Installazione OPENVPN per la gestione degli hotspot D-Star connessi su rete 3G - PARTE 1 - SERVER

Transcript

1 Installazione OPENVPN per la gestione degli hotspot D-Star connessi su rete 3G - PARTE 1 - SERVER Premessa: la necessità di implementare questo sistema è nata dal voler connettere i nostri ponti ripetitori e hotspot d- star ubicati in postazioni remote e connessi ad internet tramite rete cellulare 3G. Non disponendo di IP pubblico statico e, soprattutto, non potendo gestire NAT sui router 3G connessi ai nostri raspberry pi (o problemi con operatori di telefonia mobile che non permettono questo tipo di connessione essendo in qualche modo bloccata), abbiamo pensato all attivazione di una soluzione a stella, ovvero ogni sistema remoto connesso ad un server centrale, e da qui la relativa interconnessione anche tra i vari client. Ringrazio Matteo IZ5WGA che per primo ci ha fatto provare questa configurazione ospitandoci per dei test su di un suo server e dalla guida da lui preparata ho preso spunti e frammenti di testo. Mi scuso per eventuali errori o mancanze, ogni segnalazione è ben accetta all indirizzo mail ik5xmk@gmail.com Una VPN è una rete privata virtuale: la sua implementazione consente ad apparati, appartenenti a segmenti di rete diversi, di vedersi l un l altro come se appartenessero ad un medesimo segmento. La configurazione denominata road warrior consiste nel predisporre un server centrale al quale si connetteranno i client e che funzionerà da centro stella della rete. Tale server avrà unicamente la funzione di collante : suo requisito è avere la raggiungibilità mediante IP pubblico. OpenVPN è un software rilasciato con licenza GPL e ha lo scopo di creare tunnel cifrati mediante Openssl in

2 modalità punto-punto tra apparati di rete remoti. L autenticazione che utilizzeremo è basata sullo scambio di certificati digitali. Su ogni macchina che effettuerà l autenticazione (server incluso) verrà creata un interfaccia virtuale che assumerà uno degli indirizzi IP disponibili nel pool specificato nei file di configurazione del server (tale pool sarà comunque una classe privata); quando una macchina appartenente alla VPN vorrà comunicare con un altra anch essa appartenente, le richieste verranno automaticamente girate attraverso il canale privato, e l instradamento sarà effettuato sfruttando l indirizzo così ottenuto. Nei sistemi unix like questo è possibie grazie al load di un modulo chiamato tun (nei raspberry viene caricato di default); nei sistemi Microsoft Windows verrà invece installato un Win32Tap Driver. Si capisce come, riducendo ogni macchina remota ad essere un componente di una rete privata virtuale, il nat introdotto dai provider non sia un problema. Il server si dovrà occupare di creare i certificati da distribuire agli apparati remoti, quindi la configurazione non si limita alla mera stesura di un file di configurazione, ma anche alla creazione del certificato CA, al Diffie Hellman e alle chiavi. Si presuppone che i comandi siano tutti impartiti da root e che siamo su un server Debian linux, oppure un raspberry. Nel nostro caso abbiamo creato un Server OpenVpn per il Gruppo Radio Firenze che opera su Raspberry Pi. Procediamo con i comandi: per prima cosa diventiamo amministratori (root) ed aggiorniamo il sistema sudo -s apt-get update apt-get upgrade ed installiamo quanto necessario

3 apt-get install openvpn -y apt-get install openssl -y copiamo adesso quanto necessario nella dir di configurazione (che è /etc/openvpn), attenzione allo spazio dopo -r e dopo rsa cp -r /usr/share/doc/openvpn/examples/easy-rsa /etc/openvpn cd /etc/openvpn/easy-rsa/2.0 possiamo personalizzare il contenuto del file vars, come ben commentato al suo interno, personalmente ho lasciato tutto di default nano vars e procediamo con la creazione dei certificati (certificato CA, DH, chiave e certificato per il server e per ogni client) source./vars./clean-all./build-ca./build-key-server server importante, rispondere affermativamente (Y) alle richieste: Sign the certificate? [y/n] e 1 out of 1 certificate requests certified, commit? [y/n] procediamo adesso con la creazione dei certificati dei client che si collegheranno al nostro server, uno per ogni sistema./build-key client1./build-key client2 etc.

4 ed infine./build-dh se occorre successivamente aggiungere altri client, possiamo farlo tranquillamente ripetendo questi passaggi source./vars./build-key clientxx./build-key clientxxx etc. Passiamo quindi alla creazione del file di configurazione vero e proprio, cioè quello che decide come i client si autenticano e crea la VPN. Copiamo i file di certifcato del server in /etc/openvpn (attenzione alla sintassi, es. dopo ca.crt c è uno spazio e poi un punto) cd /etc/openvpn cp easy-rsa/2.0/keys/ca.crt. cp easy-rsa/2.0/keys/server.crt. cp easy-rsa/2.0/keys/server.key. cp easy-rsa/2.0/keys/dh1024.pem. e creiamo il file di configurazione. Per OpenVPN qualsiasi file con estensione.conf all interno /etc/openvpn è un file di configurazione. Questo per dire che si possono tirare su più VPN contemporaneamente nano server.conf ecco il contenuto del mio file di configurazione, con indicata la rete privata che utilizzeremo per l interconnessione con i client, il server prenderà l ip (per ulteriori spiegazioni sui vari comandi rimando alla documentazione presente su

5 to.html ) port 1194 proto tcp dev tun ca ca.crt cert server.crt key server.key dh dh1024.pem server ifconfig-pool-persist /etc/openvpn/ipp.txt client-to-client keepalive verb 3 status /var/log/openvpn-status.log persist-key persist-tun reneg-sec 3600 user nobody group nogroup bene, adesso occorre fare gli ultimi due passaggi, ovvero impostare l avvio del servizio in automatico service openvpn start che, nel caso riportasse un errore (failed) probabilmente è da imputare ad una errata scrittura del file di configurazione ovvero i comandi entro contenuti, e, importante, girare sul router la NAT con porta 1194 TCP verso l ip del nostro server Il server è pronto, non rimane altro che prendere i seguenti file presenti in /etc/openvpn/easy-rsa/2.0/keys (con winscp se stiamo usando windows) e creare dei pacchetti di configurazione da copiare nei client (sotto /etc/openvpn se linux o nella dir conf del programma client sotto windows) ca.crt client1.key

6 client1.crt e aggiungiamo anche il file di configurazione nano client1.conf con le seguenti righe, modificando con l ip pubblico statico del server dove indicato client remote IP_PUBBLICO_DEL_SERVER 1194 dev tun proto tcp ca ca.crt cert client1.crt key client1.key e, con appunto i file ca.crt client1.key client1.crt client1.conf creiamo il file compattato linuxclient.zip stessa cosa per il file clientwindows.zip dove l unica differenza sarà l estensione del file di configurazione, ovvero.ovpn anzichè.conf Per ogni client dovremo preparare il relativo file compattato, a seconda del sistema operativo utilizzato. La seconda parte di questa guida riporta l installazione lato client della nostra rete privata virtuale.