OpenVPN

Установка OPENVPN Renew SSL/TLS certificate OpenSSL [Step-by-Step]

Настройка OpenVPN

yum install openvpn
cd /etc/openvpn/

очищуєемо або ініціалізуємо каталог з ключами

./easyrsa init-pki

створюємо ca.key та ca.crt

./easyrsa build-ca

Будуємо сертифікат

./easyrsa build-ca
./easyrsa gen-dh

Будуємо ключ для сервера

./easyrsa gen-req <server-name> nopass
./easyrsa sign-req server <server-name>

створюємо ta.key

openvpn --genkey --secret pki/ta.key

Будуємо ключ для клієнтів (на кожного клієнта по одному)

./easyrsa gen-req <client> nopass

Налаштування сервера /etc/openvpn/server.conf

local  <ip.ip.ip.ip>
port <port> # 1194
user openvpn
group openvpn
proto udp # mikrotik не уміє udp тому для нього і клієнт і сервер в tcp
dev tun
tls-auth /etc/openvpn/easy-rsa/pki/ta.key 0 # тут 0 - це key-direction, у клієнта і сервера key-direction мають відрізнятися
opt-verify
cipher AES-256-GCM # це останній ціфер до якого буде підніматися на сервері і клієнті бажано виставити однакові підтримується з 2.5
keepalive 10 120
tun-mtu 1500
fragment 1300
mssfix
persist-key
persist-tun
#push "redirect-gateway def1"  # якщо треба завернути увесь трафік в тунель
topology net30
route 192.168.10.0 255.255.255.0
ifconfig-pool-persist ipp.txt
log /var/log/openvpn.log
status /var/log/openvpn-status.log
verb 4 
server 192.168.0.0 255.255.255.0 # ip клієнтів будть 192.168.0.1- 192.168.0.254
push "route 192.168.10.0 255.255.255.0"
push "dhcp-option DNS 192.168.10.1"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DOMAIN example.com"
push "block-outside-dns" блокує на клієнті dns, використовується лише той, що відправили попередніми стрічками.

Налаштування клієнта

client
dev tun
proto udp
remote <ip.ip.ip.ip> <port> # 1194
nobind
cipher AES-256-GCM # це останній ціфер до якого буде підніматися на сервері і клієнті бажано виставити однакові підтримується з 2.5
tun-mtu 1500
fragment 1300
mssfix
auth-nocache
ca ca.crt # або вставка текстом <ca></ca>
cert user.crt # або вставка текстом <cert></cert>
key user.key # або вставка текстом <key></key>
tls-auth ta.key 1 # або вставка текстом <tls-auth></tls-auth> key-direction 1  у клієнта і сервера key-direction мають відрізнятися
remote-cert-tls server
route-method ipapi
route-delay 2
verb 4
mute 20
#log /var/log/openvpn.log
#status /var/log/openvpn-status.log

Заборонити клієнту доступ до сервера

revoke-full <ім'я клієнта>
cp keys/crl.pem /etc/openvpn/

якщо треба зв'язати наприклад філіали, то у конфіг серверу треба добавити стрічки

client-config-dir /etc/openvpn/ccd
client-to-client  #для того щоб клієнти бачили один одного

і у каталозі /etc/openvpn/ccd створити файл з іменем клієнта і контентом

iroute 192.168.121.0 255.255.255.0 # роут в мережу клієнта, тобто мається на увазі мережа клієнта 192.168.121.0/24