{"id":3307,"date":"2014-10-07T07:51:07","date_gmt":"2014-10-07T05:51:07","guid":{"rendered":"http:\/\/rephlex.de\/blog\/?p=3307"},"modified":"2015-10-05T07:10:18","modified_gmt":"2015-10-05T05:10:18","slug":"howto-linux-openvpn-server-schnell-und-einfach-installieren-und-konfigurieren","status":"publish","type":"post","link":"https:\/\/rephlex.de\/blog\/2014\/10\/07\/howto-linux-openvpn-server-schnell-und-einfach-installieren-und-konfigurieren\/","title":{"rendered":"HowTo: Linux OpenVPN Server schnell und einfach installieren und konfigurieren"},"content":{"rendered":"

Die Anleitung sieht kompliziert aus, ist in Wirklichkeit aber einfach nur lang.\u00a0Es wurde Wert darauf gelegt dass man die Kommandoschnipsel\u00a0einfach copy-pasten kann, es sollte also niemand den Verstand verlieren dabei.<\/p>\n

Der trickreichste Part ist der mit den Zertifikaten, aber das bedeutet irgendwie\u00a0bei jeder Software Pain in the Ass – unsere\u00a0Cryptosysteme sind einfach\u00a0unsch\u00f6n\u00a0zu handhaben.<\/p>\n

WIe gesagt, copy-paste sollte<\/em>\u00a0in den meisten Umgebungen klappen \ud83d\ude42<\/p>\n

Los geht’s:<\/p>\n

Die Installation von OpenVPN\u00a0geschieht unter Debian\/Ubuntu mittels\u00a0apt-get install openvpn, unter RHEL\/CentOS bewirkt man gleiches mit yum install openvpn.<\/p>\n

Wir besorgen uns nun easyrsa3 und erstellen Schl\u00fcssel und Zertifikate, das ist\u00a0unbedingt notwendig:<\/p>\n

Client-Zertifikat:<\/p>\n

mkdir $HOME\/clientside
\ncd $HOME\/clientside
\ngit clone git:\/\/github.com\/OpenVPN\/easy-rsa
\ncd easy-rsa\/easyrsa3
\n.\/easyrsa init-pki
\n.\/easyrsa gen-req client1 nopass<\/p><\/blockquote>\n

Server-Zertifikat:<\/p>\n

mkdir $HOME\/serverside
\ncd $HOME\/serverside
\ngit clone git:\/\/github.com\/OpenVPN\/easy-rsa
\ncd easy-rsa\/easyrsa3
\n.\/easyrsa init-pki
\n.\/easyrsa build-ca
\n.\/easyrsa gen-req server nopass
\n.\/easyrsa sign-req server server
\nopenssl dhparam -out dh2048.pem 2048
\n\/usr\/sbin\/openvpn –genkey –secret ta.key
\n.\/easyrsa import-req $HOME\/clientside\/easy-rsa\/easyrsa3\/pki\/reqs\/client1.req client1
\n.\/easyrsa sign-req client client1<\/p><\/blockquote>\n

Alles in die richtigen Verzeichnisse kopieren:<\/p>\n

sudo cp $HOME\/serverside\/easy-rsa\/easyrsa3\/pki\/ca.crt \/etc\/openvpn\/
\nsudo cp $HOME\/serverside\/easy-rsa\/easyrsa3\/pki\/issued\/server.crt \/etc\/openvpn\/
\nsudo cp $HOME\/serverside\/easy-rsa\/easyrsa3\/dh2048.pem \/etc\/openvpn\/
\nsudo cp $HOME\/serverside\/easy-rsa\/easyrsa3\/pki\/private\/server.key \/etc\/openvpn\/
\nsudo cp $HOME\/serverside\/easy-rsa\/easyrsa3\/ta.key \/etc\/openvpn\/
\ncp $HOME\/serverside\/easy-rsa\/easyrsa3\/ta.key $HOME\/clientside\/
\ncp $HOME\/serverside\/easy-rsa\/easyrsa3\/pki\/issued\/client1.crt $HOME\/clientside\/
\ncp $HOME\/serverside\/easy-rsa\/easyrsa3\/pki\/ca.crt $HOME\/clientside\/
\ncp $HOME\/clientside\/easy-rsa\/easyrsa3\/pki\/private\/client1.key $HOME\/clientside\/<\/p><\/blockquote>\n

Client Script (bei der IP-Adresse muss die IP stehen, zu der der Client sp\u00e4ter verbinden soll – also die des OpenVPN-Servers):<\/p>\n

nano $HOME\/clientside\/client.ovpn<\/p>\n

client
\ndev tun
\nproto udp
\nremote change_this_to_server_IP_address 34557
\nresolv-retry infinite
\nnobind
\npersist-key
\npersist-tun
\nca ca.crt
\ncert client1.crt
\nkey client1.key
\ntls-auth ta.key 1
\nremote-cert-tls server
\ncipher AES-256-CBC
\ncomp-lzo
\nverb 3<\/p><\/blockquote>\n

Jetzt f\u00fcgen\u00a0wir Keys und Zertifikat mit dem\u00a0Client-Script zusammen, sodass wir nur eine „.ovpn“ Datei haben, die wir an die Clients verteilen m\u00fcssen:<\/p>\n

cd $HOME\/clientside\/<\/p><\/blockquote>\n

[Das Script\u00a0merge.sh.gz<\/a>\u00a0hier heruntenladen und ablegen]<\/p>\n

gunzip merge.sh
\nsudo chmod +x merge.sh
\nsudo .\/merge.sh
\nsudo chown $USER $HOME\/clientside\/client.ovpn<\/p><\/blockquote>\n

