Virtual Private Networks mit OpenVPN. Matthias Schmidt Chaostreff Giessen/Marburg

Transkript

1 Virtual Private Networks mit OpenVPN Matthias Schmidt

2 Agenda Einführung Szenarien Protokolle Transport Layer Security v1 pre-shared keys Installation Konfiguration Wichtige Parameter Konfigurationsbeispiel

3 Warum VPN? (Szenario 1) LAN Internet LAN Virtuelles Netz LAN Standort 1 LAN Standort 2 Geographisch getrennte Standorte Keine eigene Netz-Infrastruktur

4 Warum VPN? (Szenario 2) Internet/WLAN LAN LAN Roadwarrior VPN-/Gateway Firmen LAN Ext. IP: VPN IP: Virtuelles Netz Ext. IP: VPN IP: IP: x Externer Mitarbeiter Home-Office Clients im Wireless LAN-Netz

5 OpenVPN Überblick oder warum OpenVPN? OpenVPN tunnelt IP-Netzwerke un- und verschlüsselt über TCP und UDP. OpenVPN unterstützt public-key encryption (TLS) und preshared keys (static keys). Die OpenSSL Library bildet den Kern, d.h. freie Wahl des Krypto-Algorithmus, der Schlüssellänge und des HMAC (Hash Message Authentication Code) digest.

6 OpenVPN Überblick oder warum OpenVPN? (2) OpenVPN läuft unter anderem unter Linux, *BSD, Windows und Mac OS X (cross-platform-tunnels). OpenVPN kann Netze über NAT tunneln und Clients mit wechselnden IP-Adressen (DHCP) bedienen. Kein Patchen des Kernels oder irgendwelcher Userspace- Tools nötig. OpenVPN kann seine root-rechte abgeben und sich in ein chroot-jail einsperren.

7 Agenda Einführung Szenarien Protokolle Transport Layer Security v1 pre-shared keys Installation Konfiguration Wichtige Parameter Konfigurationsbeispiel

8 TLS (Transport Layer Security v1) TLS wird für den dynamischen Schlüsselaustausch und die Authentifizierung der Gegenseite benutzt. TLS wurde, wie SSL, ursprünglich von Netscape für ihren Web-Browser entwickelt. Basiert auf public-key Kryptographie. Vorteilhaft, da man im Gegensatz zu static keying keine Probleme beim Schlüsselaustausch über unsichere Medien hat.

9 TLS (Asymmetrische Kryptographie) VPN Client VPN Server Secret Key Client Public Key Client Verschlüsselte Information Public Key Server Verschlüsselte Information Secret Key Server Der öffentliche (public) Schlüssel kann problemlos über unsichere Medien übertragen werden.

10 TLS (X.509 Zertifikat) Der öffentliche Schlüssel wird zusätzlich noch von einer Certificate Authority (CA) signiert, um die Authenzität des Gegenübers zu gewährleisten. Damit wird versucht Man-in-the-Middle Attacken entgegen zuwirken. OpenVPN benutzt zwei Kanäle, wenn es im TLS-Modus arbytet. Einen Kontrol- und einen Daten-Kanal.

11 TLS (OpenVPN Kanäle) Auf dem Kontrol-Kanal werden in einer TLS-Session zufällig generierte Chiffren und HMAC keys ausgetauscht. Diese Keys werden zum Verschlüsseln und Authentifizieren des Daten-Kanals genutzt. Beide Kanäle laufen über einen TCP/UDP Port.

12 Pre-shared secret keys Der größte Vorteil gegenüber TLS ist das einfachere Verfahren, dafür ist der Transport des secret key aufwändiger. Der Transportkanal muss sicher sein (Verschlüsseln des symmetrischen Keys mit einem asymmetrischen Key :) ). Ist der Schlüssel bekannt, kann jeglicher Traffic entschlüsselt werden.

13 Agenda Einführung Szenarien Protokolle Transport Layer Security v1 pre-shared keys Installation Konfiguration Wichtige Parameter Konfigurationsbeispiel

14 Installation OpenVPN kann direkt von Sourceforge entwerder als Source-Tarball oder z.b. als Window$-Client herunter geladen werden. Nach dem Entpacken mit configure, make und make install installieren. Gegebenenfalls OpenSSL-dev oder liblzo-dev nachinstallieren. Falls das VPN über einen langsamen Link läuft, sollte LZO- Kompression eingeschaltet/-kompiliert werden.

15 Konfiguration (pre-shared key) Erstellen eines pre-shared keys mit openvpn --genkey --secret <file> und an die Rechner verteilen (möglichst sicher :) ). Alle Parameter können entweder auf der Kommandozeile angegeben oder (ohne --) in eine Datei geschrieben werden (openvpn --config <file>). Als erstes sind das device (tun), die IP/FQDN unseres VPN Partners und die Virtuellen IPs wichtig.

16 Konfiguration (2) Der Speicherort des Schlüssels darf natürlich auch nicht fehlen. Zudem kann noch Kompression oder ein Intervall-Ping eingestellt werden. Wer auf Sicherheit Wert legt (Wir!), sollte noch ein chrootjail und einen unpriviligierten Benutzer angeben. Weitere Optionen sind unter openvpn(8) zu finden.

17 Konfiguration (3) Beispiel Konfiguration(s-Datei) für einen Roadwarrior dev tun1 # device port 5000 # Port remote # Reale[TM] IP des Tunnel-Endpunktes ifconfig # Virtuelle IPs secret static.key # static key up./script.sh verb 1 comp-lzo ping n persist-tun persist-key user openvpn group openvpn chroot /var/emtpty # Laden von./script.sh # verbosity level # LZO Kompression # UDP Ping alle n Sekunden # device bei SIGUSR1 nicht schliessen # key bei SIGUSR1 nicht neu einlesen # Unpriviligierter User # Unpriviligierte Gruppe # chroot-jail

18 Die Realität Tunnel device (via ifconfig) tun1 Link encap:point-to-point Protocol inet addr: P-t-P: Mask: UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1259 Metric:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:5 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:10 RX bytes:0 (0.0 b) TX bytes:210 (210.0 b) Verbindungsaufbau (via syslog) openvpn[11052]: OpenVPN 1.5-beta8 i686-pc-linux-gnu [SSL] [MTU-DYNAMIC] openvpn[11052]: TUN/TAP device tun1 opened openvpn[11052]: /sbin//ifconfig tun pointopoint openvpn[11052]:./ip-up.sh tun init openvpn[11052]: chroot to '/var/empty' and cd to '/' succeeded openvpn[11057]: GID set to openvpn openvpn[11057]: UID set to openvpn openvpn[11057]: UDPv4 link local (bound): [undef]:5000 openvpn[11057]: UDPv4 link remote: :5000 openvpn[11057]: Peer Connection Initiated with :5000

19 Rest Fragen? [Website, Download, HOWTO] [SSL Library, Download] [X.509, SSL Infos] Informationen zum unter http(s)://giessen.ccc.de