Mise en place d'un VPN avec OpenVPN - Historique des versions

Pfoo le 28 octobre 2018 à 17:10

2018-10-28T17:10:22Z

← Version précédente		Version du 28 octobre 2018 à 19:10
Ligne 1 :		Ligne 1 :
	[[category:serveur]]		[[category:serveur]]
	[[category:debian]]		[[category:debian]]
			[[Category:networking]]
			[[Category:VPN]]
			[[Category:Openvpn]]

	'''<span style="color: red;">Tuto plus ~~vraiment~~ à jour</span>'''		'''<span style="color: red;">Tuto plus du tout à jour</span>'''
	[[Category:toupdate]]		[[Category:toupdate]]

Pfoo le 16 décembre 2015 à 19:15

2015-12-16T19:15:53Z

← Version précédente		Version du 16 décembre 2015 à 21:15
Ligne 1 :		Ligne 1 :
	[[category:serveur]]		[[category:serveur]]
	[[category:debian]]		[[category:debian]]

			'''<span style="color: red;">Tuto plus vraiment à jour</span>'''
			[[Category:toupdate]]

	=Prérequis=		=Prérequis=

Pfoo le 28 juin 2013 à 23:11

2013-06-28T23:11:06Z

← Version précédente		Version du 29 juin 2013 à 01:11
Ligne 44 :		Ligne 44 :
	Nous allons maintenant générer le certificat du serveur openvpn puis le signer avec notre autorité vpn_ca :		Nous allons maintenant générer le certificat du serveur openvpn puis le signer avec notre autorité vpn_ca :
	<pre>		<pre>
	openssl req -nodes -newkey rsa:2048 -keyout vpn.~~csnu~~.~~org~~.key -out vpn.~~csnu~~.~~org~~.req		openssl req -nodes -newkey rsa:2048 -keyout vpn.domain.tld.key -out vpn.domain.tld.req
	openssl ca -name vpn_ca -extensions VPN_SERVER -in vpn.~~csnu~~.~~org~~.req -out vpn.~~csnu~~.~~org~~.pem		openssl ca -name vpn_ca -extensions VPN_SERVER -in vpn.domain.tld.req -out vpn.domain.tld.pem
	</pre>		</pre>

Ligne 56 :		Ligne 56 :
	<pre>		<pre>
	mkdir /etc/openvpn/ssl		mkdir /etc/openvpn/ssl
	mv vpn.~~csnu~~.~~org~~.* /etc/openvpn/ssl/		mv vpn.domain.tld.* /etc/openvpn/ssl/
	mv dh2048.pem /etc/openvpn/ssl/		mv dh2048.pem /etc/openvpn/ssl/
	</pre>		</pre>
Ligne 83 :		Ligne 83 :
	#configuration ssl		#configuration ssl
	ca /etc/openvpn/ssl/ca_chain.pem		ca /etc/openvpn/ssl/ca_chain.pem
	cert /etc/openvpn/ssl/vpn.~~csnu~~.~~org~~.pem		cert /etc/openvpn/ssl/vpn.domain.tld.pem
	key /etc/openvpn/ssl/vpn.~~csnu~~.~~org~~.key		key /etc/openvpn/ssl/vpn.domain.tld.key
	dh /etc/openvpn/ssl/dh2048.pem		dh /etc/openvpn/ssl/dh2048.pem

Ligne 137 :		Ligne 137 :

	Par exemple :		Par exemple :
	<pre>C=01, ST=Epsilon Eridani System, L=Reach, O=UNSC, OU=Office of Naval Intelligence, CN=UNSC VPN CA/emailAddress=plop@~~csnu~~.~~org~~</pre>		<pre>C=01, ST=Epsilon Eridani System, L=Reach, O=UNSC, OU=Office of Naval Intelligence, CN=UNSC VPN CA/emailAddress=plop@domain.tld</pre>
	devient :		devient :
	<pre>/C=01/ST=Epsilon_Eridani_System/L=Reach/O=UNSC/OU=Office_of_Naval_Intelligence/CN=UNSC_VPN_CA/emailAddress=plop@~~csnu~~.~~org~~</pre>		<pre>/C=01/ST=Epsilon_Eridani_System/L=Reach/O=UNSC/OU=Office_of_Naval_Intelligence/CN=UNSC_VPN_CA/emailAddress=plop@domain.tld</pre>

	Créez le fichier <code>/etc/openvpn/allow.sh</code> contenant les lignes suivantes (adaptez la définissions des trois variables en fonction des noms des certificats que vous venez de transformer) :		Créez le fichier <code>/etc/openvpn/allow.sh</code> contenant les lignes suivantes (adaptez la définissions des trois variables en fonction des noms des certificats que vous venez de transformer) :

Pfoo : /* Modifications sur le client */

2011-04-07T16:16:07Z

Modifications sur le client

← Version précédente		Version du 7 avril 2011 à 18:16
Ligne 247 :		Ligne 247 :

	==Modifications sur le client==		==Modifications sur le client==
			Nous allons supposer que votre vpn vous a attribué l'ip 10.8.0.6 et que votre adresse ptp est 10.8.0.5.

	Pour commencer, désactivez la validation d'adresse source sur l'interface vpn tun0 :		Pour commencer, désactivez la validation d'adresse source sur l'interface vpn tun0 :

Pfoo : /* Génération des certificats */

2011-04-07T15:21:36Z

Génération des certificats

← Version précédente		Version du 7 avril 2011 à 17:21
Ligne 63 :		Ligne 63 :
	<pre>cat /etc/ssl/root_ca/root_ca.pem /etc/ssl/onyx_ca/onyx_ca.pem /etc/ssl/vpn_ca/vpn_ca.pem > /etc/openvpn/ssl/ca_chain.pem</pre>		<pre>cat /etc/ssl/root_ca/root_ca.pem /etc/ssl/onyx_ca/onyx_ca.pem /etc/ssl/vpn_ca/vpn_ca.pem > /etc/openvpn/ssl/ca_chain.pem</pre>

	Nous allons enfin générer une clé TLS pour bloquer les attaques DoS ainsi que le ~~floot~~ UDP en créant un firewall HMAC :		Nous allons enfin générer une clé TLS pour bloquer les attaques DoS ainsi que le flood UDP en créant un firewall HMAC :
	<pre>openvpn --genkey --secret /etc/openvpn/ssl/ta.key</pre>		<pre>openvpn --genkey --secret /etc/openvpn/ssl/ta.key</pre>

Pfoo : /* N'autoriser que les certificats émis par vpn_ca */

2011-04-07T12:59:08Z

N'autoriser que les certificats émis par vpn_ca

← Version précédente		Version du 7 avril 2011 à 14:59
Ligne 112 :		Ligne 112 :
	Pour l'instant, nous avons une configuration fonctionnelle, mais pas parfaite. En effet, nous avons créé une autorité de certification dédié à l'émission de certificats vpn, mais n'importe quel certificat signé par l'un des parents de cette autorité sera autorisé à se connecter. Par exemple, si vous signez un certificat client au moyen de l'autorité root_ca, ce certificat sera reconnu comme valide par openvpn (car du point de vue du protocole SSL, il l'est).		Pour l'instant, nous avons une configuration fonctionnelle, mais pas parfaite. En effet, nous avons créé une autorité de certification dédié à l'émission de certificats vpn, mais n'importe quel certificat signé par l'un des parents de cette autorité sera autorisé à se connecter. Par exemple, si vous signez un certificat client au moyen de l'autorité root_ca, ce certificat sera reconnu comme valide par openvpn (car du point de vue du protocole SSL, il l'est).

	Si vous n'avez qu'un seul serveur cela ne devrait pas poser de problème. Mais si vous en avez plusieurs il est possible que l'autorité root_ca soit sur un serveur, alors que l'autorité vpn_ca soit sur un autre serveur, or, seul ce dernier serveur devrait être capable d'émettre un certificat client pour notre vpn (sinon, pourquoi créer tant d'~~autorité~~ ? :)).<br />		Si vous n'avez qu'un seul serveur cela ne devrait pas poser de problème. Mais si vous en avez plusieurs il est possible que l'autorité root_ca soit sur un serveur, alors que l'autorité vpn_ca soit sur un autre serveur, or, seul ce dernier serveur devrait être capable d'émettre un certificat client pour notre vpn (sinon, pourquoi créer tant d'autorités ? :)).<br />
	De même, le problème se pose si vous utilisez un certificat commercial que vous avez acheté (chez thawte par exemple). Étant donné que vous êtes obligé de préciser à openvpn le certificat root de thawte, toutes personnes ayant elle aussi un certificat thawte pourra se connecter à votre vpn (ce n'est pas exactement vrai étant donné que nous avons créé une clé tls propre à notre serveur (directive <code>tls-auth</code>)).		De même, le problème se pose si vous utilisez un certificat commercial que vous avez acheté (chez thawte par exemple). Étant donné que vous êtes obligé de préciser à openvpn le certificat root de thawte, toutes personnes ayant elle aussi un certificat thawte pourra se connecter à votre vpn (ce n'est pas exactement vrai étant donné que nous avons créé une clé tls propre à notre serveur (directive <code>tls-auth</code>)).

Pfoo : /* N'autoriser que les certificats émis par vpn_ca */

2011-04-07T12:58:49Z

N'autoriser que les certificats émis par vpn_ca

← Version précédente		Version du 7 avril 2011 à 14:58
Ligne 112 :		Ligne 112 :
	Pour l'instant, nous avons une configuration fonctionnelle, mais pas parfaite. En effet, nous avons créé une autorité de certification dédié à l'émission de certificats vpn, mais n'importe quel certificat signé par l'un des parents de cette autorité sera autorisé à se connecter. Par exemple, si vous signez un certificat client au moyen de l'autorité root_ca, ce certificat sera reconnu comme valide par openvpn (car du point de vue du protocole SSL, il l'est).		Pour l'instant, nous avons une configuration fonctionnelle, mais pas parfaite. En effet, nous avons créé une autorité de certification dédié à l'émission de certificats vpn, mais n'importe quel certificat signé par l'un des parents de cette autorité sera autorisé à se connecter. Par exemple, si vous signez un certificat client au moyen de l'autorité root_ca, ce certificat sera reconnu comme valide par openvpn (car du point de vue du protocole SSL, il l'est).

	Si vous n'avez qu'un seul serveur cela ne devrait pas poser de problème. Mais si vous en avez plusieurs il est possible que l'autorité root_ca soit sur un serveur, alors que l'autorité vpn_ca soit sur un autre serveur et seul ce dernier serveur devrait être capable d'émettre un certificat client pour notre vpn (sinon, pourquoi créer tant d'autorité ? :)).<br />		Si vous n'avez qu'un seul serveur cela ne devrait pas poser de problème. Mais si vous en avez plusieurs il est possible que l'autorité root_ca soit sur un serveur, alors que l'autorité vpn_ca soit sur un autre serveur, or, seul ce dernier serveur devrait être capable d'émettre un certificat client pour notre vpn (sinon, pourquoi créer tant d'autorité ? :)).<br />
	De même, le problème se pose si vous utilisez un certificat commercial que vous avez acheté (chez thawte par exemple). Étant donné que vous êtes obligé de préciser à openvpn le certificat root de thawte, toutes personnes ayant elle aussi un certificat thawte pourra se connecter à votre vpn (ce n'est pas exactement vrai étant donné que nous avons créé une clé tls propre à notre serveur (directive <code>tls-auth</code>)).		De même, le problème se pose si vous utilisez un certificat commercial que vous avez acheté (chez thawte par exemple). Étant donné que vous êtes obligé de préciser à openvpn le certificat root de thawte, toutes personnes ayant elle aussi un certificat thawte pourra se connecter à votre vpn (ce n'est pas exactement vrai étant donné que nous avons créé une clé tls propre à notre serveur (directive <code>tls-auth</code>)).

