OpenVPN er utvivlsomt den bedste måde til sikkert at oprette forbindelse til et netværk via internettet, OpenVPN er en open source VPN -ressource, der giver os som brugere mulighed for at maskere vores browsing for at undgå at blive ofre på netværket.
Dette er meget vigtige aspekter på sikkerhedsniveau, som vi skal tage højde for, og denne gang skal vi analysere processen med OpenVPN -konfiguration i et miljø Debian 8.
BemærkInden installationsprocessen påbegyndes, er det vigtigt at opfylde visse krav, disse er:
- Rodbruger.
- Dråbe Debian 8, vi har i øjeblikket Debian 8.1
1. Sådan installeres OpenVPN
Det første skridt, vi vil tage, er opdater alle pakker i miljøet ved hjælp af kommando:
apt-get opdatering
Når pakkerne er downloadet og opdateret lad os installere OpenVPN ved hjælp af easy-RSA for krypteringsproblemer. Vi kommer til at udføre følgende kommando:
apt-get installer openvpn easy-rsa
Derefter vi skal konfigurere vores OpenVPN, er OpenVPN -konfigurationsfilerne gemt i følgende sti: / etc / openvpn, og vi skal tilføje disse til vores konfiguration, vi kommer til at bruge følgende kommando:
gunzip -c /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz> /etc/openvpn/server.confNår vi har udpakket disse filer på den valgte sti, åbner vi dem ved hjælp af nano -editoren, vi udfører følgende kommando:
nano /etc/openvpn/server.confVi ser følgende vindue:
Når vi er der vi skal foretage nogle ændringer af filen, disse ændringer er dybest set:
- Sikring af serveren med kryptering på højt niveau
- Tillad webtrafik til destinationen
- Undgå, at DNS -anmodninger filtreres uden for VPN -forbindelsen
- Installationstilladelser
Vi skal dobbelt længden af RSA -nøglen som bruges, når nøglerne til både serveren og klienten genereres, til dette vil vi søge i filen efter følgende værdier, og vi vil ændre værdien dh1024.pem med værdien dh2048.pem:
# Diffie hellman parametre. # Generer din egen med: # openssl dhparam -out dh1024.pem 1024 # Erstat 2048 for 1024, hvis du bruger # 2048 bit nøgler. dh dh1024.pem
Lad os nu Sørg for, at trafikken omdirigeres korrekt til destinationen, lad os ikke kommentere "redirect-gateway def1 bypass-dhcp" ved at fjerne; i begyndelsen af den. i server.conf-filen:
# Hvis det er aktiveret, vil dette direktiv konfigurere # alle klienter til at omdirigere deres standard # netværksgateway via VPN, hvilket får # al IP -trafik såsom webbrowsing og # og DNS -opslag til at gå gennem VPN # (OpenVPN -servermaskinen skal muligvis NAT # eller bro TUN / TAP -grænsefladen til internettet # i ***** for at dette fungerer korrekt).; skub "redirect-gateway def1 bypass-dhcp"
Det næste trin bliver fortæl serveren at bruge OpenDNS til opløsning af DNS -navne Så længe det er muligt, på denne måde undgår vi, at DNS -anmodninger er uden for VPN -forbindelsen, skal vi lokalisere følgende tekst i vores fil:
# Visse Windows-specifikke netværksindstillinger # kan skubbes til klienter, f.eks. DNS # eller WINS-serveradresser. CAVEAT: # http://openvpn.net/faq.html#dhcpcaveats # Adresserne nedenfor refererer til de offentlige # DNS -servere leveret af opendns.com.; skub "dhcp-option DNS 208.67.222.222"; push "dhcp-option DNS 208.67.220.220"Der skal vi fjerne markeringen af push "dhcp-option DNS 208.67.222.222" og push "dhcp-option DNS 208.67.220.220" kommentarer ved at fjerne; fra begyndelsen.
Endelig vil vi definere tilladelser I den samme fil, som vi arbejder på, placerer vi følgende tekst:
# Du kan fjerne dette på # ikke-Windows-systemer.; bruger ingen; gruppe nogroupVi fortsætter med at fjerne markeringen ved at fjerne skiltet; fra begyndelsen af teksterne bruger ingen Y gruppe nogroup.
Som vi ved kører OpenVPN som standard som root -bruger, der tillader at redigere enhver parameter, med den sidste ændring vil vi begrænse det til ingen bruger og nogroup -gruppen af sikkerhedsmæssige årsager.
Vi gemmer ændringerne ved hjælp af tastekombinationen:
Ctrl + O.
Og vi forlader redaktøren ved hjælp af:
Ctrl + X
Nu skal vi aktivere videresendelse af pakker til det eksterne netværk, for dette vil vi udføre følgende kommando:
ekko 1> / proc / sys / net / ipv4 / ip_forwardVi skal gøre denne ændring permanent, ikke at vi skal gøre det hver gang vi starter systemet, for at gøre det kontinuerligt kommer vi til at indtaste systcl -filen ved hjælp af nano -editoren, for dette vil vi udføre følgende:
nano /etc/sysctl.confFølgende vindue vises:
Vi vil finde følgende linje:
# Fjern den næste linje for at aktivere videresendelse af pakker til IPv4 # net.ipv4.ip_forward = 1BemærkHusk, at vi kan bruge editorens søgning ved hjælp af tastekombinationen:
Ctrl + W.
Der vil vi fjerne markeringen af kommentaren net.ipv4.ip_forward = 1 fjernelse af # -symbolet.
Det næste skridt, vi skal tage, er konfigurer UFW. UFW er en firewall -konfiguration til ip -tabeller, derfor vil vi foretage nogle justeringer for at ændre UFW -sikkerheden. Som et første trin skal vi installere UFW -pakkerne ved hjælp af følgende kommando:
apt-get install ufw
Når de nødvendige UFW -pakker er blevet downloadet og installeret, vil vi konfigurere UFW til at tillade SSH -forbindelser, for dette vil vi udføre følgende:
ufw tillader ssh
I vores tilfælde arbejder vi på port 1194 i UDP, vi skal konfigurere denne port for at kommunikationen skal være tilfredsstillende, vi indtaster følgende:
ufw tillader 1194 / udpBemærkVi kan se portene på vores konsol ved hjælp af kommandoen lsof -iUDP
Dernæst skal vi redigere UFW -konfigurationsfilen for dette, vi indtaster med nano -editoren i følgende sti:
nano / etc / default / ufwFølgende vindue åbnes:
Der vil vi foretage nogle ændringer, vi finder den følgende linje, hvor vi vil ændre DROP til ACCEPT.
DEFAULT_FORWARD_POLICY = "DROP"Næste trin er tilføj nogle regler i UFW for oversættelse af netværksadresserne og den korrekte maskering af IP -adresserne af brugere, der opretter forbindelse. Lad os åbne følgende fil ved hjælp af nano -editoren:
nano /etc/ufw/before.rulesVi vil se, at følgende vindue vises:
Vi vil tilføje følgende tekst:
# START OPENVPN -REGLER # NAT -tabelregler * nat: POSTROUTING ACCEPT [0: 0] # Tillad trafik fra OpenVPN -klient til eth0 -A POSTROUTING -s 10.8.0.0/8 -o eth0 -j MASQUERADE COMMIT # END OPENVPN REGLER
Når vi har foretaget disse ændringer, går vi videre til aktiver UFW ved hjælp af følgende kommando:
ufw aktivere
Til tjek firewall reglerJeg bruger følgende kommando:
ufw status
2. Opret OpenVPN -autoritetscertifikat
Næste trin i vores proces er oprette autoritetscertifikatet til login via OpenVPNLad os huske, at OpenVPN bruger disse certifikater til at kryptere trafikken. OpenVPN understøtter tovejs certificering, det vil sige, at klienten skal godkende serverens certifikat og omvendt.
Vi kommer til at kopiere scripts over easy-RSA ved hjælp af følgende kommando:
cp -r / usr / share / easy -rsa / / etc / openvpnVi skal opret et bibliotek for at gemme nøglerne, vil vi bruge følgende kommando:
mkdir / etc / openvpn / easy-rsa / keysNæste trin er rediger certifikatparametre, vil vi bruge følgende kommando:
nano / etc / openvpn / easy-rsa / varsFølgende vindue vises:
Vi kommer til at ændre følgende parametre i henhold til vores krav:
eksport KEY_COUNTRY = "CO" eksport KEY_PROVINCE = "BO" eksport KEY_CITY = "Bogota" eksport KEY_ORG = "Solvetic" eksport KEY_EMAIL = "[email protected]" eksport KEY_OU = "Solvetic"
I den samme fil vil vi redigere følgende linje:
# X509 Emne Felteksport KEY_NAME = "EasyRSA"Vi skal ændre EasyRSA -værdien til navnet på den server, du ønsker, vil vi bruge navnet Solvetic.
