Как установить OpenVpn на CentOS 7

Виртуальная частная сеть (VPN), шифрует весь сетевой трафик, скрывая пользователей и защищая их от ненадежных сетей. Он может обеспечить безопасное соединение с корпоративной сетью, обходить географические ограничения и позволять вам просматривать веб-страницы, используя общедоступные сети Wi-Fi, сохраняя при этом конфиденциальность ваших данных.

Что такое OpenVPN?

OpenVPN — самый известный протокол VPN, который используется на большинстве крупных отечественных и зарубежных сайтов и компаний, и иногда одного этого протокола бывает достаточно, о причинах этого мы и поговорим. Поскольку в нашей родной стране Иране есть фильтрация, как и в других странах мира, многие пользователи используют VPN для ее обхода, и правильно это или нет, зависит от пользователя.

Раскройте свой потенциал с помощью Linux VPS. Купить Linux VPS прямо сейчас и освойте OpenVPN на CentOS 7!

Настройте OpenVPN на Centos 7.

Виртуальная частная сеть (VPN) позволяет вам просматривать ненадежные сети, как если бы вы находились в частной сети. Она позволяет вам безопасно и надежно получать доступ к Интернету со смартфона или ноутбука при подключении к ненадежной сети, такой как WiFi в отеле или кафе. Эта настройка позволяет вам защитить ваш вход и беспроводные транзакции при подключении с помощью HTTPS-подключений. и защитить любой незашифрованный HTTP-трафик из ненадежной сети. OpenVPN — это полное и безопасное решение VPN с открытым исходным кодом (SSL), которое включает в себя широкий спектр настроек. В этом руководстве вы настроите OpenVPN на сервере CentOS 7, а затем настроите его для доступа с клиентского устройства.

Предпосылки

• Сервер под управлением CentOS 7 или CentOS 8.
• Учетная запись пользователя с правами root (sudo).
• Возможность доступа к командной строке/окну терминала
• Доменное имя или субдомен, указывающий на ваш сервер.
• Клиентский компьютер, который будет подключаться к серверу OpenVPN.

Шаг 1: установите OpenVPN

Запустите следующую команду, чтобы обновить репозиторий и пакеты CentOS:

yum update -y

Пакет OpenVPN недоступен в репозитории CentOS по умолчанию. OpenVPN, с другой стороны, доступен через репозиторий Extra Packages for Enterprise Linux (EPEL). Запустите следующую команду, чтобы активировать репозиторий EPEL:

ням установить epel-release -y

Обновите репозитории еще раз:

yum update -y

С помощью следующей команды вы можете установить OpenVPN:

ням установить -y openvpn

Шаг 2. Настройка Easy RSA

Следующий шаг — создание инфраструктуры открытых ключей (PKI). Установите простой RSA, приложение командной строки для создания и администрирования центра сертификации PKI (CA). Easy RSA поможет вам создать внутренний центр сертификации (CA) и создать пары ключей SSL для защиты VPN-подключений. Используйте команду wget, чтобы получить простой пакет RSA. Если на вашем компьютере с CenOS не установлен wget, выполните:

ням установить -y wget

Самая последняя версия инструмента CLI на момент написания — 3.1.6, которую мы и скачаем. Чтобы использовать другую версию, посетите страницу выпуска Simple RSA на GitHub.

wget https://github.com/OpenVPN/easy-rsa/archive/refs/tags/v3.1.6.tar.gz

После этого распакуйте скачанный архив:

tar -xf v3.1.6.tar.gz

Создайте и поместите следующие файлы в новый каталог openvpn:

компакт-диск /etc/openvpn/

Затем по пути /etc/openvpn создайте подпапку easy-rsa:

mkdir /etc/openvpn/easy-rsa

Удалите извлеченный каталог и замените его на /etc/openvpn/easy-rsa:

МВ /root/easy-rsa-3.1.6 /etc/openvpn/easy-rsa

Чтобы проверить, успешно ли вы перенесли все данные из каталога easy-rsa-3.1.6, выполните cd /etc/openvpn/easy-rsa и используйте ls для отображения содержимого.

Шаг 3. Настройте OpenVPN

После установки OpenVPN и Easy RSA вы можете приступить к настройке сервера OpenVPN.Руководства в этой части помогут вам выполнить базовую настройку. Вы можете изменить ее в соответствии со своими требованиями.Вернитесь в корневой каталог перед выполнением любых инструкций. В окне терминала введите cd и нажмите Enter.Для начала скопируйте пример файла server.conf из каталога документации OpenVPN:

cp /usr/share/doc/openvpn-2.4.9/sample/sample-config-files/server.conf /etc/openvpn

Если вы не можете найти пример файла конфигурации OpenVPN, используйте команду find, чтобы найти его:

найти /-имя server.conf

Затем, используя предпочитаемый вами текстовый редактор, откройте скопированный файл конфигурации:

vi и т. д./openvpn/server.conf

Команда отображает пример файла конфигурации OpenVPN. Комментарии к файлу начинаются с хэштега # или точки с запятой ;.

