Alterator-net-openvpn: различия между версиями

Материал из ALT Linux Wiki
(+Отключить согласование алгоритмов шифрования (NCP))
Нет описания правки
Строка 1: Строка 1:
{{Stub}}
== Название пакета ==
== Название пакета ==


Строка 53: Строка 51:
=== Создание соединения ===
=== Создание соединения ===


Для создания нового соединения необходмо отметить пункт «Сетевой тунель (TUN)» и нажать кнопку «Создать соединение».
Для создания нового соединения необходимо отметить пункт «Сетевой туннель (TUN)» или «Виртуальное Ethernet устройство (TAP)» (должен быть выбран тот же тип, что и на стороне сервера) и нажать кнопку «Создать соединение»:


[[Файл:Alterator-net-openvpn2.png|Новое соединение]]
[[Файл:Alterator-net-openvpn2.png|Новое соединение]]
Строка 63: Строка 61:
=== Ключ и запрос на подпись ===
=== Ключ и запрос на подпись ===


Далее необходимо создать ключ. Для этого нужно нажать на кнопку «Управление ключами». В открывшемся окне нажать на кнопку «Новый...»:
Далее необходимо создать SSL ключ. Для этого нужно нажать на кнопку «Управление ключами». В открывшемся окне нажать кнопку «Новый…»:


[[Файл:Alterator-sslkey1.png|SSL ключи]]
[[Файл:Alterator-sslkey1.png|SSL ключи]]


В новом окне заполнить поля «Общее имя (CN)» и «Страна (C)», поставить отметку «(Пере)создать ключ и запрос на подпись» и нажать кнопку «Подтвердить»:
Заполнить поля «Общее имя (CN)» и «Страна (C)», поставить отметку «(Пере)создать ключ и запрос на подпись» и нажать кнопку «Подтвердить»:


[[Файл:Alterator-sslkey-client-new.png|Создать ключ и запрос на подпись]]
[[Файл:Alterator-sslkey-client-new.png|Создать ключ и запрос на подпись]]


Для того чтобы забрать запрос на подпись, нужно нажать на кнопку «Забрать запрос на подпись» и сохранить запрос на жесткий диск.
Нажать на кнопку «Забрать запрос на подпись» и сохранить запрос на жесткий диск.


=== Подписывание запроса на OpenVPN-server ===
=== Подписывание запроса на OpenVPN-server ===


На сервере, в [[ЦУС|«Центре управления системой»]] перейти в [[Alterator-ca|«Удостоверяющий центр»]], нажать кнопку «Обзор...» и указать путь до запроса на подпись, далее нажать кнопку «Загрузить запрос»:
На сервере, в [[ЦУС|«Центре управления системой»]] перейти в [[Alterator-ca|«Удостоверяющий центр»]], нажать кнопку «Обзор...», указать путь до запроса на подпись и нажать кнопку «Загрузить запрос»:


[[Файл:Alterator-ca1.png|Подписывание запроса на OpenVPN-server]]
[[Файл:Alterator-ca1.png|Подписывание запроса на OpenVPN-server]]
Строка 83: Строка 81:
=== Импорт сертификата удостоверяющего центра ===
=== Импорт сертификата удостоверяющего центра ===


Сертификат удостоверяющего центра это файл, который находится на OpenVPN-server.
Чтобы получить сертификат удостоверяющего центра следует, на сервере, в [[ЦУС|«Центре управления системой»]] перейти в [[Alterator-ca|«Удостоверяющий центр»]], перейти по ссылке «Управление УЦ» (CA management). Загрузить сертификат УЦ, нажав на ссылку ca-root.pem:
 
Чтобы его получить, на сервере, в [[ЦУС|«Центре управления системой»]] и перейти в [[Alterator-ca|«Удостоверяющий центр»]], дальше перейти по ссылке «Управление УЦ» (CA management). Загрузить сертификат УЦ, нажав на ссылку ca-root.pem:


[[Файл:Alterator-ca-root2.png|Сертификат УЦ]]
[[Файл:Alterator-ca-root2.png|Сертификат УЦ]]


Перенести файл output.pem и ca-root.pem на компьютер клиента.
Перенести файлы output.pem и ca-root.pem на компьютер клиента.


=== Импорт сертификат пользователя ===
=== Импорт сертификат пользователя ===


На клиенте в модуле [[ЦУС|«Центра управления системой»]] [[Alterator-sslkey|«Управление ключами»]] выделить ключ «myopenvpn (Нет сертификата)»:
На клиенте в модуле [[ЦУС|«Центра управления системой»]] [[Alterator-sslkey|«Управление ключами»]] выделить ключ и нажать кнопку «Изменить»:


[[Файл:Alterator-sslkey2.png|SSL ключ myopenvpn]]
[[Файл:Alterator-sslkey2.png|SSL ключ myopenvpn]]


Нажать кнопку «Изменить», в открывшемся положить сертификат, подписанный УЦ, указав путь до файла output.pem, и нажав кнопку «Положить»:
В открывшемся окне положить сертификат, подписанный УЦ, указав путь до файла output.pem, и нажав кнопку «Положить»:


[[Файл:Alterator-sslkey3.png|Положить сертификат, подписанный УЦ]]
[[Файл:Alterator-sslkey3.png|Положить сертификат, подписанный УЦ]]


В [[Alterator-sslkey|«Управление ключами»]] изменится строка «myopenvpn (Нет сертификата)» на «myopenvpn (Истекает и дата когда)».
В [[Alterator-sslkey|«Управление ключами»]] изменится строка «ключ (Нет сертификата)» на «ключ (Истекает и дата когда)».
 
Все хорошо, ключ создан и активизирован.


=== Импорт сертификата УЦ ===
=== Импорт сертификата УЦ ===
Строка 110: Строка 104:


[[Файл:Alterator-ca2.png|Импорт сертификата УЦ]]
[[Файл:Alterator-ca2.png|Импорт сертификата УЦ]]
{{note|В GUI модуле '''OpenVPN-соединение''' не происходит импорт сертификата УЦ. Можно скопировать файл ca-root.pem в каталог /var/lib/ssl/certs/ в консоли}}


=== Установка OpenVPN-соединения с OpenVPN-server'ом ===
=== Установка OpenVPN-соединения с OpenVPN-server'ом ===
Строка 117: Строка 109:
На клиенте в модуле '''OpenVPN-соединение''' необходимо указать:
На клиенте в модуле '''OpenVPN-соединение''' необходимо указать:


* «Состояние» — «запустить»
* «Состояние» — «запустить»;
 
* «Сервер» — IP адрес сервера или домен;
* «Сервер» — IP адрес сервера или домен
* «Порт» — 1194 (должен быть указан тот же порт, что и на стороне сервера);
 
* «Ключ» — выбрать подписанный на сервере ключ.
* «Порт» — 1194
 
* «Ключ» — выбрать подписанный на сервере ключ


Для применения настроек, нажать кнопку «Применить». Состояние с «Выключено» должно поменяться на «Включено»:
Для применения настроек, нажать кнопку «Применить». Состояние с «Выключено» должно поменяться на «Включено»:
Строка 129: Строка 118:
[[Файл:Alterator-net-openvpn3.png|Настройки соединения]]
[[Файл:Alterator-net-openvpn3.png|Настройки соединения]]


Проверить, появилось ли соединение с сервером можно командой
Проверить, появилось ли соединение с сервером можно командой:


  [root@client ~]#ip a s
  $ ip addr


должно появиться новое соединение tun0. При обычных настройках это может выглядеть так:
Должно появиться новое соединение tun0. При обычных настройках это может выглядеть так:


  tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN qlen 100
  tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN qlen 100
Строка 140: Строка 129:


{{Category navigation|title=Модули Alterator|category=Модули Alterator|sortkey={{SUBPAGENAME}}}}
{{Category navigation|title=Модули Alterator|category=Модули Alterator|sortkey={{SUBPAGENAME}}}}
[[Категория:Модули Alterator]]

Версия от 17:54, 9 марта 2021

Название пакета

alterator-net-openvpn

Назначение

Модуль OpenVPN-соединения позволяет настроить OpenVPN-подключение.

Используя данный модуль можно:

  • создавать/удалять подключения к различным серверам;
  • настраивать параметры подключения.

