Openvpn

[Dareksbs 0]

Witam,

 

Jaka różnica jest pomiędzy serwerem openvpn instalowanym z pliku .deb (z panelem zarządzania) a zwykłym serwerem instalowanym przez apt-get install openvpn bez panelu ?? I który jest bezpieczniejszy ?

[ToFFiK 33]

W oficjalnych repozytoriach zazwyczaj są stare paczki

[Dareksbs 0]

W oficjalnych repozytoriach zazwyczaj są stare paczki

Czyli lepiej instalować z .deb z panelem ?

Jeszcze jedno pytanie, czy taki panel jest bezpieczny ?

[spindritf 240]

W oficjalnych repozytoriach mogą być stare paczki (chociaż to zależy od dystrybucji i wydania), ale masz gwarancję, że ktoś czuwa i go aktualizuje, podczas gdy przy instalacji z jednorazowo pobranej paczki .deb takiej gwarancji nie masz. w 90% przypadków najlepiej instalować oprogramowanie z repozytorium.

[Pan Kot 1535]

Stare nie znaczy nie aktualizowane, dla tego przykładu Debian zarówno w swoim wydaniu stable, jak i późniejszym oldstable czuwa nad poprawkami bezpieczeństwa i nawet pomimo tego, że wersja "bazowa" jest zamrożona, to wszystkie łatki bezpieczeństwa są backportowane i nierzadko jest to bezpieczniejsza opcja, w szczególności z powodu łatwości aktualizacji i pakietów takich jak unattended-upgrades, które robią to za nas.

[Dareksbs 0]

Stare nie znaczy nie aktualizowane, dla tego przykładu Debian zarówno w swoim wydaniu stable, jak i późniejszym oldstable czuwa nad poprawkami bezpieczeństwa i nawet pomimo tego, że wersja "bazowa" jest zamrożona, to wszystkie łatki bezpieczeństwa są backportowane i nierzadko jest to bezpieczniejsza opcja, w szczególności z powodu łatwości aktualizacji i pakietów takich jak unattended-upgrades, które robią to za nas.

Czyli reasumując, bezpieczniej będzie użyć apt-get z kluczami (2048) niż .deb na zwykły login i hasło

[spindritf 240]

Tak.

[Dareksbs 0]

Miał ktoś kiedyś taki problem że klient openvpn zacina się na połączeniu ? Mieli mieli coś i nic, na serwerze żadnych logow nie ma.

[robson345 53]

Firewalla jakiegoś masz zainstalowanego na serwerze?

[furek 37]

Miał ktoś kiedyś taki problem że klient openvpn zacina się na połączeniu ? Mieli mieli coś i nic, na serwerze żadnych logow nie ma.

 

Pokaż logi jakie są dostępne a jak ich nie ma to dodaj do configu

 

log openvpn.log

verb 1

 

I sprawdź co jest grane.

 

Jeżeli zaś chodzi o rozwiązanie openvpn biznesowe, to jest to bardzo dobre i bezpieczne.

[Dareksbs 0]

 

Pokaż logi jakie są dostępne a jak ich nie ma to dodaj do configu

 

log openvpn.log

verb 1

 

I sprawdź co jest grane.

 

Jeżeli zaś chodzi o rozwiązanie openvpn biznesowe, to jest to bardzo dobre i bezpieczne.

Komputer.ovpn :

client
dev tun
proto udp

# enter the server's hostname
# or IP address here, and port number
remote **.185.***.*10 1194

resolv-retry infinite
nobind
persist-key
persist-tun

# Use the full filepaths to your
# certificates and keys
ca ca.crt
cert user1.crt
key user1.key

ns-cert-type server
comp-lzo
verb 6

server.comf :

 

port 1194
proto udp
dev tun

# the full paths to your server keys and certs
ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/server.crt
key /etc/openvpn/keys/server.key
dh /etc/openvpn/keys/dh2048.pem

cipher BF-CBC

# Set server mode, and define a virtual pool of IP
# addresses for clients to use. Use any subnet
# that does not collide with your existing subnets.
# In this example, the server can be pinged at 10.8.0.1
server 10.8.0.0 255.255.255.0

# Set up route(s) to subnet(s) behind
# OpenVPN server
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"

ifconfig-pool-persist /etc/openvpn/ipp.txt
keepalive 10 120
status openvpn-status.log
verb 6

IPv4 forward w sysctl jest odblokowany.

 

Mogę sie połączyć ale po połączeniu wszystko leci przez domowe łącze...

Aaaa no i logi :

 

Jun 14 15:00:17 testvpn ovpn-server[7156]: darek/***.***.***.54:50010 UDPv4 WRITE [53] to [AF_INET]***.***.***.54:50010: P_DATA_V1 kid=0 DATA len=52
Jun 14 15:00:27 testvpn ovpn-server[7156]: darek/***.***.***.54:50010 UDPv4 WRITE [53] to [AF_INET]***.***.***.54:50010: P_DATA_V1 kid=0 DATA len=52
Jun 14 15:00:37 testvpn ovpn-server[7156]: darek/***.***.***.54:50010 UDPv4 WRITE [53] to [AF_INET]***.***.***.54:50010: P_DATA_V1 kid=0 DATA len=52
Jun 14 15:00:47 testvpn ovpn-server[7156]: darek/***.***.***.54:50010 UDPv4 WRITE [53] to [AF_INET]***.***.***.54:50010: P_DATA_V1 kid=0 DATA len=52
Jun 14 15:00:57 testvpn ovpn-server[7156]: darek/***.***.***.54:50010 UDPv4 WRITE [53] to [AF_INET]***.***.***.54:50010: P_DATA_V1 kid=0 DATA len=52
Jun 14 15:01:07 testvpn ovpn-server[7156]: darek/***.***.***.54:50010 UDPv4 WRITE [53] to [AF_INET]***.***.***.54:50010: P_DATA_V1 kid=0 DATA len=52
Jun 14 15:01:17 testvpn ovpn-server[7156]: darek/***.***.***.54:50010 UDPv4 WRITE [53] to [AF_INET]***.***.***.54:50010: P_DATA_V1 kid=0 DATA len=52

[furek 37]

Czyli , poczekaj bo nie rozumiem chyba..

Połączenie VPN zapina się, ale ruch jest wysyłany przez Twoje łącze domowe a chcesz, żeby ruch wychodził przez VPN ?

 

Jeżeli tak to dodaj do configu:

push "redirect-gateway def1 bypass-dhcp"

 

Warto określić też ilość połączeń

max-clients 10

 

No i odpalać z prawami:

user nobody
group nogroup

 

oraz

 

persist-key
persist-tun

client-to-client

 

Żeby nie tracić adresów.

 

[Dareksbs 0]

Czyli , poczekaj bo nie rozumiem chyba..

Połączenie VPN zapina się, ale ruch jest wysyłany przez Twoje łącze domowe a chcesz, żeby ruch wychodził przez VPN ?

 

Jeżeli tak to dodaj do configu:

push "redirect-gateway def1 bypass-dhcp"

 

Warto określić też ilość połączeń

max-clients 10

 

No i odpalać z prawami:

user nobody

group nogroup

 

oraz

 

persist-key

persist-tun

client-to-client

 

Żeby nie tracić adresów.

 

Dodałem te ustawienia na serwerze, aktualnie jest zmiana bo po połączeniu nie mogę sie połączyć z żadna stroną wiec połączenia z serwerem jest tylko nie wypuszcza i wpuszcza niczego...

 

Wydaje mi sie ze to przez iptables, jakie regułki muszę dodać aby odblokować ten proces ?

Aktualnie mam :

Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     gre  --  anywhere             anywhere
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:openvpn

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

[Pan Kot 1535]

iptables -t nat -I POSTROUTING -s 10.8.0.0/24 -j MASQUERADE

 

Bez tego nic nie wyjdzie na świat.