Nu skal vi konfigurere Diffie-Helman parametre ved hjælp af et værktøj, der leveres integreret med OpenSSL, som kaldes dhparam. Vi vil indtaste og udføre følgende kommando:
openssl dhparam -out /etc/openvpn/dh2048.pem 2048
Når certifikatet er genereret, gør vi det ændre easy-RSA bibliotek ved hjælp af kommando:
cd / etc / openvpn / easy-rsaVi skal initialisere PKI, vil vi bruge kommandoen:
… / Vars
Vi skal ryd de andre taster så de ikke forstyrrer installationen ved hjælp af kommandoen:
./clean-allNu skal vi bygge certifikatet ved hjælp af følgende OpenSSL -kommando:
./build-ca
Vi vil kunne se en række spørgsmål, der er relateret til de tidligere indtastede oplysninger, på denne måde er certifikatet blevet genereret. Dernæst skal vi starte vores OpenVPN -server til dette Vi redigerer filen i stien / etc / openvpn / easy-rsa ved hjælp af det tidligere angivne nøglenavn, i vores tilfælde Solvetic. Vi kommer til at udføre følgende kommando:
./build-key-server Solvetic
I nedenstående linjer kan vi lade rummet stå tomt og trykke på Enter:
Angiv følgende 'ekstra' attributter, der skal sendes med din certifikatanmodning En udfordringskodeord []: Et valgfrit firmanavn []:Følgende vindue vises, hvor vi skal indtaste bogstavet y (ja) for at acceptere følgende to spørgsmål: Underskriv certifikatet og anmod om certifikater.
Lad os nu flytte både certifikater og nøgler til / etc / openvpn sti, vil vi udføre følgende kommando:
cp /etc/openvpn/easy-rsa/keys/[Solvetic.crt,Solvetic.key,ca.crt}/etc/openvpnNår denne proces er udført, gør vi det starte OpenVPN -tjenesten ved hjælp af kommando:
service openvpn startTil se status vi vil bruge kommandoen:
service oopenvpn -status
Vores næste trin vil være at oprette certifikater og nøgler til de klienter, der ønsker at oprette forbindelse til VPN. Af sikkerhedsmæssige årsager har hver klient, der opretter forbindelse til serveren, sit eget certifikat og sin nøgle, del det aldrig, som standard tillader OpenVPN ikke samtidige forbindelser med samme certifikat og nøgle. Vi skal oprette nøglen til vores klient, hertil indtaster vi følgende kommando:
./build-key Client_Name, i vores eksempel vil vi bruge følgende kommando: ./build-key Tests
Vi udfylder de påkrævede felter, og så gør vi det kopier den genererede nøgle til easy-RSA-biblioteket.
cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf /etc/openvpn/easy-rsa/keys/client.ovpn.Lad os nu download Winscp -værktøjet gratis fra nedenstående link. Dette værktøj giver os mulighed for at oprette forbindelse via SFTP eller FTP til vores Debian -maskine for at kontrollere, at filerne er oprettet korrekt. Når vi har downloadet og eksekveret det, er dette vinduet, som vi kan se:
Der indtaster vi IP -adressen på Debian -maskinen, husk at IP'en kan valideres ved hjælp af ifconfig -kommandoen, vi indtaster legitimationsoplysningerne, og når vi klikker på Connect, kan vi se følgende:
FORSTØRRE
Der kan vi se i højre side de respektive filer for nøglerne og nøglerne. For at få adgang via OpenVPN kommer vi til at downloade værktøjet fra følgende link OpenVPN version 2.3.11. Når vi har downloadet det, skal vi tage højde for at foretage nogle ændringer i værktøjet, den første ting, vi skal gøre, er at kopiere nøglefiler og nøgler på den sti, hvor OpenVPN normalt er installeret:
C: \ Program Files \ OpenVPN \ configSenere opretter vi en fil i notesblok eller teksteditoren, som vi har med følgende oplysninger:
client dev tun proto udp remote 192.168.0.12 1194 key client.key cert client.crt ca ca.crt auth-user-pass persist-key persist-tun comp-lzo verb 3BemærkIP -adressen er vores Debian -maskine og porten, som vi så tidligere, er UDP 1194.
Denne fil skal gemmes med filtypenavnet .ovpn.
3. OpenVPN -klientadgangstest
Lad os køre OPenVPN og dette vil være det miljø, som vi vil befinde os i:
Vi indtaster brugerens legitimationsoplysninger for at oprette forbindelse og klikke på okay og vi kan se følgende
BemærkVi opretter denne forbindelse fra en Windows 7 -computer.
Nu kan vi se i meddelelseslinjen, at forbindelsen har været vellykket, og vi kan se den nye IP -adresse.
Hvis vi højreklikker på værktøjet (ikon i meddelelseslinjen) har vi følgende muligheder:
Herfra kan vi udføre de opgaver, som vi anser for nødvendige. For eksempel ja vi vælger Vis status vi vil se følgende:
4. OpenVPN sikkerhedsværktøjer ']
Der er ingen tvivl om, at Internetsøgning kan føre til sikkerhedsproblemer såsom vira, informationstyveri, spyware osv., af denne grund er der nogle værktøjer, som vi kan implementere for at forbedre sikkerheden på vores maskine, når OpenVPN.
Lad os snakke om Clamav som er et kraftfuldt antivirusprogram, der hjælper os med at bevare kontrollen over inficerede filer eller processer i vores Debian 8.1. Det er open source -software, der giver os mulighed for at opdage trojanere, malware og andre latente trusler på vores computere. Installationsprocessen er meget enkel, derfor udfører vi følgende kommando:
Sudo apt-get install clamav
Senere vil vi udføre frisk musling så hele Clamav -databasen opdateres.
For at køre en scanning på maskinen indtaster vi følgende syntaks:
Clamscan -inficeret -fjerne -recursive / hjemEfter et øjeblik vil vi se en oversigt over scanningsopgaven:
Et andet værktøj, vi kan bruge til at forbedre vores sikkerhed, er Privoxy som fungerer som en webproxy og indeholder avancerede funktioner til at beskytte privatlivets fred, styre cookies, kontrollere adgang, fjerne annoncer, blandt andre. For at installere det på vores Debian 8.1 -system vil vi udføre følgende kommando:
Sudo apt-get install privoxy
Husk, at hvis vi er som root -brugere, er sudo ikke nødvendigt. Når alle Privoxy -pakkerne er blevet downloadet og installeret, vil vi ændre nogle parametre i dens konfigurationsfil, for dette vil vi udføre følgende kommando:
Sudo nano / etc / privoxy / configFølgende vises:
Der skal vi lokalisere linjen lyt-adresse lokal vært: 8118 og vi skal tilføje 2 parametre, tilføj først # -symbolet i begyndelsen af denne linje og indtast udtrykket lytte-adresse ip_of_nour-maskine nedenfor: 8118, i vores tilfælde er det:
lyt-adresse 192.168.0.10:8118.Når dette er gjort, vil vi genstarte tjenesten ved hjælp af:
sudo /etc/init.d/privoxy genstart
Dernæst går vi til den browser, vi har i Debian, og fortsætter med at ændre proxy -parametrene, vi skal bekræfte, at IP’en er den, vi tilføjede, og porten er 8118. I vores eksempel bruger vi IceWeasel, og vi skal indtaste:
- præferencer
- Fremskreden
- Net
- Forbindelsesopsætning
- Manuel proxy -konfiguration
Når den er konfigureret, klikker vi på OK. Nu kan vi se hvordan Privoxy hjælper os med sikkerhed:
Der er andre værktøjer, der kan hjælpe os med at forbedre navigationen ved hjælp af vores OpenVPN, vi kan implementere:
DnsmasqDet giver os DNS -tjenester på denne måde, vi bruger kun DNS -cachen.
HAVPMed dette værktøj har vi en proxy med antivirus, det scanner al trafik på jagt efter vira eller en underlig adfærd.
Som vi kan se, er det meget vigtigt at træffe foranstaltninger, der hjælper os med at bevare kontrollen over vores navigation og være meget klar over, at den korrekte funktion af Debian 8.1
Lad os fortsætte med at undersøge alle de store fordele, Debian 8.1 tilbyder os og forbedre vores miljø, da mange af os er administratorer, koordinatorer eller ansvarlige for it -området, og disse tips hjælper os med at klare den daglige hverdag lettere og med muligheden ikke at have kritiske problemer i fremtiden, der kan være en stor hovedpine.
Installer LAMP på Debian 8