Чтобы завершить базовую настройку, удалите точки с запятой в следующих строках.

• topology subnet (делает функцию установки OpenVPN как подсеть)
• push "redirect-gateway def1 bypass-dhcp" (инструктирует клиента перенаправить трафик через сервер OpenVPN)
• push "dhcp-option DNS 208.67.222.222" (использует преобразователь OpenDNS для подключения к OpenVPN)
• push "dhcp-option DNS 208.67.220.220" (использует преобразователь OpenDNS для подключения к OpenVPN)
• user nobody (запускает OpenVPN без привилегий)
• group nobody (запускает OpenVPN без привилегий)

Затем, чтобы разрешить аутентификацию TLS, создайте статический ключ шифрования. Найдите строку tls-auth ta. ключ 0 и закомментируйте его, вставив; это перед ним. Затем под ним добавьте новую строку:

tls-crypt myvpn.tlsauth

Примечание. Файл конфигурации определяет DNS-серверы, которые будут использоваться при подключении к OpenVPN. По умолчанию он настроен на использование преобразователей OpenDNS, и мы оставили его таким. Вы также можете изменить преобразователи DNS, отрегулировав строки «dhcp-option DNS 208.67.222.222» и «dhcp-option DNS 208.67.220.220». Файл конфигурации следует сохранить и закрыть. Наконец, используйте следующую команду для создания статического ключа шифрования, указанного в файле:

openvpn --genkey --secret /etc/openvpn/myvpn.tlsauth

Шаг 4. Сгенерируйте ключи и сертификаты

Он использует набор скриптов, установленных вместе с программой, для генерации ключей и сертификатов. Чтобы избежать перенастройки каждый раз, когда вам нужно создать сертификат, вы можете изменить конфигурацию Easy RSA, чтобы определить значения по умолчанию, используемые для полей сертификата, включая желаемую страну, город и адрес электронной почты. Мы начнем процесс генерации ключей и сертификатов с создания каталога, в котором Easy RSA будет хранить сгенерированные вами ключи и сертификаты:

sudo mkdir /etc/openvpn/easy-rsa/keys

Переменные сертификата по умолчанию установлены в файле vars в /etc/openvpn/easy-rsa, поэтому откройте этот файл для редактирования:

sudo nano /etc/openvpn/easy-rsa/vars

Прокрутите файл до конца и измените значения, начиная с KEY_export, в соответствии с вашей информацией. Самое важное: KEY_CN: Введите здесь домен или поддомен, который разрешается в ваш сервер. KEY_NAME: Здесь необходимо ввести сервер. Если вы введете что-либо другое, вам также необходимо обновить соответствующие конфигурационные файлы server.key и server.crt. Другие переменные в этом файле, которые вы можете изменить: KEY_COUNTRY: Для этой переменной введите двухбуквенное сокращение вашей страны проживания. KEY_PROVINCE: Это должно быть название или сокращение вашего штата проживания. KEY_CITY: Здесь введите название города, в котором вы живете. KEY_ORG: Это должно быть название вашей организации или компании. KEY_EMAIL: Введите адрес электронной почты, который вы хотите связать с сертификатом безопасности. KEY_OU: Это должно быть название «Организационного подразделения», к которому вы принадлежите, обычно это название вашей группы или команды. Остальные переменные можно смело игнорировать, за исключением конкретных случаев использования. После внесения изменений файл должен выглядеть следующим образом: ... # Это значения по умолчанию для полей, # которые будут помещены в сертификат. # Не оставляйте ни одно из этих полей пустым. export KEY_COUNTRY=”US” export KEY_PROVINCE=”NY” export KEY_CITY=”New York” export KEY_ORG=”Famaserver.com” export KEY_EMAIL=”sammy@example.com” export KEY_EMAIL=sammy@example.com export KEY_CN=openvpn.example.com export KEY_NAME=”server” export KEY_OU=”Community” . . .Сохраните и закройте файл. Чтобы начать генерацию ключей и сертификатов, введите новые переменные, которые вы установили в файле vars, в папку simple rsa и ресурс:

cd /etc/openvpn/easy-rsa source ./vars

Запустите простой сценарий очистки RSA, чтобы удалить ключи и сертификаты в этой папке и сгенерировать лицензионный ключ:

./очистить все

Затем создайте центр сертификации с помощью сценария build-ca. Вам будет предложено ввести значения в поля сертификата, но если вы установите переменные в файле WARS, все ваши параметры уже будут установлены по умолчанию. Вы можете нажать ENTER, чтобы принять каждое значение по умолчанию:

./build-ca

Этот скрипт создает файл с именем ca.key. Это закрытый ключ, используемый для подписи ваших серверных и клиентских сертификатов. Если он утерян, вы больше не сможете доверять никаким сертификатам из этого CA, и если кто-то сможет получить доступ к этому файлу, он сможет подписать новые сертификаты и получить доступ к вашему VPN без вашего ведома. . По этой причине OpenVPN рекомендует хранить ca.key в месте, которое может быть офлайн и должно активироваться только при создании новых сертификатов. Затем сгенерируйте ключ сервера и лицензию с помощью скрипта build-key-server:

./build-key-server сервер

Как и в случае со сборкой CA, вы увидите значения, установленные по умолчанию, поэтому вы можете ввести ENTER в этих полях. Кроме того, вам будет предложено ввести пароль вызова и необязательное название компании. Если вы введете пароль вызова, вам будет предложено это сделать при подключении к VPN на стороне клиента. Если вы не хотите устанавливать пароль вызова, просто оставьте эту строку пустой и нажмите ENTER. Наконец, введите Y, чтобы зафиксировать изменения. Последняя часть создания ключей и сертификатов сервера — это генерация файла обмена ключами Диффи-Хеллмана. Для этого используйте скрипт build-dh:

./сборка-дх

это может занять несколько минут. После того, как вы закончите генерацию сервера, создав файл обмена ключами, скопируйте ключи сервера и сертификаты из каталога hotkeys в каталог OpenVpn:

 cd /etc/openvpn/easy-rsa/keys sudo cp dh2048.pem ca.crt server.crt server.key /etc/openvpn

Каждому клиенту также нужен сертификат для аутентификации сервера OpenVPN. Эти ключи и сертификаты генерируются на сервере, а затем вам нужно будет скопировать их на свой клиент, что мы и сделаем на следующем шаге. Рекомендуется генерировать отдельные ключи и лицензии для каждого клиента, которого вы собираетесь подключить к своему VPN. Поскольку мы будем развертывать здесь только одного клиента, мы назовем его клиентом, но вы можете изменить его на более описательное имя, если хотите:

 cd /etc/openvpn/easy-rsa ./build-key client

Наконец, скопируйте файл конфигурации OpenSSL открытой версии openssl-1.0.0.cnf в имя версии openssl.cnf. Невыполнение этого требования может привести к ошибке, из-за которой OpenSSL не сможет загрузить конфигурацию, поскольку не может обнаружить свою собственную версию:

cp /etc/openvpn/easy-rsa/openssl-1.0.0.cnf /etc/openvpn/easy-rsa/openssl.cnf

Теперь, когда у вас есть все необходимые ключи и сертификаты, созданные для вашего сервера и клиента, вы можете перейти к настройке маршрутизации между двумя устройствами.

Шаг 5. Настройка брандмауэра и маршрутизации

Установите правила брандмауэра

Начните с проверки активной зоны, защищенной брандмауэром:

firewall-cmd --get-active-zones

Ваша зона брандмауэра будет показана в выводе. В примере ниже он общедоступен.

Добавьте службу openvpn в список служб, разрешенных firewalld в активной зоне. В нашем сценарии активная зона открыта для публики. Измените команду соответствующим образом, если ваша активная зона является доверенной.

firewall-cmd --zone=public --add-service openvpn

Затем выполните следующую команду, чтобы сделать вышеупомянутые настройки постоянными:

firewall-cmd --zone=public --add-service openvpn --permanent

Чтобы проверить, добавлена ​​ли служба openvpn, выполните следующую команду:

брандмауэр-cmd --list-services --zone=public

Затем в экземпляр среды выполнения добавьте маскарад:

брандмауэр-cmd --add-masquerade

Кроме того, сделайте его постоянным:

брандмауэр-cmd --add-masquerade --permanent

Убедитесь, что маскарад добавлен, выполнив:

брандмауэр-cmd --query-masquerade

Выход должен ответить yes. В этой статье мы рассмотрели шаги по настройке VPN-сервера в операционной системе CentOS. Реализовав эти шаги и настройки, пользователи смогут удаленно получать доступ к своей сети и использовать защищенную и зашифрованную связь для передачи информации.

Аналогично предыдущему обучению: