Cómo instalar OpenVpn en CentOS 7

Una red privada virtual (VPN) cifra todo el tráfico de la red, ocultando a los usuarios y protegiéndolos de redes que no son de confianza. Puede proporcionar una conexión segura a la red corporativa, evitar restricciones geográficas y permitirle navegar por la web utilizando redes Wi-Fi públicas manteniendo la privacidad de sus datos.

¿Qué es OpenVPN?

OpenVPN es el protocolo VPN más famoso que se utiliza en la mayoría de los grandes sitios y empresas nacionales y extranjeros y, a veces, este protocolo por sí solo es suficiente; discutiremos las razones de esto. Dado que en nuestro querido país Irán, como en otros países del mundo, existe filtrado, muchos usuarios utilizan VPN para evitarlo, y si es correcto o incorrecto depende del usuario.

Libere su potencial con un VPS Linux. Comprar VPS Linux ¡Ahora y domina OpenVPN en CentOS 7!

Configurar OpenVPN en centos 7

Una red privada virtual (VPN) le permite navegar por redes que no son de confianza como si estuviera en una red privada. Le permite acceder a Internet de forma segura desde su teléfono inteligente o computadora portátil cuando está conectado a una red que no es de confianza, como el WiFi de un hotel o una cafetería. Esta configuración le permite proteger su inicio de sesión y sus transacciones inalámbricas cuando se conecta con conexiones HTTPS y proteger cualquier tráfico HTTP no cifrado de una red que no es de confianza. OpenVPN es una solución VPN completa, segura y de código abierto con SSL (SSL) que incluye una amplia gama de configuraciones. En este tutorial, configurará OpenVPN en un servidor CentOS 7 y luego lo configurará para que sea accesible desde un dispositivo cliente.

Requisitos previos

• Un servidor que ejecuta CentOS 7 o CentOS 8
• Una cuenta de usuario que tiene privilegios de root (sudo).
• La capacidad de acceder a la línea de comando/ventana de terminal
• Un nombre de dominio o subdominio que apunta a su servidor.
• Una computadora cliente que se conectará al servidor OpenVPN.

Paso 1: instale OpenVPN

Ejecute el siguiente comando para actualizar el repositorio y los paquetes de CentOS:

yum update -y

El paquete OpenVPN no está disponible en el repositorio predeterminado de CentOS. OpenVPN, por otro lado, es accesible a través del repositorio de Paquetes adicionales para Enterprise Linux (EPEL). Ejecute el siguiente comando para activar el repositorio EPEL:

yum instalar epel-liberación -y

Actualiza los repositorios una vez más:

yum update -y

Con el siguiente comando, ahora puedes instalar OpenVPN:

yum instalar -y openvpn

Paso 2: Configurar Easy RSA

El siguiente paso es crear una infraestructura de clave pública (PKI). Instale RSA simple, una aplicación de línea de comandos para crear y administrar una autoridad de certificación (CA) de PKI. RSA simple le ayuda a establecer una autoridad de certificación (CA) interna y a crear pares de claves SSL para proteger las conexiones VPN. Utilice el comando wget para obtener el paquete RSA simple. Si no tiene wget instalado en su máquina CenOS, ejecute:

yum instalar -y wget

La versión más reciente de la herramienta CLI al momento de escribir este artículo es 3.1.6, que descargaremos. Para utilizar una versión diferente, consulte la página de lanzamiento de GitHub de RSA simple.

wget https://github.com/OpenVPN/easy-rsa/archive/refs/tags/v3.1.6.tar.gz

A continuación, extraiga el archivo descargado:

tar -xf v3.1.6.tar.gz

Cree y coloque los siguientes archivos en un nuevo directorio openvpn:

CD /etc/openvpn/

Luego, bajo la ruta /etc/openvpn, crea una subcarpeta llamada easy-rsa:

mkdir /etc/openvpn/easy-rsa

Elimine el directorio extraído y reemplácelo con /etc/openvpn/easy-rsa:

mv /root/easy-rsa-3.1.6 /etc/openvpn/easy-rsa

Para ver si migró exitosamente todo desde el directorio easy-rsa-3.1.6, cd /etc/openvpn/easy-rsa y use ls para mostrar el contenido.

