OpenVPN einrichten Part 1 – VPN-Server konfigurieren

Da ich mich seid ein Paar Wochen mit dem Thema Openvpn und co. beschäftige und gefühlte 1001 Howtos gelesen habe sowie die offizielle Dokumentation durch gearbeitet habe möchte ich euch hier mal 1 meiner erarbeiteten Nutzungs Möglichkeiten als kleines howto bereitstellen.

Als erstes prüfen wir ob auf unserem System Tun/Tap Device Supportet wird.
Fall nicht könnt ihr hier schon Diereckt aufhören weiter zu Lesen!!!!!!!!!

Das ganze wurde mit einem Frisch eingerichtetem Debian7.0 64 bit System

Part 1 Tun/Tap Device

1. Das System auf den neuesten Stand bringen

2.Überprüfen ob TUN/TAP aktiviert ist
Info: Wenn hier eine Meldung der Art “File descriptor in bad state” erscheint dann ist alles in Ordnung und TUN/TAP ist aktiviert. Wenn hier hingegen eine Meldung der Form “No such device” erscheint dann sollte der Support des Hosters mit der Bitte kontaktiert werden TUN/TAP zu aktivieren.

Alternativ zum Support könnt ich auch noch versuchen das Modul Tun zu mit modprobe zu laden
überprüft ob das Modul geladen wurde und bereit ist mit
info: vielleicht sollte mann noch überlegen eine Datei zu erstellen die das Modul bei einem System neustart automatisch mit startet
sollte tun aktiv sein kann man normal weiter machen.
Alle anderen müssen sich an ihren Support wenden um Tun zu Aktivieren

Part 2 Mit Openvpn einen Root/Vserver als Gateway Nutzen

1. OpenVPN installieren und einrichten

In der Datei wird die Variable export EASY_RSA editiert:
Jetzt beginnt die Basiskonfiguration zur Vorbereitungs der Schlüsselgenerierung.
Jetzt werden die Zertifikate und Schlüssel generiert. Beim Kürzel für das Land tragen wir DE für Deutschland ein. Die anderen Angaben sind optional. Sofern der gleiche Common Name (CN) mehrmals bei verschiedenen Clients vergeben wird erscheint die folgende Fehlermeldung:
Die Lösung ist, dass der CN nur einmal vergeben werden darf.

Um DOS-Attacken oder Port Scanning auf den OpenVPN Server zu erschweren erstellt man noch einen zusätzlichen TLS-AUTH Schlüssel:
Die Schlüssel und Zertifikate sowie die Clients befinden sich nun im Verzeichnis /etc/openvpn/easy-rsa/keys.
Der ta.key befindet sich unter /etc/openvpn/easy-rsa/
Ihr könnt diese dort liegen lassen oder wie ich es gemacht habe und legt euch weitere Ordner an und trennt die Zertifikate
zb. erstellt ihr den Ordner User und packt dort alle user.keys hinein achtet drauf das ihr die server.conf dem entsprechend
anpasst



Die Datei hat folgenden Inhalt und dient uns als server
Wenn man mïöchte, dass der Server alternative DNS Server an die Clients bei Verbindungsaufbau mit pusht, so muss man bei den Zeilen:

;push "dhcp-option DNS DNS-Server-IP"

;push "dhcp-option DNS DNS-Server-IP"

das einleitende Semikolon löschen und jeweils DNS-Server-IP durch die IP Adresse des DNS Servers ersetzen.

neustart von openvpn
Nun erzeugt man (unter Windows zb mit dem Notepad) auf dem Client Rechner von user1 (für user2 entsprechend genauso) die Client Konfig Datei:

Man kann die Datei client1.ovpn client2.ovpn usw. nennen oder auch beliebig anders, wichtig ist nur die Dateiendung *.ovpn. und das für jeden user ein eigenen Schlüssel erstellt wird
Anschließend editiert man diese folgender maßen


IP_DES_oVPN_SERVERS natïürlich durch die Server-IP ersetzen!



Um jetzt eine Verbindung zum Server aufzubauen benötigt man unter Windows als Beispiel den OpenVPN client, download unter:



OpenVPN Client



Dort den Windows installer laden und installieren. Anschlieïßend kopiert man die Dateien:



- ca.crt

- ta.key

- user1.crt

- user1.key

- client.ovpn



in den config Ordner dieses Programms. Die Verbindung client wird dann bereits nach dem Start des Tools in der Taskleiste unter den möglichen Verbindungen angezeigt und mit Klick auf Verbinden startet man die OpenVPN Session. Sollte alles klappen, so zeigt das Tool in der Taskleiste kurz die vom Server zugewiesene VPN-IP an und mit einem:

ping 10.8.0.1

Es fehlen nun noch einige Einstellungen am OpenVPN Server um über diesen surfen zu können.