Das Clientscript ist somit abgeschlossen. Jetzt muss der Server noch konfiguriert werden:<\/p>\n

Wir bearbeiten die Datei \/etc\/openvpn.conf:<\/p>\n

port 34557
\nproto udp
\ndev tun
\nca ca.crt
\ncert server.crt
\nkey server.key
\ntls-auth ta.key 0
\ndh dh2048.pem
\nserver 10.8.0.0 255.255.255.0
\ncipher AES-256-CBC
\ncomp-lzo
\npersist-key
\npersist-tun
\nuser nobody
\ngroup nogroup
\nstatus openvpn-status.log
\nverb 3
\ntun-mtu 1500
\ntun-mtu-extra 32
\nmssfix 1450
\npush „redirect-gateway def1“
\npush „dhcp-option DNS 8.8.8.8“
\npush „dhcp-option DNS 8.8.4.4“
\nkeepalive 5 30<\/p><\/blockquote>\n

Eventuell m\u00f6chte man\u00a0unten statt 8.8.8.8 (Google-DNS) seine eigenen Nameserver eintragen. Die Zeile „server“ gibt an, welches Netz f\u00fcr die OpenVPN-Clients vergeben wird.<\/p>\n

In der Datei\u00a0\/etc\/sysctl.conf tr\u00e4gt man nun<\/p>\n

net.ipv4.ip_forward=1<\/p><\/blockquote>\n

ein. Der Linux-Host wird dadurch beim n\u00e4chsten Reboot (und auch wirklich erst dann, den m\u00fcssen wir zum Ende machen!)\u00a0zum Router, das hei\u00dft er vermittelt Pakete zwischen seinen Netzwerkinterfaces.<\/p>\n

Die IPTables-Firewall will auch noch konfiguriert werden, genauer m\u00f6chte man, dass NAT a.k.a. Masquerading stattfindet. Der Linux Host soll quasi „Fritzbox“ f\u00fcr die OpenVPN-Clients in Richtung Internet spielen.<\/p>\n

sudo nano \/usr\/local\/bin\/firewall.sh<\/p>\n

#!\/bin\/bash
\niptables -t filter -F
\niptables -t nat -F
\niptables -A FORWARD -m state –state RELATED,ESTABLISHED -j ACCEPT
\niptables -A FORWARD -s „10.8.0.0\/24“ -j ACCEPT
\niptables -A FORWARD -j REJECT
\niptables -t nat -A POSTROUTING -s „10.8.0.0\/24“ -j MASQUERADE<\/p><\/blockquote>\n

Das Firewall-Script wird nun ausf\u00fchrbar gemacht, gestartet und das Resultat gepr\u00fcft:<\/p>\n

sudo chmod +x \/usr\/local\/bin\/firewall.sh
\nsudo \/usr\/local\/bin\/firewall.sh
\nsudo iptables –list<\/p><\/blockquote>\n

Sinnvoll ist es nun, das Firewallscript rebootfest zu machen, deshalt kann das Script noch in die \/etc\/rc.local geschrieben werden. Es ist ausreichend, in \/etc\/rc.local das oben angelegte Script aufzuf\u00fchren:<\/p>\n

\/usr\/local\/bin\/firewall.sh<\/p><\/blockquote>\n

Unter RHEL\/CentOS braucht es noch ein „chkconfig openvpn on“ um den OpenVPN-Dienst automatisch starten zu lasen. Unter Debian\/Ubuntu geht das mit dem Kommando „update-rc.d openvpn defaults“.<\/p>\n

Den Linux Host rebootet man nun (wir erinnern uns: ipv4 forwarding…), und fertig ist das OpenVPN-Gateway!<\/p>\n","protected":false},"excerpt":{"rendered":"

Die Anleitung sieht kompliziert aus, ist in Wirklichkeit aber einfach nur lang.\u00a0Es wurde Wert darauf gelegt dass man die Kommandoschnipsel\u00a0einfach copy-pasten kann, es sollte also niemand den Verstand verlieren dabei. Der trickreichste Part ist der mit den Zertifikaten, aber das bedeutet irgendwie\u00a0bei jeder Software Pain in the Ass – unsere\u00a0Cryptosysteme sind einfach\u00a0unsch\u00f6n\u00a0zu handhaben. WIe gesagt, […]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[4],"tags":[],"class_list":["post-3307","post","type-post","status-publish","format-standard","hentry","category-techtalk"],"_links":{"self":[{"href":"https:\/\/rephlex.de\/blog\/wp-json\/wp\/v2\/posts\/3307","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/rephlex.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/rephlex.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/rephlex.de\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/rephlex.de\/blog\/wp-json\/wp\/v2\/comments?post=3307"}],"version-history":[{"count":7,"href":"https:\/\/rephlex.de\/blog\/wp-json\/wp\/v2\/posts\/3307\/revisions"}],"predecessor-version":[{"id":3420,"href":"https:\/\/rephlex.de\/blog\/wp-json\/wp\/v2\/posts\/3307\/revisions\/3420"}],"wp:attachment":[{"href":"https:\/\/rephlex.de\/blog\/wp-json\/wp\/v2\/media?parent=3307"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/rephlex.de\/blog\/wp-json\/wp\/v2\/categories?post=3307"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/rephlex.de\/blog\/wp-json\/wp\/v2\/tags?post=3307"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}