Voir la source de Mise en place d'un VPN avec OpenVPN

[[category:serveur]]
[[category:debian]]

=Prérequis=
Pour commencer, il faut avoir installé openssl. Si ce n'est pas déjà fait :
<pre>aptitude install openssl</pre>

Ce tutoriel suppose que vous avez déjà mis en place une autorité de certification. Pour être précis, j'ai utilisé une autorité root root_ca, une première autorité intermédiaire onyx_ca, et enfin, une seconde autorité intermédiaire vpn_ca qui sera chargée de délivrer les certificats serveur et clients openvpn :
<pre>
root_ca
 |-onyx_ca
   |-vpn_ca
     |-serveurVPN
     |-clientsVPN
</pre>

* Le certificat de l'autorité root est <code>/etc/ssl/root_ca/root_ca.pem</code>
* Le certificat de l'autorité onyx est <code>/etc/ssl/onyx_ca/onyx_ca.pem</code>
* Le certificat de l'autorité vpn est <code>/etc/ssl/vpn_ca/vpn_ca.pem</code>

Pour de l'aide quant à la création de l'architecture d'une autorité de certification, rendez vous [[Installation_et_configuration_de_OpenSSL|ici]].

=Installation=
Installez openvpn avec aptitude :
<pre>aptitude install openvpn</pre>

=Configuration du serveur openvpn=

==Génération des certificats==

Modifiez votre fichier <code>/etc/ssl/openssl.cnf</code> :
<pre>
[VPN_SERVER]
nsComment                       = "VPN Server Certificate"
subjectKeyIdentifier            = hash
authorityKeyIdentifier          = keyid,issuer:always
issuerAltName                   = issuer:copy
basicConstraints                = critical,CA:FALSE
keyUsage                        = digitalSignature, nonRepudiation, keyEncipherment
nsCertType                      = server
extendedKeyUsage                = serverAuth
</pre>

Nous allons maintenant générer le certificat du serveur openvpn puis le signer avec notre autorité vpn_ca :
<pre>
openssl req -nodes -newkey rsa:2048 -keyout vpn.csnu.org.key -out vpn.csnu.org.req
openssl ca -name vpn_ca -extensions VPN_SERVER -in vpn.csnu.org.req -out vpn.csnu.org.pem
</pre>

Puis générez votre clé Diffie-Hellman de 2048 bits:
<pre>
openssl dhparam -out dh2048.pem 2048
</pre>

Déplacez ces fichiers dans <code>/etc/openvpn/ssl/</code> :
<pre>
mkdir /etc/openvpn/ssl
mv vpn.csnu.org.* /etc/openvpn/ssl/
mv dh2048.pem /etc/openvpn/ssl/
</pre>

Créez le fichier contenant la chaine de certification :
<pre>cat /etc/ssl/root_ca/root_ca.pem /etc/ssl/onyx_ca/onyx_ca.pem /etc/ssl/vpn_ca/vpn_ca.pem > /etc/openvpn/ssl/ca_chain.pem</pre>

Nous allons enfin générer une clé TLS pour bloquer les attaques DoS ainsi que le floot UDP en créant un firewall HMAC :
<pre>openvpn --genkey --secret /etc/openvpn/ssl/ta.key</pre>

==Configuration de base de openvpn==

Des exemples de configurations pour le serveur et le client openvpn se trouvent dans <code>/usr/share/doc/openvpn/examples</code>. Sur votre serveur, copiez l'exemple de configuration dans <code>/etc/openvpn/</code> :
<pre>
cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn/
gunzip /etc/openvpn/server.conf.gz
</pre>

Voici par exemple mon fichier de configuration :
<pre>
local 178.33.250.38
port 1194
proto udp
dev tun

#configuration ssl 
ca /etc/openvpn/ssl/ca_chain.pem
cert /etc/openvpn/ssl/vpn.csnu.org.pem
key /etc/openvpn/ssl/vpn.csnu.org.key
dh /etc/openvpn/ssl/dh2048.pem

#on va attribuer les ips vpn en 10.8.0.X
server 10.8.0.0 255.255.255.0

#stocker l'association entre un client et l'ip vpn. Ainsi, quand un client se reconnecte, il conservera la même ip vpn.
ifconfig-pool-persist ipp.txt

#la route doit être l'ip externe du serveur (si on veut utiliser la connexion de ce serveur)
;push "route 178.33.250.38 255.255.255.0"
#De même, force le client a rediriger son trafic vers le vpn (il faudra aussi faire un nat du range vpn (10.8.) vers internet (178.33.250.38)
;push "redirect-gateway def1 bypass-dhcp"

tls-auth /etc/openvpn/ssl/ta.key 0
comp-lzo
max-clients 10
user nobody
group nogroup
log-append  /var/log/openvpn.log
</pre>

Définissez bien-sur l'ip de votre serveur à la ligne <code>local</code>. Vous noterez aussi que pour l'instant, la redirection du trafic (les lignes <code>push</code>) est désactivé.

==N'autoriser que les certificats émis par vpn_ca==

Pour l'instant, nous avons une configuration fonctionnelle, mais pas parfaite. En effet, nous avons créé une autorité de certification dédié à l'émission de certificats vpn, mais n'importe quel certificat signé par l'un des parents de cette autorité sera autorisé à se connecter. Par exemple, si vous signez un certificat client au moyen de l'autorité root_ca, ce certificat sera reconnu comme valide par openvpn (car du point de vue du protocole SSL, il l'est).

Si vous n'avez qu'un seul serveur cela ne devrait pas poser de problème. Mais si vous en avez plusieurs il est possible que l'autorité root_ca soit sur un serveur, alors que l'autorité vpn_ca soit sur un autre serveur et seul ce dernier serveur devrait être capable d'émettre un certificat client pour notre vpn (sinon, pourquoi créer tant d'autorité ? :)).<br />
De même, le problème se pose si vous utilisez un certificat commercial que vous avez acheté (chez thawte par exemple). Étant donné que vous êtes obligé de préciser à openvpn le certificat root de thawte, toutes personnes ayant elle aussi un certificat thawte pourra se connecter à votre vpn (ce n'est pas exactement vrai étant donné que nous avons créé une clé tls propre à notre serveur (directive <code>tls-auth</code>)).

Pour régler ce problème, nous allons utiliser la directive <code>tls-verify</code> de openvpn qui permet de d'exécuter un script personnalisé afin d'autoriser ou de refuser la connexion selon le cas.

Ajoutez les lignes suivantes à votre fichier <code>/etc/openvpn/server.conf</code> :
<pre>
script-security 2
tls-verify /etc/openvpn/allow.sh
</pre>

Pour rappel, j'ai créé 3 autorités de certifications :
* root_ca, première autorité de certification, avec un certificat de profondeur 3
* onyx_ca, deuxième autorité de certification, avec un certificat de profondeur 2
* vpn_ca. troisième et dernière autorité de certification, avec un certificat de profondeur 1
Récupérez les noms complets de ces certificats dans les fichiers <code>.pem</code> correspondants (à la ligne <code>subject:</code>).

Note : la profondeur cité ici est de +1 par rapport à celle (pathlen) entrée dans la configuration openssl des certificats en question. En effet, openvpn considère le dernier certificat de la chaine (le certificat client ou serveur final) comme étant de profondeur 0, alors que pour openssl, un certificat serveur ou client n'a pas de profondeur).

Il va falloir modifier un peu ces noms afin qu'ils soient compréhensibles par openvpn :
* ajoutez un <code>/</code> au début
* remplacez tous les "<code>, </code>" (virgule suivi d'un espace) par un <code>/</code>
* remplacez tous les espaces à l'intérieur d'un champ par un _

Par exemple :
<pre>C=01, ST=Epsilon Eridani System, L=Reach, O=UNSC, OU=Office of Naval Intelligence, CN=UNSC VPN CA/emailAddress=plop@csnu.org</pre>
devient :
<pre>/C=01/ST=Epsilon_Eridani_System/L=Reach/O=UNSC/OU=Office_of_Naval_Intelligence/CN=UNSC_VPN_CA/emailAddress=plop@csnu.org</pre>

Créez le fichier <code>/etc/openvpn/allow.sh</code> contenant les lignes suivantes (adaptez la définissions des trois variables en fonction des noms des certificats que vous venez de transformer)  :
<pre>
#! /bin/bash

depth_3="le_sujet_transformé_du_certificat_de_profondeur_3"
depth_2="le_sujet_transformé_du_certificat_de_profondeur_2"
depth_1="le_sujet_transformé_du_certificat_de_profondeur_1"

arg_depth=$1
arg_name=$2
eval a=\$depth_$arg_depth

#echo $a

#Si on est à la profondeur zéro, on est arrivé au certificat client
if [ $1 = 0 ]; then
        exit 0
fi

if [ "$a" = "$arg_name" ]; then
        exit 0
else
        exit 1
fi
</pre>

Ce script va être exécuté par openvpn à chaque authentification et pour chaque certificat de la chaine de certification (quatre fois en tout dans notre cas : root_ca, onyx_ca, vpn_ca et le certificat client). Pour résumer lors d'une connexion au vpn :
* openvpn s'assure grâce à openssl que la chaine de certification est valide (c'est-à-dire, que tous les certificats sont valides l'un par rapport à l'autre).
* openvpn s'assure grâce à ce petit script que la chaine de certification est bien dans l'ordre que nous le voulons (root > onyx > vpn > client).

Ainsi, un certificat client émis par l'autorité root ou onyx se verra refuser la connexion, malgré qu'il soit valide du point de vue ssl.

==Gestion des CRLs==

=Configuration du client openvpn=

Tout d'abord, ajouter les lignes suivantes dans votre fichier <code>/etc/ssl/openssl.cnf</code> :
<pre>
[VPN_CLIENT]
nsComment                       = "VPN CLIENT Certificate"
subjectKeyIdentifier            = hash
authorityKeyIdentifier          = keyid,issuer:always
issuerAltName                   = issuer:copy
basicConstraints                = critical,CA:FALSE
keyUsage                        = digitalSignature, nonRepudiation
nsCertType                      = client
extendedKeyUsage                = clientAuth
</pre>

Générez et signez le certificat :
<pre>
openssl req -nodes -newkey rsa:2048 -keyout client.key -out client.req
openssl ca -name vpn_ca -extensions VPN_CLIENT -in client.req -out client.pem
</pre>

Récupérez les fichiers <code>client.key</code> et <code>client.pem</code> sur votre ordinateur, ainsi que le certificat de votre autorité root, et le fichier <code>/etc/openvpn/ssl/ta.key</code>.
Placez les à l'abri dans un répertoire en limitant un maximum les droits (dans l'idéal, laissez juste les droits de lecteur à votre utilisateur).

==KDE4 et networkmanager==

Sur votre ordinateur, installez le paquet <code>network-manager-openvpn-kde</code>. Les dépendances nécessaires devraient s'installer.

Cliquez sur l'icone de networkmanager puis cliquez sur <code>gérer les connexions</code>.<br />
Dans l'onglet <code>VPN</code> cliquez sur <code>Ajouter</code> puis sur <code>OpenVPN</code>.

===Onglet OpenVPN===

La passerelle est l'ip/hostname de votre serveur (celle que vous avez défini à la ligne <code>local</code> de la configuration de openvpn sur votre serveur). Les certificats à utiliser sont ceux que vous avez rapatrié juste avant.

Dans l'onglet <code>Paramètres optionnels</code> cochez la case <code>compression lzo</code>.

Dans l'onglet <code>Paramètres TLS optionnels</code> cochez la case <code>utilisez une authentification TLS supplémentaire</code> puis entrez le chemin vers la clé <code>ta.key</code> dans le champ <code>Clé</code>. Dans <code>Direction de la clé</code> sélectionnez <code>1</code>.

===Onglet Adresse IP===
Cliquez sur la barre déroulante indiquant <code>Réglage de base</code> et sélectionnez <code>Routes</code>. Cochez la case <code>Utilisez uniquement pour les ressources de cette connexion</code>.

=Rediriger la totalité de son trafic réseau vers le VPN=

==Modifications sur le serveur==

==Modifications sur le client==