Pfoo : /* Modifications sur le client */

2011-04-04T15:46:21Z

Modifications sur le client

← Version précédente		Version du 4 avril 2011 à 17:46
Ligne 299 :		Ligne 299 :

	==Modifications sur le client==		==Modifications sur le client==

			===KDE4 et networkmanager===

			Dans l'onglet <code>adresse ip</code>, cliquez sur la barre déroulante indiquant <code>Réglage de base</code> et sélectionnez <code>Routes</code>. Décochez la case <code>Utilisez uniquement pour les ressources de cette connexion</code>.

Pfoo : /* Modifications sur le serveur */

2011-04-04T15:45:07Z

Modifications sur le serveur

← Version précédente		Version du 4 avril 2011 à 17:45
Ligne 272 :		Ligne 272 :

	==Modifications sur le serveur==		==Modifications sur le serveur==

			Pour commencer, nous allons activer le forwarding ipv4. Modifiez le fichier <code>/etc/sysctl.conf</code> :
			<pre>
			net.ipv4.ip_forward=1
			</pre>

			Surtout ne touchez pas à <code>net.ipv6.conf.all.forwarding</code>

			Validez vos modifications :
			<pre>sysctl -p</pre>

			Vous pouvez vérifier l'état du forwarding dans le fichier <code>/proc/sys/net/ipv4/ip_forward</code>
			<pre>cat /proc/sys/net/ipv4/ip_forward</pre>

			Il ne reste plus qu'a ajouter une règle iptables afin de rediriger le trafic vers l'une des ips de sortie de votre serveur (nat)
			<pre>iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to-source <adresse ip></pre>

			Si vous préférez préciser l'interface plutôt que l'adresse ip :
			<pre>iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE</pre>

			A titre d'information, vous pouvez lister vos règles nat avec :
			<pre>iptables -t nat --list</pre>

			En cas d'erreur, vous pouvez remettre votre nat à zero avec :
			<pre>iptables -t nat -F POSTROUTING</pre>

	==Modifications sur le client==		==Modifications sur le client==

Pfoo : /* Modifications sur le client */

2011-04-04T13:52:37Z

Modifications sur le client

← Version précédente		Version du 4 avril 2011 à 15:52
Ligne 246 :		Ligne 246 :
	<pre>iptables -t nat -F POSTROUTING</pre>		<pre>iptables -t nat -F POSTROUTING</pre>

	=Modifications sur le client=		==Modifications sur le client==

	Pour commencer, désactivez la validation d'adresse source sur l'interface vpn tun0 :		Pour commencer, désactivez la validation d'adresse source sur l'interface vpn tun0 :

Mise en place d'un VPN avec OpenVPN - Historique des versions

Pfoo le 28 octobre 2018 à 17:10

Pfoo le 16 décembre 2015 à 19:15

Pfoo le 28 juin 2013 à 23:11

Pfoo : /* Modifications sur le client */

Pfoo : /* Génération des certificats */

Pfoo : /* N'autoriser que les certificats émis par vpn_ca */

Pfoo : /* N'autoriser que les certificats émis par vpn_ca */

Pfoo : /* Modifications sur le client */

Pfoo : /* Modifications sur le serveur */

Pfoo : /* Modifications sur le client */

Pfoo : /* Modifications sur le client */

Pfoo : /* Génération des certificats */

Pfoo : /* N'autoriser que les certificats émis par vpn_ca */

Pfoo : /* N'autoriser que les certificats émis par vpn_ca */

Pfoo : /* Modifications sur le client */

Pfoo : /* Modifications sur le serveur */

Pfoo : /* Modifications sur le client */