateien auf dem Client im gleichen Ordner liegen wie die '''client.conf''' und die voreingestellten Dateinamen besitzen. Natürlich müssen sie erstmal vom Server herüberkopiert worden sein. Die Authentifizierung des OpenVPN-Servers ist für einen ersten Test nicht notwendig, für die spätere Benutzung aus Sicherheitsgründen aber empfohlen. Dazu wird eine der Methoden, die auf der Seite [http://openvpn.net/howto.html#mitm] {en} beschrieben ist, verwendet . Bei einem aktuellen Ubuntu (ab Hardy) mit OpenVPN-Version ab 2.1 funktioniert: {{{ remote-cert-tls server }}} Andernfalls bekommt man bei jeder Verbindung eine Warnung ("WARNING: No server certificate verification method has been enabled. See [http://openvpn.net/howto.html#mitm] for more info.") == Ubuntu == {{{#!vorlage Hinweis Es bietet sich die komfortable Nutzung der [:Network-Manager/VPN Plugins:] an. }}} Auch hier muss das VPN jetzt neu gestartet werden [3]: {{{#!vorlage Befehl sudo /etc/init.d/openvpn restart }}} Wer die Verbindung nicht bei jedem Systemstart automatisch aufbauen lassen will, muss folgende Zeile in der Datei '''/etc/default/openvpn''' aktivieren: {{{ AUTOSTART="none" }}} In diesem Fall empfiehlt es sich, die Konfiguration im eigenen Homeverzeichnis anzulegen. Dann kann man die Verbindung bei Bedarf auch mit einfachen Benutzerrechten über folgenden Befehl starten: {{{#!vorlage Befehl openvpn ~/pfad/zu/client.conf }}} == Microsoft Windows == OpenVPN-Pakete für Windows sind über die folgende URL erhältlich: [http://openvpn.se/download.html http://openvpn.se/download.html] {en} . Nach der Installation müssen dann folgende Dateien, die vorhin erstellt wurden, in den Ordner '''C:\Programme\OpenVPN\config\\''' kopiert werden: {{{ client.ovpn clientX.crt clientX.key ca.crt }}} Wie zu erkennen ist, muss die '''client.conf'''-Datei zur Verwendung mit der Windows-GUI die Endung '''.ovpn''' haben. Nun mit der rechten Maustaste [[Vorlage(Tasten, rmt)]] auf das Icon von OpenVPN klicken und ''"Connect"'' auswählen. Wenn alles richtig gemacht wurde, sollte die Verbindung nun funktionieren. Wer die VPN-Verbindung/en bereits beim Start von Windows aktivieren möchte, kann über ''"Start -> Ausführen -> services.msc"'' den Dienst openVPN auf automatisch starten setzen. Damit werden alle konfigurierten Verbindungen aus dem Ordner ''"C:\Programme\OpenVPN\config\"'' beim Systemstart automatisch aufgebaut. == OpenVPN über HTTP-Proxy == Sitzt man nicht direkt an einem Internetzugang (z.b. im Büro oder beim Kunden), so hat man oft keine Möglichkeit über Port 1194 ins Internet zu kommen. Üblicherweise ist aber der Port 443 (HTTPS) über einen HTTPS-Proxy im Netz nutzbar. Theoretisch würden auch andere Ports funktionieren, praktisch limitieren aber Proxys in Firewall-Umgebungen die Benutzung von HTTP CONNECT, welche zur Tunnelung von SSL notwendig ist, nahezu immer auf den Port 443. Um vom Client über den HTTPS-Proxy ins Internet und zum heimischen OpenVPN-Server zu gelangen, müssen folgende Konfigurationen gemacht werden: === server.conf === {{{ # Which TCP/UDP port should OpenVPN listen on? # If you want to run multiple OpenVPN instances # on the same machine, use a different port # number for each one. You will need to # open up this port on your firewall. port 443 ;port 1194 # TCP or UDP server? proto tcp ;proto udp }}} Auf dem Server wird in der '''server.conf''' auf den Port 443 umgeschaltet. Zudem wird hier auf das Protokoll TCP umgeschaltet, was in diesem Fall auch zwingend ist, da HTTP(S) Verkehr generell über TCP transportiert wird. === client.conf === {{{ # Are we connecting to a TCP or # UDP server? Use the same setting as # on the server. proto tcp ;proto udp [...] # If you are connecting through an # HTTP proxy to reach the actual OpenVPN # server, put the proxy server/IP and # port number here. See the man page # if your proxy server requires # authentication. http-proxy 192.168.4.1 1080 ;http-proxy-retry # retry on connection failures ;http-proxy [proxy server] [proxy port #] }}} Auf dem Client wird in der '''client.conf''' die Zeile "`http-proxy 192.168.4.1 1080`" hinzugefügt. Wobei die Addresse des Proxy "`192.168.4.1`" und der Port "`1080`" mit den effektiven Angaben ersetzt werden müssen. Weitere Informationen zur Konfiguration von HTTP-Proxys sind unter [http://openvpn.net/howto.html#http http://openvpn.net/howto.html#http] {en} verfügbar. Auch auf dem Client muss darauf geachtet werden, TCP als Transportprotokoll auszuwählen. [[Anker(Konfiguration)]] = Probleme = == Virtualisierte Systeme == Viele Provider bieten mittlerweile günstige virtualisierte Server an (auch VPS oder VServer). Bestimmte Funktionen lassen sich auf solchen Servern nur nutzen, wenn die entsprechenden Fähigkeiten auch in den Kernel des Host-Systems kompiliert wurden, auf dem die VPS läuft. Das gilt insbesondere für TUN/TAP und iptables. Bei vielen Providern genügt es, wenn man in einem Support-Ticket kurz erklärt, dass man TUN/TAP oder iptables nutzen möchte und sie wechseln den Kernel aus. Funktioniert TUN/TAP dann immer noch nicht, muss man das Gerät noch selbst erstellen: {{{#!vorlage Befehl sudo mkdir -p /dev/net sudo mknod /dev/net/tun c 10 200 sudo chmod 600 /dev/net/tun }}} Wenn man den Vserver als Gateway nutzen möchte muss man in der In der /etc/rc.local noch folgendes eintragen, wobei EXT_IP die öffentliche IP des servers ist {{#!vorlage Befehl iptables -t nat -F POSTROUTING echo 1 > /proc/sys/net/ipv4/ip_forward # iptables -t nat -A POSTROUTING -o eth0 -s 10.8.0.0/24 -j MASQUERADE # das geht nur wenn das Interface nicht venet0:0 (also keine Map ist) iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to-source EXT_IP }}} == Mediatomb == Unter Umständen kann es zu Problemen kommen, wenn Mediatomb und OpenVPN gleichzeitig installiert sind. Das Problem äußert sich darin, dass die Weboberfläche von Mediatomb zwar erreichbar ist, der eigentliche UPNP Service aber nicht. Die Ursache ist hierfür, dass Mediatomb den UPNP Service scheinbar an die TUN Netzwerkschnittstelle, welches von OpenVPN angelegt wird, bindet. Stattdessen soll Mediatomb sich an die übliche Netzwerkschnittstelle binden, normalerweise also eth0 oder wlan0. Ein einfacher Eingriff in die config.xml des Mediatomb löst das Problem: {{{ ... eth0 ... }}} = Links = * [:Serverdienste#VPN-Fernzugriff: VPN] {Übersicht} Artikelübersicht * [http://www.openvpn.eu] OpenVPN e.V.- Verein zur Stärkung der Community mit Wiki, Forum,... * [http://quergedacht.familie-brinkmann.net/shellscript-to-set-the-default-gateway-within Shellscript - VPN als Standardgateway setzen] # tag: Netzwerk, Sicherheit, Server, VPN