Установка и настройка OpenVPN на Linux CentOS 7 для доступа к Интернет

Всвязи с современными тенденциями наличие своего VPS-VPN-сервера уже является не чем-то странным, а необходимостью.

Арендуем у хостера самый дешевый VPS, устнанавливаем Centos 7 и начинаем

Обновляем установленные пакеты:

Установим правильную временную зону:

* в данном примере московское время.

Устанавливаем сервис для синхронизации времени:

Разрешаем автозапуск службы chrony и запускаем ее:

Отключаем Selinux:

Чтобы Selinux не включился после перезагрузки, откроем данный файл:

И отредактируем строчку SELINUX=enforcing на:

Создаем правило для firewalld:

* в данной инструкции мы настроим работу OpenVPN на порту 443 по UDP. Если в вашем случае необходим другие порт и протокол, меняем значения на соответствующие.

… и применяем его:

* если используется iptables, правило создаем командой iptables -I 1 INPUT -p udp —dport 443 -j ACCEPT, где 443 — порт, который мы будем использовать для openvpn.

Устанавливаем репозиторий epel:

Устанавливаем необходимые пакеты следующей командой:

В основе идеи VPN лежит шифрование трафика, а значит для его работы необходимы сертификаты.

Переходим в каталог easy-rsa:

* в зависимости от версии easy-rsa, последний каталог может быть другим. Увидеть точное название каталога можно командой ls  /usr/share/easy-rsa/.

Чтобы упростить и ускорить процесс создания ключей, создаем следующий файл:

* где KEY_CN и KEY_OU: рабочие подразделения (например, можно указать название отдела); KEY_NAME: адрес, по которому будет выполняться подключение (можно указать полное наименование сервера); KEY_ALTNAMES — альтернативный адрес.
* так как мы генерируем самоподписный сертификат, значения данных полей никак не повлияют на работу OpenVPN, однако, для удобства, лучше подставить реальные данные.

Запускаем созданный файл на исполнение:

Инициализируем PKI:

Мы должны увидеть:

… а в текущем каталоге появится папка pki.

Генерируем корневой сертификат:

… после ввода Enter обязательно задаем пароль дважды. На запрос ввести Common Name можно просто нажать ввод или написать свое имя:

Создаем ключ Диффи-Хеллмана:

Для создания сертификата сервера необходимо сначала создать файл запроса:

* на запрос ввода Common Name просто вводим Enter, чтобы использовать настройку из файла vars; nopass можно упустить, если хотим повысить безопасность с помощью пароля на сертификат.

… и на его основе — сам сертификат:

После ввода команды подтверждаем правильность данных, введя yes:

… и вводим пароль, который указывали при создании корневого сертификата.

Для создания ta ключа используем команду:

Сертификаты сервера готовы и находятся в каталоге pki.

Создаем каталог в /etc/openvpn, в котором будем хранить сертификаты:

Копируем в него содержимое каталога pki:

Создаем конфигурационный файл:

И вставляем в него следующее:

* где из всех параметров, обязательно, внести изменения нужно в следующие — local: IP-адрес, на котором будет обрабатывать запросы OpenVPN; port: сетевой порт (443 позволит избежать проблем при использовании Интернета в общественных местах, но может быть уже занят в вашей системе — посмотреть список используемых портов можно командой ss -tunlp. Если порт занят, используйте любой из свободных, например 1194).

Создаем каталог для логов сервера:

Разрешаем автоматический старт сервиса vpn:

И запускаем его:

Для настройки клиента необходимо на сервере сгенерировать сертификаты, а на клиентском компьютере установить программу openvpn и настроить ее.

На сервере генерируем сертификаты для клиента. Для этого переходим в каталог easy-rsa (если мы из него выходили):

Запускаем еще раз vars:

Создаем запрос и сам сертификат:

* как и при генерировании сертификата сервера, подтверждаем правильность данных и вводим пароль корневого сертификата. В данном примере мы создадим сертификат для client1.

На сервере скопируем ключи во временную директорию, выполнив последовательно 3 команды:

* сертификаты скопированы в каталог /tmp для удобства переноса их на клиентский компьютер.

Заходим на официальную страницу загрузки openvpn и скачиваем клиента для Windows:

Запускаем скачанный файл и устанавливаем программу, нажимая «Далее».

Переходим в папку C:\Program Files\OpenVPN\config. И копируем в нее файлы ca.crt, client.crt, client.key, dh2048.pem, ta.key из каталога /tmp/keys на сервере, например, при помощи программы WinSCP.

После переноса файлов, не забываем удалить ключи из временного каталога на сервере:

Теперь возвращаемся к компьютеру с Windows, открываем блокнот от имени администратора и вставляем следующие строки:

* где 192.168.0.15 443 — IP-адрес OpenVPN-сервера и порт, на котором он принимает запросы.

Сохраняем файл с именем config.ovpn в папке C:\Program Files\OpenVPN\config.

Запускаем с рабочего стола программу «OpenVPN GUI» от имени администратора (это важно).

Нажимаем правой кнопкой по появившемуся в трее значку и выбираем «Подключиться»:

Произойдет подключение и значок поменяет цвет с серого/желтого на зеленый.

Далее настраиваем доступ в Интернет

Все что нужно настроить — включить перенаправление на уровне ядра. Для этого открываем следующий файл:

И добавляем в него следующую строку:

После применяем настройку:

В случае с единым сетевым интерфейсом больше ничего делать не потребуется — CentOS начнет работать как Интернет-шлюз.

В случае с несколькими сетевыми адаптерами, настраиваем сетевой экран.

Рассмотрим настройку фаервола при помощи двух различных популярных утилит — firewalld и iptables.

Firewalld

Настройка выполняется для двух сетевых интерфейсов — ens32 (внутренний) и ens34 (внешний):

Iptables

Настройка выполняется из расчета, что внутренняя сеть имеет адресацию 192.168.0.0/24: