VPN Tunnel Konfiguration. VPN Tunnel Konfiguration IACBOX.COM. Version Deutsch

Transkript

1 VPN Tunnel Konfiguration Version Deutsch Dieses HOWTO beschreibt die Konfiguration eines VPN Tunnels zu einem (zentralisierten) OpenVPN Server. VPN Tunnel Konfiguration TITEL

2 Inhaltsverzeichnis Inhaltsverzeichnis OpenVPN Server Installation Zertifikat & Schlüssel Erstellung Erstellung mit Easy-RSA OpenVPN Server Konfiguration IAC-BOX Konfiguration Basis Konfiguration Routing Schutz Zugriff auf Dienste VPN Tunnel Konfiguration s 1 12

3 1. OpenVPN Server Installation Bitte beachten Sie folgende Hinweise: Um das VPN Tunnel Modul benutzen zu können muss dieses separat lizensiert werden Es wird nur OpenVPN ab Version unterstützt OpenVPN von der offiziellen Seite beziehen: Die Herstellerseite beinhaltet Informationen, wie OpenVPN auf verschiedenen Betriebssystemen wie Linux, Windows oder Mac OS X installiert werden kann. VPN Tunnel Konfiguration s 2 12

4 2. Zertifikat & Schlüssel Erstellung Um OpenVPN nutzen zu können müssen Zertifikate und Schlüssel sowohl für den OpenVPN-Server, sowie für jeden Client (IAC-BOX), der sich zum OpenVPN-Server verbinden soll, generiert werden. Daher reicht es aus, selbst-signierte SSL-Zertifikate zu verwenden. Es gibt genügend Tools womit die Zertifikate und Schlüssel generiert werden können. Für Windows und Linux empfiehlt es sich das Tool Easy- RSA zu verwenden Erstellung mit Easy-RSA Easy-RSA kann auf folgender Seite bezogen werden: Wechseln Sie nach dem Entpacken in das Verzeichnis easy-rsa/2.0.in welchem sich die verschiedenen build-scripts befinden. Die Zertifikate und Schlüssel werden entsprechend der Konfiguration der vars -Datei generiert. Folgende Parameter sind hierbei anzuwenden: export KEY_SIZE=2048 Die KEY_SIZE sollte mindestens 2048 betragen. Für erweiterte Sicherheit kann auch ein höherer Wert wie z.b verwendet werden. export CA_EXPIRE=3650 Der Wert CA_EXPIRE beschreibt die Anzahl der Tage nach denen der root CA Schlüssel ablaufen wird. export KEY_EXPIRE=3650 Der Wert KEY_EXPIRE beschreibt die Anzahl der Tage nach denen das Zertifikat ablaufen wird. VPN Tunnel Konfiguration s 3 12

5 export KEY_COUNTRY= Dieser 2-stellige ISO-Code beschreibt das Land, in dem Ihr Unternehmen beheimatet ist. Zum Beispiel: DE, US, GB. export KEY_PROVINCE= Staat/Region Ihres Unternehmens. Diese Eingabe sollte nicht gekürzt werden. export KEY_CITY= Die Stadt, in der Ihr Unternehmen beheimatet ist. export KEY_ORG= Der vollständige Name Ihres Unternehmens, mitsamt allen Bezeichnungen wie zum Beispiel In, Corp oder LLC. export KEY_ = Adresse unter der das Unternehmen erreichbar ist. export KEY_OU= Die für das Zertifikat zuständige Abteilung des Unternehmens. export KEY_NAME= Der name des generierten Schlüssels. Zum Beispiel OpenVPN IACBOX. Die Änderungen in der vars -Datei können nun gespeichert werden. Es gilt zu beachten, dass die folgenden Anweisungen auf ein Linux System bezogen werden: Folgende Anweisungen initialisieren die Infrastruktur des öffentlichen Schlüssels (PKI):../vars./build-ca VPN Tunnel Konfiguration s 4 12

6 Um das Zertifikat und den Schlüssel für den OpenVPN Server zu generieren muss folgende Anweisung ausgeführt werden:./build-key-server server-name (Servername kann angepasst werden; zum Beispiel vpnserver ) Nach der Bestätigung mit ENTER müssen folgende Meldungen mit y bestätigt werden: Sign the certificate? [y/n]: y 1 out of 1 certificate requests certified, commit? [y/n]: y Im nächsten Schritt wird das Client Zertifikat und der Client Schlüssel erstellt. Hierfür muss folgende Anweisung ausgeführt werden:./build-key client-name (Client-Name kann angepasst werden; zum Beispiel iacbox1 ) Nach der Bestätigung mit ENTER müssen folgende Meldungen mit y bestätigt werden: Sign the certificate? [y/n]: y 1 out of 1 certificate requests certified, commit? [y/n]: y Im nächsten Schritt wird ein Diffi Hellmann prime generiert. Hierfür muss folgende Anweisung ausgeführt werden:./build-dh VPN Tunnel Konfiguration s 5 12

7 Folgende Dateien sollten nun bereits vorhanden sein: Dateiname Benötigt von Zweck ca.crt Server + alle Clients Root CA Zertifikat ca.key Schlüsselsignierung Root CA Schlüssel dh{n}.pem Server Diffie Hellmann prime vpnserver.crt Server Server Zertifikat vpnserver.key Server Server Schlüssel client1 (iacbox1).crt Client1 (iacbox1) Client1 (iacbox1) Zertifikat client1 (iacbox1).key Client1 (iacbox1) Client1 (iacbox1) Schlüssel Alle generierten Zertifikate und Schlüssel werden im keys/ Verzeichnis gespeichert. Um diese nun für OpenVPN zu verwenden muss das keys/ Verzeichnis in das OpenVPN Verzeichnis kopiert werden. Auf Linux Systemen ist dieses üblicherweise unter /etc/openvpn zu finden; auf Windows Systemen unter C:\Program Files\OpenVPN\config. Um das keys/ Verzeichnis auf einem Linux System zu kopieren, führen Sie folgende Anweisung aus: cp -r keys/ /etc/openvpn Es gilt zu beachten, dass Easy-RSA die Berechtigungen I.d.R. automatisch setzt. Die.key-Dateien sollten nur vom root Benutzer gelesen werden können. VPN Tunnel Konfiguration s 6 12

8 3. OpenVPN Server Konfiguration Folgende Parameter müssem in der OpenVPN Konfiguration überprüft/editiert werden: Port 1194 Der OpenVPN Standard Port ist Falls eine Firewall zwischen dem Server und den Clients steht, muss diese entsprechend konfiguriert werden (eingehend, ausgehend und weiterleitend). Mode Server Der Mode muss auf Server gesetzt sein. ca keys/ca.crt Das Verzeichnis, in dem die CA-Datei liegt. key keys/vpnserver.key Das Verzeichnis, in dem die Schlüssel-Datei liegt. cert keys/vpnserver.crt Das Verzeichnis, in dem das Server-Zertifikat liegt. dh keys/dh2048.pem Das Verzeichnis, in dem die Diffie Helmann Datei liegt. ifconfig In diesem Beispiel ist die die IP-Adresse für das tun1 Interface des OpenVPN Servers und die IP-Adresse für Point-to-Point Verbindungen. VPN Tunnel Konfiguration s 7 12

9 ifconfig-pool Dieser Parameter definiert den DHCP Pool für die OpenVPN Clients. Es gilt zu beachten, dass der Adressbereich /17 bereits für Funktionen der IAC-BOX reserviert ist. route Dieser Parameter setzt eine Route zum Tunnel-Netzwerk /24. Diese Route wird zwingend benötigt und muss vorhanden sein. push route Dieser Parameter definiert die Route für den Client und ermöglicht es der IAC-BOX das Netzwerk /24 über den Tunnel Gateway zu erreichen. client-config-dir ccd Dieses Verzeichnis sollte bereits im Standardverzeichnis erstellt worden sein. Wenn ein neuer Client zum OpenVPN Server verbindet wird dieses Verzeichnis nach der entsprechenden Datei durchsucht. Verbindet ein Client mit dem Namen iacbox1, so wird versucht die Datei iacbox1.vpn zu finden. VPN Tunnel Konfiguration s 8 12

10 In dieser Datei können spezifische Parameter konfiguriert werden, die dann nur auf den entsprechenden Client angewendet werden (IAC-BOX). Zum Beispiel: ifconfig-push Dieser Parameter weist die feste IP-Adresse an den Client (IAC-BOX) und setzt den Standard-Gateway auf iroute Dieser Parameter erstellt eine Client-spezifische Route auf der OpenVPN- Server. In diesem Beispiel wird eine Route zum Surf-LAN-Netzwerk des entsprechenden Client (IAC-BOX) erstellt. Es wird dringend empfohlen, für jede IAC-BOX eine eigene Datei im Verzeichnis ccd/ zu erstellen. VPN Tunnel Konfiguration s 9 12

11 4. IAC-BOX Konfiguration 4.1. Basis Konfiguration Das Modul VPN Tunnel kann im WebAdmin der IAC-BOX unter Module/VPN Tunnel aktiviert werden. Zuerst müssen die entsprechenden Dateien geuploadet werden: - ca.crt - iacbox1.crt - iacbox1.key Nach dem Upload der Dateien muss die eigentliche Konfiguration entsprechend angepasst werden (Standard Port: 1194/UDP). Wenn die Verbindung erfolgreich hergestellt werden kann, so wird die lokale sowie die remote IP Adresse dargestellt. VPN Tunnel Konfiguration s 10 12

12 4.2. Routing Schutz - Vor Surf-LAN schützen: Wenn aktiviert werden alle Verbindungen vom Surf-LAN zum VPN Tunnel blockiert. - Vor Management-LAN schützen: Wenn aktiviert werden alle Verbindungen vom Management-LAN zum VPN Tunnel blockiert. - Verhindere Routing aus dem VPN Tunnel: Wenn aktiviert werden alle Verbindungen vom VPN-Tunnel zum Surf-LAN, Management-LAN und/oder Office-LAN blockiert. Unter Umständen kann Routing aus dem VPN Tunnel benötigt werden. Zum Beispiel: Verbindungen vom VPN Tunnel zum Surf-LAN der IAC-BOX sollen erlaubt werden. Hierfür muss auf dem OpenVPN Server eine Route zum Surf-LAN der IAC-BOX angelegt werden. Dies kann durch das Bearbeiten der entsprechenden Datei im ccd/ Verzeichnis auf dem OpenVPN Server erreicht werden (Route hinzufügen: iroute ). VPN Tunnel Konfiguration s 11 12

13 4.3. Zugriff auf Dienste Wenn die IAC-BOX zum OpenVPN Server verbunden ist, so kann man vom Tunnel aus auf bestimmte Dienste der IAC-BOX zugreifen. Wenn z.b. WebAdmin Zugriff aktiviert ist, so ist es möglich das WebAdmin der IAC-BOX auf dem Server mit der Tunnel IP-Adresse zu erreichen (z.b. Zusätzlich ist es möglich weitere Dienste über Ports erreichbar zu machen. Zum Beispiel: udp:53 Um den DNS Service zu überprüfen tcp:8080 Um den Proxy Sever zu überprüfen Auch können hier mehrere Ports mitsamt Protokoll durch ein einfaches Leerzeichen getrennt werden (z.b. udp:53 tcp:8080). VPN Tunnel Konfiguration s 12 12