Dazu muss zunächst das IP-Forwarding aktiviert werden, dazu gibt man als root folgenden Befehl ein:



Um diese Einstellung dauerhaft im System zu aktivieren, also auch nach einem Reboot des Servers muss man
etc/sysctl.conf editieren:
Man sucht die Zeile:

und löscht die einleitende #. und erweitert um net.inet.ip.fastforwarding = 1

Letzter Schritt: Konfigurieren des Servers als NAT über die iptables:

Man gibt als root folgenden Befehl ein:
sofern die Netzwerkschnittstelle des Servers eth0 ist, was aber im Regelfall der Fall ist.

Zum vergewissern kann man sich seine verfügbaren Netzwerkschnittstellen über den Befehl:

ifconfig

anzeigen lassen.

So konfiguriert maskiert der OpenVPN Server alle eingehenden privaten VPN IPs aus dem Netz 10.8.0.0/24 durch seine an eth0 gebundene IP, was seine öffentliche im Internet gültige IP darstellt. Damit ist es nun mïöglich über den Server zu surfen.

Um auch diese Einstellung dauerhaft im System zu integrieren kann man folgendermaßen vorgehen:

Man sichert sich die iptables settings in die Datei /etc/iptables.conf mit folgendem Befehl:

iptables-save > /etc/iptables.conf



Anschlieïßend fügt man in der Datei /etc/network/interfaces am Ende von den Eintrügen zu "iface eth0" folgende Zeile an:

pre-up /sbin/iptables-restore < /etc/iptables.conf



Wählt man sich nun erneut zu diesem Server ein und man startet den Webbrowser, so surft man via OpenVPN mit der IP des Servers statt mit seiner eigenen.

Da alle Einstellungen dazu fest im System integriert sind, funktioniert auch nach einem Reboot des Servers wieder alles wie gehabt.

Info: Ich werde das ganze hier noch nach und nach erweitern
ihr könnt sobald ihr openvpn Installiet habt und die Server.conf und client.conf zusätzlich noch Access Server installieren einrichten um mittels einer visuellen Oberfläche Eueren vpnserver weiter zu bearbeiten.

---

libpam-mysql

---

---

#!/bin/bash
##Dababase Server
HOST='localhost'
#Default port = 3306
PORT='3306'
#Username
USER='dein user'
#Password
PASS='dein passwort'
#database name
DB='vpn_db

exit 0

---

---

#!/bin/bash
. /etc/openvpn/scripts/config.sh
##insert data connection to table log
mysql -h$HOST -P$PORT -u$USER -p$PASS $DB -e "INSERT INTO log (log_id,user_id,log_trusted_ip,log_trusted_port,log_remote_ip,log_remote_port,log_start_time,log_end_time,log_received,log_send) VALUES(NULL,'$common_name','$trusted_ip','$trusted_port','$ifconfig_pool_remote_ip','$remote_port_3306',now(),'0000-00-00 00:00:00','$bytes_received','$bytes_sent')"
##set status online to user connected
mysql -h$HOST -P$PORT -u$USER -p$PASS $DB -e "UPDATE user SET user_online='yes' WHERE user='$common_name'"



exit 0

---

---

#!/bin/bash
. /etc/openvpn/scripts/config.sh
##set status offline to user disconnected
mysql -h$HOST -P$PORT -u$USER -p$PASS $DB -e "UPDATE user SET user_online='no' WHERE user='$common_name'"
##insert data disconnected to table log
mysql -h$HOST -P$PORT -u$USER -p$PASS $DB -e "UPDATE log SET log_end_time=now(),log_received='$bytes_received',log_send='$bytes_sent' WHERE log_trusted_ip='$trusted_ip' AND log_trusted_port='$trusted_port' AND user='$common_name' AND log_end_time='0000-00-00 00:00:00'"

exit 0

---

---

#!/bin/bash
. /etc/openvpn/script/config.sh
##Authentication
user_id=$(mysql -h$HOST -P$PORT -u$USER -p$PASS $DB -sN -e "select user_id from user where user_id = '$username' AND user_pass = '$password' AND user_enable=1 AND user_start_date != user_end_date AND TO_DAYS(now()) >= TO_DAYS(user_start_date) AND (TO_DAYS(now()) <= TO_DAYS(user_end_date) OR user_end_date='0000-00-00')")
##Check user
[ "$user_id" != '' ] && [ "$user_id" = "$username" ] && echo "user : $username" && echo 'authentication ok.' && exit 0 || echo 'authentication failed.'; exit 1

---

---

#client-cert-not-required
username-as-common-name

##user/pass auth from mysql
plugin /usr/local/lib/openvpn/openvpn-auth-pam.so openvpn
;auth-user-pass-verify /etc/pam.d/openvpn via-env

##script connect-disconnect
script-security 2
;learn-address /etc/openvpn/extra scripts/learn-address.sh
client-connect /etc/openvpn/scripts/connect.sh
client-disconnect /etc/openvpn/scripts/disconnect.sh
client-login /etc/openvpn/scripts/login.sh

---