Различия
Показаны различия между двумя версиями страницы.
| Предыдущая версия справа и слева Предыдущая версия Следующая версия | Предыдущая версия | ||
|
itms_docs:study:it:ovpn [2020/11/02 03:44] anton |
— (текущий) | ||
|---|---|---|---|
| Строка 1: | Строка 1: | ||
| - | ==== Описание настройки, | ||
| - | [[https:// | ||
| - | === Установка === | ||
| - | * Скачиваем дистрибутив https:// | ||
| - | * На ПК должен быть установлен Total Commander и NotePad++ для более удобной работы | ||
| - | * Устанавливаем дистрибутив, | ||
| - | * Проверяем наличие в переменной PATH пути C:\Program Files\OpenVPN\bin если нет добавляем | ||
| - | === Генерация ключей и сертификатов === | ||
| - | Если ключи и сертификаты были сгенерированы ранее и нужно добавитьили отозвать клиентский сертификат, | ||
| - | - стадию генерации общих ключей и сертификатов пропускаем | ||
| - | - удаляем все из каталога C:\Program Files\OpenVPN\easy-rsa\keys | ||
| - | - копируем файлы для генерации из DropBox\ITMS\OPENVPN__client_Config\Папка клиента\files_for_gen в C:\Program Files\OpenVPN\easy-rsa\keys | ||
| - | - действуем по инструкции в части генерации или отзыва сертификатов для клиента | ||
| - | Описание для первоначальной генерации ключей и сертификатов. | ||
| - | * Открываем консоль от имени Администратора и переходим в каталог | ||
| - | * Генерируем общие ключи и сертификаты: | ||
| - | * Открываем консоль от имени Администратора | ||
| - | * Переходим в каталог C:\Program Files\OpenVPN\easy-rsa | ||
| - | * Подготавливаем среду запуска | ||
| - | * Запускаем < | ||
| - | * Создаем пустые файлы индекса и серий | ||
| - | * Запускаем < | ||
| - | * Запускаем < | ||
| - | * Генерируем корневой сертификат и ключ ca.crt и ca.key | ||
| - | * Запускаем < | ||
| - | * Запускаем < | ||
| - | * Генерируем | ||
| - | * Переходим в каталог | ||
| - | * Запускаем < | ||
| - | * Генерируем ключи и сертификаты для сервера | ||
| - | * Генерируем ключ Диффи Хелмана | ||
| - | * Запускаем < | ||
| - | * Запускаем < | ||
| - | * Генерируем сертификат и ключ | ||
| - | * Запускаем < | ||
| - | * Запускаем < | ||
| - | * Генерируем ключи и сертификаты для клиента | ||
| - | * Генерируем сертификат и ключ | ||
| - | * Запускаем < | ||
| - | * Запускаем < | ||
| - | * Заполнение полей при генерации сертификата: | ||
| - | * /C=RU | ||
| - | * /ST=PK | ||
| - | * /L=Vl | ||
| - | * /O=EDW | ||
| - | * / | ||
| - | * / | ||
| - | * / | ||
| - | * / | ||
| - | * / | ||
| - | === Отзыв сертификатов === | ||
| - | * [[https:// | ||
| - | * Открываем консоль от имени Администратора и переходим в каталог | ||
| - | * Запускаем < | ||
| - | * Запускаем < | ||
| - | * Проверить последнюю строку вывода, | ||
| - | * Скопировать файл crl.pem | ||
| - | * Убедиться в том, что конфиг сервера содержит незакомментированную строку | ||
| - | * Для скорейшего применения настроек перезапустить службу сервера OpenVPN | ||
| - | |||
| - | === Описание общих файлов, | ||
| - | ^ Файлы для сервера | ||
| - | ^ ^ Сервер ^ Клиент ^ Секретно да/нет ^ Пояснение ^ | ||
| - | ^ ca.crt | ||
| - | ^ dh{n}.pem | ||
| - | ^ server.crt | ||
| - | ^ server.key | ||
| - | ^ ta.key | ||
| - | |||
| - | ^ Файлы для клиента | ||
| - | ^ ^ Сервер ^ Клиент ^ Секретно да/нет ^ Пояснение ^ | ||
| - | ^ ca.crt | ||
| - | ^ client1.crt | ||
| - | ^ client1.key | ||
| - | ^ ta.key | ||
| - | |||
| - | ^ Файлы для генерации новых ключей и сертификатов | ||
| - | ^ ^ Пояснение ^ | ||
| - | ^ ca.crt | ||
| - | ^ ca.key | ||
| - | ^ index.txt | ||
| - | ^ index.txt.attr | | | ||
| - | |||
| - | === Типовой конфиг для сервера === | ||
| - | Полный вариант в каталоге: | ||
| - | < | ||
| - | # Which TCP/UDP port should OpenVPN listen on? | ||
| - | port 1194 | ||
| - | # TCP or UDP server? | ||
| - | proto udp | ||
| - | # "dev tun" will create a routed IP tunnel | ||
| - | dev tun | ||
| - | # SSL/TLS | ||
| - | ca key\\ca.crt | ||
| - | cert key\\server.crt | ||
| - | key key\\server.key | ||
| - | # Diffie hellman parameters. | ||
| - | dh key\\dh2048.pem | ||
| - | #TLS AUTH key | ||
| - | tls-auth key\\ta.key | ||
| - | # Configure server mode and supply a VPN subnet | ||
| - | server 10.10.14.0 255.255.255.0 # Используй свободную подсеть (14 принадлежит Эдельвейсу) | ||
| - | # Maintain a record of client <-> virtual IP address associations in this file. | ||
| - | ifconfig-pool-persist ipp.txt | ||
| - | </ | ||
| - | === Типовой конфиг для клиента === | ||
| - | Полный вариант в каталоге: | ||
| - | < | ||
| - | # Specify that we are a client | ||
| - | client | ||
| - | # Use the same setting as you are using on the server. | ||
| - | dev tun | ||
| - | # Use the same setting as you are using on the server. | ||
| - | proto udp | ||
| - | # The hostname/IP and port of the server. | ||
| - | remote 8.8.8.8 6011 # Обратить внимание на номер порта 6011 для проброса 1194 прямой | ||
| - | # Keep trying indefinitely to resolve the host name of the OpenVPN server. | ||
| - | resolv-retry infinite | ||
| - | # Most clients don't need to bind to # a specific local port number. | ||
| - | nobind | ||
| - | # Try to preserve some state across restarts. | ||
| - | persist-key | ||
| - | persist-tun | ||
| - | # SSL/TLS parms. | ||
| - | < | ||
| - | < | ||
| - | < | ||
| - | < | ||
| - | # Verify server certificate by checking that the certicate has the correct key usage set. | ||
| - | remote-cert-tls server | ||
| - | # Select a cryptographic cipher. | ||
| - | cipher AES-256-CBC | ||
| - | # Set log file verbosity. | ||
| - | verb 3 | ||
| - | </ | ||
| - | === Продление срока жизни файла отзыва сертификатов OVPN === | ||
| - | * Если файл отзыва был сгенерирован с параметрами по дефолту (в файле openssl-1.0.0.cnf, | ||
| - | < | ||
| - | * Mon Nov 02 10:13:34 2020 VERIFY OK: depth=1, C=RU, ST=PK, L=VL, O=Edelweiss, | ||
| - | * Mon Nov 02 10:13:34 2020 VERIFY KU OK | ||
| - | </ | ||
| - | как будто сертификат отозван. | ||
| - | * Нужно продлить срок файла отзыва. Для этого на локальном пк: | ||
| - | * Переходим в каталог c:\Program Files\OpenVPN\easy-rsa\ | ||
| - | * Открываем файл openssl-1.0.0.cnf исправляем срок жизни в строке default_crl_days например на 1000 дней | ||
| - | * Из ДропБокса (e: | ||
| - | * Запускаем консоль переходим в каталог c:\Program Files\OpenVPN\easy-rsa\ | ||
| - | * Команда vars | ||
| - | * Команда пересоздания файла отзыва | ||
| - | < | ||
| - | openssl ca -gencrl -keyfile " | ||
| - | </ | ||
| - | * Проверяем созданный файл отзыва, | ||
| - | < | ||
| - | openssl crl -inform PEM -in " | ||
| - | </ | ||
| - | * Копируем файлы обратно а ДропБокс с заменой | ||
| - | * Копируем файл отзыва из ДропБокса на проблемный сервер, | ||
| - | |||