Paso 3: configurar OpenVPN

Después de instalar OpenVPN y Easy RSA, puede proceder a configurar el servidor OpenVPN. Las pautas de esta parte le ayudarán a completar la configuración básica. Puede modificarla para adaptarla a sus necesidades. Vuelva al directorio raíz antes de realizar cualquiera de las instrucciones. En la ventana de terminal, escriba cd y presione Entrar. Para comenzar, copie el archivo server.conf de ejemplo del directorio de documentación de OpenVPN:

cp /usr/share/doc/openvpn-2.4.9/sample/sample-config-files/server.conf /etc/openvpn

Si no puede encontrar el archivo de configuración de ejemplo de OpenVPN, use el comando buscar para localizarlo:

buscar / -name server.conf

Luego, usando su editor de texto preferido, abra el archivo de configuración copiado:

vietc/openvpn/server.conf

El comando muestra el archivo de configuración de OpenVPN de ejemplo. Los comentarios del archivo comienzan con un hashtag # o un punto y coma;.

Para completar la configuración básica, elimine el punto y coma de las siguientes líneas.

• topology subnet (hace que la instalación de OpenVPN funcione como una subred)
• push "redirect-gateway def1 bypass-dhcp" (indica al cliente que redirija el tráfico a través del servidor OpenVPN)
• push "dhcp-option DNS 208.67.222.222" (utiliza un solucionador OpenDNS para conectarse a OpenVPN)
• push "dhcp-option DNS 208.67.220.220" (utiliza un solucionador OpenDNS para conectarse a OpenVPN)
• user nobody (ejecuta OpenVPN sin privilegios)
• group nobody (ejecuta OpenVPN sin privilegios)

Luego, para permitir la autenticación TLS, cree una clave de cifrado estática. Localice la línea tls-auth ta. clave 0 y comentarlo insertando; delante de él. Luego, debajo, agrega una nueva línea:

tls-cripta myvpn.tlsauth

Nota bene: El archivo de configuración define los servidores DNS que se utilizarán al conectarse a OpenVPN. Está configurado de forma predeterminada para utilizar solucionadores OpenDNS, que es como lo dejamos. También puede modificar los solucionadores de DNS ajustando las líneas push “dhcp-option DNS 208.67.222.222” y push “dhcp-option DNS 208.67.220.220”. Se debe guardar el archivo de configuración y salir. Finalmente, utilice el siguiente comando para producir la clave de cifrado estática indicada en el archivo:

openvpn --genkey --secret /etc/openvpn/myvpn.tlsauth

Paso 4: generar claves y certificados

Utiliza un conjunto de scripts instalados con el programa para generar claves y certificados. Para evitar la reconfiguración cada vez que necesite generar un certificado, puede cambiar la configuración de Easy RSA para definir los valores predeterminados utilizados para los campos del certificado, incluido el país, la ciudad y la dirección de correo electrónico que desee. Comenzaremos el proceso de generación de claves y certificados creando un directorio donde Easy RSA almacenará sus claves y certificados generados:

sudo mkdir /etc/openvpn/easy-rsa/claves

Las variables de certificado predeterminadas se configuran en el archivo vars en /etc/openvpn/easy-rsa, así que abra ese archivo para editarlo:

sudo nano /etc/openvpn/easy-rsa/vars

Desplácese hasta el final del archivo y modifique los valores que empiezan por KEY_export para que coincidan con su información. Aspectos más importantes: KEY_CN: Introduzca aquí el dominio o subdominio que resuelve a su servidor. KEY_NAME: Debe introducir el servidor aquí. Si introduce otra información, también debe actualizar los archivos de configuración server.key y server.crt correspondientes. Otras variables de este archivo que puede que desee modificar: KEY_COUNTRY: Introduzca la abreviatura de dos letras de su país de residencia. KEY_PROVINCE: Debe ser el nombre o la abreviatura de su estado de residencia. KEY_CITY: Introduzca aquí el nombre de su ciudad de residencia. KEY_ORG: Debe ser el nombre de su organización o empresa. KEY_EMAIL: Introduzca la dirección de correo electrónico que desea conectar al certificado de seguridad. KEY_OU: Debe ser el nombre de la "Unidad Organizacional" a la que pertenece, normalmente el nombre de su grupo o equipo. El resto de las variables se pueden ignorar sin problemas fuera de casos de uso específicos. Después de realizar los cambios, el archivo debería verse así: # Estos son los valores predeterminados para los campos # que se incluirán en el certificado. # No deje ninguno de estos campos en blanco. export KEY_COUNTRY=”US” export KEY_PROVINCE=”NY” export KEY_CITY=”New York” export KEY_ORG=”Famaserver.com” export KEY_EMAIL=”sammy@example.com” export KEY_EMAIL=sammy@example.com export KEY_CN=openvpn.example.com export KEY_NAME=”server” export KEY_OU=”Community” Guarde y cierre el archivo. Para comenzar a generar claves y certificados, introduzca las nuevas variables que configuró en el archivo vars en la carpeta y el recurso rsa simple:

cd /etc/openvpn/easy-rsa fuente ./vars

Ejecute el sencillo script RSA clean para eliminar las claves y los certificados en esta carpeta y generar la clave de licencia:

./Limpiar todo

A continuación, cree la autoridad de certificación con el script build-ca. Se le pedirá que ingrese valores para los campos del certificado, pero si configura las variables en el archivo WARS, todas sus opciones ya estarán configuradas de forma predeterminada. Puede presionar ENTER para aceptar cada valor predeterminado:

./build-ca

Este script crea un archivo llamado ca.key. Esta es la clave privada que se utiliza para firmar los certificados de servidor y cliente. Si se pierde, ya no podrá confiar en ningún certificado de esta CA y, si alguien puede acceder a este archivo, podrá firmar nuevos certificados y obtener acceso a su VPN sin su conocimiento. Por este motivo, OpenVPN recomienda almacenar el archivo ca.key en una ubicación que pueda estar sin conexión y que solo se active al generar nuevos certificados. A continuación, genere una clave de servidor y una licencia mediante el script build-key-server:

./build-key-server servidor

Al igual que con la compilación de CA, verá los valores establecidos como predeterminados para que pueda ingresar ENTER en estos campos. Además, se le solicitará que ingrese una contraseña de desafío y un nombre de empresa opcional. Si ingresa una contraseña de desafío, se le solicitará al conectarse a la VPN en el lado del cliente. Si no desea establecer una contraseña de desafío, simplemente deje esta línea en blanco y presione ENTER. Finalmente, ingrese Y para confirmar los cambios. La última parte de la creación de claves y certificados de servidor es generar un archivo de intercambio de claves Diffie-Hellman. Para hacer esto, use el script build-dh:

./construir-dh

Esto puede tardar varios minutos. Una vez que haya terminado de generar su servidor mediante la creación del archivo de intercambio de claves, copie las claves y los certificados del servidor desde el directorio de teclas de acceso rápido al directorio OpenVpn:

 cd /etc/openvpn/easy-rsa/keys sudo cp dh2048.pem ca.crt server.crt server.key /etc/openvpn

Cada cliente también necesita un certificado para autenticar el servidor OpenVPN. Estas claves y certificados se generan en el servidor y luego tendrás que copiarlos en tu cliente, lo que haremos en el siguiente paso. Se recomienda que generes claves y licencias independientes para cada cliente que quieras conectar a tu VPN. Dado que aquí solo implementaremos un cliente, lo llamaremos cliente, pero puedes cambiarlo por un nombre más descriptivo si lo deseas:

 cd /etc/openvpn/easy-rsa ./build-key cliente

Finalmente, copie el archivo de configuración OpenSSL de la versión abierta, openssl-1.0.0.cnf, a un nombre de versión, openssl.cnf. De lo contrario, se puede producir un error en el que OpenSSL no puede cargar la configuración porque no puede detectar su propia versión:

cp /etc/openvpn/easy-rsa/openssl-1.0.0.cnf /etc/openvpn/easy-rsa/openssl.cnf

Ahora que tiene todas las claves y certificados necesarios creados para su servidor y cliente, puede continuar con la configuración del enrutamiento entre los dos dispositivos.

Paso 5: configuración de firewall y enrutamiento

Establecer reglas de firewall

Comience inspeccionando su zona activa con firewall:

firewall-cmd --get-active-zones

Su zona con firewall se mostrará en el resultado. Es público en el siguiente ejemplo.

Agregue el servicio openvpn a la lista de servicios permitidos por firewalld en la zona activa. En nuestro escenario, la zona activa está abierta al público. Modifique el comando adecuadamente si su zona activa es confiable.

firewall-cmd --zone=public --add-service openvpn

Luego, ejecute el siguiente comando para que los ajustes antes mencionados sean permanentes:

firewall-cmd --zone=public --add-service openvpn --permanente

Para verificar si se ha agregado el servicio openvpn, ejecute el siguiente comando:

firewall-cmd --list-services --zone=público

Luego, a la instancia de tiempo de ejecución, agregue una máscara:

firewall-cmd --add-masquerade

Además, hazlo permanente:

firewall-cmd --add-masquerade --permanente

Verifique que se haya agregado la mascarada ejecutando:

firewall-cmd --query-masquerade

La salida debe responder con yes. En este artículo, revisamos los pasos para configurar un servidor VPN en el sistema operativo CentOS. Al implementar estos pasos y configuraciones, los usuarios pueden acceder a su red de forma remota y utilizar una comunicación segura y encriptada para transferir información.

Similar al entrenamiento anterior: