OpenVPNインストール(tapモード) の履歴(No.6)

• 履歴一覧
• 差分 を表示
• 現在との差分 を表示
• ソース を表示
• OpenVPNインストール(tapモード) へ行く。
  • 1 (2018-08-09 (木) 13:21:40)
  • 2 (2018-08-09 (木) 15:43:27)
  • 3 (2018-08-10 (金) 14:18:06)
  • 4 (2018-08-12 (日) 13:04:20)
  • 5 (2018-08-12 (日) 21:27:24)
  • 6 (2018-08-13 (月) 10:12:16)
  • 7 (2018-08-13 (月) 23:23:58)
  • 8 (2018-08-17 (金) 15:42:05)
  • 9 (2018-08-21 (火) 12:30:49)

---

CentOS7

Firewallの設定変更†

firewallへTCP 1194の通信許可を設定

OpenVPNインストール†

OpenVPNとeasy-rsaをepelリポジトリからインストールします。

認証局の設置†

バージョンアップで設定ファイルや証明書が変更されるのを防ぐために新しいディレクトリを作り、そこに設定ファイルなどを保存する運用を行う。

認証局（CA）情報の初期化とディレクトリ作成†

認証局（CA）の作成†

• CA証明書(ca.crt)およびCA秘密鍵(ca.key)が作成されます
• 入力したパスフレーズは、CA秘密鍵(ca.key)のパスフレーズになります

DHパラメータ作成†

DHパラメータ(dh.pem)が作成されます。

ta.key作成†

tls-authを設定しておくと、VPNセッション開始時のパケットをHMACで認証し、認可されないパケットは破棄されるため、DDoS攻撃を防ぐことができる。オープンなVPNサーバーを建てる時には設定しておくことがオススメらしい。ta.keyは静的共有鍵なので、安全な方法で配送される必要がある。

サーバー用の証明書と秘密鍵の作成†

VPNサーバー「hogehoge.com」用の証明書と秘密鍵をパスフレーズ無しで作成します。

サーバー用の証明書(hogehoge.com.crt)および秘密鍵(hogehoge.com.key)が作成されます

クライアント用の証明書と秘密鍵の作成†

クライアント「client01」用の証明書と秘密鍵をパスフレーズ無しで作成します。

クライアント用の証明書(client01.crt)および秘密鍵(client01.key)が作成されます

OpenVPNの設定†

サーバー設定†

証明書のコピー

サーバーのコンフィグファイルのひな型をコピー

コンフィグファイル(server.conf)の編集

ipp.txtの記述方法†

ここで固定指定されていないユーザーについては、サーバー設定ファイルに記載された範囲内で、使用されていないものが順番に使用される。

起動テスト†

別ターミナルを起動してログイン後にログを表示させる

設定中のターミナルで起動テストを実行

※こんな感じのログが出ればOK

bridge-utilsパッケージのインストール†

bridge-utils がインストールされていなければインストールします。

bridge-utils インストール

ブリッジ起動・終了スクリプトの設置†

ブリッジ起動用スクリプトを編集†

#!/bin/sh

#################################
# Set up Ethernet bridge on Linux
# Requires: bridge-utils
#################################

# Define Bridge Interface
br=“br0”

# Define list of TAP interfaces to be bridged,
# for example tap=”tap0 tap1 tap2″.
tap=“tap0”

# Define physical ethernet interface to be bridged
# with TAP interface(s) above.
eth=“dummy0”
eth_ip=“10.8.0.10”
eth_netmask=“255.255.255.0”
eth_broadcast=“10.8.0.255”
gw=”10.8.0.1″ # デフォゲ抹消対策

for t in $tap; do
openvpn -mktun -dev $t
done

brctl addbr $br
brctl addif $br $eth

for t in $tap; do
brctl addif $br $t
done

sleep 1 # eth0 リアップ待機処理追加

for t in $tap; do
ifconfig $t 0.0.0.0 promisc up
done

sleep 1 # eth0 リアップ待機処理追加

ifconfig $eth 0.0.0.0 promisc up

ifconfig $br $eth_ip netmask $eth_netmask broadcast $eth_broadcast

route add default gw $gw # Default Gateway抹消対策

ブリッジ停止用スクリプトを編集†

#!/bin/sh

####################################
# Tear Down Ethernet bridge on Linux
####################################

# Define Bridge Interface
br=“br0”

# Define list of TAP interfaces to be bridged together
tap=“tap0”

ifconfig $br down
brctl delbr $br

for t in $tap; do
openvpn -rmtun -dev $t
done

systemctl restart network # ブリッジダウン後すべてのIPが消される対策  

OpenVPNの起動プロセスにブリッジ起動・停止スクリプトを埋め込む†

起動は「ブリッジの起動　–>　OpenVPNの起動」、停止は「OpenVPNの停止　–>　ブリッジの停止」である必要がある。

case “$1″ in
start)
echo -n $”Starting openvpn: ”
/etc/openvpn/bridge-start
/sbin/modprobe tun >/dev/null 2>&1
echo 1 > /proc/sys/net/ipv4/ip_forward # 転送を有効にする

～略～

stop)

～略～

# Run shutdown script, if defined
if [ -f $work/openvpn-shutdown ]; then
$work/openvpn-shutdown
fi
echo 0 > /proc/sys/net/ipv4/ip_forward # 転送を無効にする
/etc/openvpn/bridge-stop

ダミー(dummy)インターフェースを作成する†

再起動後、ダミーインターフェースの存在確認†

再起動

確認

サービスとして起動†

サービスとして起動

サービス状態確認

サービス自動起動