Запуск

Модуль OpenVPN-соединения доступен как в GUI (раздел Сеть ▷ OpenVPN-соединения):

Интерфейс модуля OpenVPN-соединения

так и в веб-интерфейсе https://ip-address:8080 (раздел Сеть ▷ OpenVPN-соединения):

Веб-интерфейс модуля OpenVPN-соединения

Параметры модуля

Состояние
Позволяет остановить или запустить соединение.
Сервер, порт
Поля для указания ip-адреса сервера и порта для подключения.
Ключ
Выбор ключа, используемого при подключении.
Запускать при загрузке
Автоматическое соединение при загрузке системы.
Маршрут по умолчанию через VPN
Позволяет осуществлять маршрутизацию через VPN-соединение.
Сжатие LZO
Включение/отключение сжатия передаваемых данных. Эта настройка должна быть идентична на стороне сервера и клиента.
Алгоритм шифрования
Список для выбора алгоритма шифрования.
Алгоритм шифрования TLS
Список для выбора алгоритма шифрования для канала управления.
Алгоритм хэширования
Список для выбора алгоритма хэширования.
Отключить согласование алгоритмов шифрования (NCP)
Отключение механизма согласования алгоритмов шифрования. По умолчанию OpenVPN автоматически подбирает алгоритм шифрования, не учитывая алгоритм, заданный в поле «Алгоритм шифрования». Данная опция отключает это поведение и позволяет напрямую использовать алгоритм из поля «Алгоритм шифрования».
Сетевой туннель (TUN), Виртуальное Ethernet устройство (TAP)
Тип соединения. Должен быть выбран тот же тип, что и на стороне сервера.

Использование модуля

Создание соединения

Для создания нового соединения необходимо отметить пункт «Сетевой туннель (TUN)» или «Виртуальное Ethernet устройство (TAP)» (должен быть выбран тот же тип, что и на стороне сервера) и нажать кнопку «Создать соединение»:

Новое соединение

В результате станут доступны настройки соединения:

Настройки соединения

Ключ и запрос на подпись

Далее необходимо создать SSL ключ. Для этого нужно нажать на кнопку «Управление ключами». В открывшемся окне нажать кнопку «Новый…»:

SSL ключи

Заполнить поля «Общее имя (CN)» и «Страна (C)», поставить отметку «(Пере)создать ключ и запрос на подпись» и нажать кнопку «Подтвердить»:

Создать ключ и запрос на подпись

Нажать на кнопку «Забрать запрос на подпись» и сохранить запрос на жесткий диск.

Подписывание запроса на OpenVPN-server

На сервере, в «Центре управления системой» перейти в «Удостоверяющий центр», нажать кнопку «Обзор...», указать путь до запроса на подпись и нажать кнопку «Загрузить запрос»:

Подписывание запроса на OpenVPN-server

Нажать кнопку «Подписать» и сохранить файл output.pem на сервере.

Импорт сертификата удостоверяющего центра

Чтобы получить сертификат удостоверяющего центра следует, на сервере, в «Центре управления системой» перейти в «Удостоверяющий центр», перейти по ссылке «Управление УЦ» (CA management). Загрузить сертификат УЦ, нажав на ссылку ca-root.pem:

Сертификат УЦ

Перенести файлы output.pem и ca-root.pem на компьютер клиента.

Импорт сертификат пользователя

На клиенте в модуле «Центра управления системой» «Управление ключами» выделить ключ и нажать кнопку «Изменить»:

SSL ключ myopenvpn

В открывшемся окне положить сертификат, подписанный УЦ, указав путь до файла output.pem, и нажав кнопку «Положить»:

Положить сертификат, подписанный УЦ

В «Управление ключами» изменится строка «ключ (Нет сертификата)» на «ключ (Истекает и дата когда)».

Импорт сертификата УЦ

На клиенте в модуле OpenVPN-соединение импортировать сертификат УЦ, указав путь до ca-root.pem, и нажав кнопку «Положить»:

Импорт сертификата УЦ

Установка OpenVPN-соединения с OpenVPN-server'ом

На клиенте в модуле OpenVPN-соединение необходимо указать:

  • «Состояние» — «запустить»;
  • «Сервер» — IP адрес сервера или домен;
  • «Порт» — 1194 (должен быть указан тот же порт, что и на стороне сервера);
  • «Ключ» — выбрать подписанный на сервере ключ.

Для применения настроек, нажать кнопку «Применить». Состояние с «Выключено» должно поменяться на «Включено»:

Настройки соединения

Проверить, появилось ли соединение с сервером можно командой:

$ ip addr

Должно появиться новое соединение tun0. При обычных настройках это может выглядеть так:

tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN qlen 100
   link/[none]
   inet 10.8.0.6 peer 10.8.0.5/32 scope global tun0