Praktikum Protokolle SS2007 FH-OOW. VPN Dokumentation. Jian You und Adil Lassaoui Seit 1 von 17

Transkript

1 VPN Dokumentation Jian You und Adil Lassaoui Seit 1 von 17

2 Inhaltsverzeichnis 1. Einleitung Aufgabenbeschreibung Unsere Aufbaustruktur DHCP Server Installation des DHCP Servers Konfiguration des DHCP Servers OpenVPN OpenVPN und Installation zwei Arten der Authentifizierung PSK Zertifikaten Konfiguration von OpenVpn Konfiguration(Authentifizierung durch Static-key) Konfiguration (Authentifizierung durch Zertifikaten) OpenVPN starten und testen Zugriff auf Ressourcen durch VPN-Verbindung...16 Jian You und Adil Lassaoui Seit 2 von 17

3 1. Einleitung 1.1 Aufgabenbeschreibung : Notebook (in Labor Netz) wird durch einen verschlüsselten Tunnel an ein Intranet(lokal Netz) anzubinden. Den Nutzern soll der Zugriff auf Ressourcen gewaehrt werden, die nur im Intranet zur Verfügung stehen (beispielsweise interne technische Dokumente, die von Servicemitarbeitern benoetigt werden.) Die Vergabe der IP-Adressen sollte mittels DHCP-Server dynamisch vorgenommen werden. Zur Realisierung der Aufgabe haben wir Linux (Debian) Server aufgesetzt. Der Server hatte 2 Netzwerkkarten, war gleichzeitig DHCP-Server und OpenVPN installiert. 1.2 Unsere Aufbaustruktur : Jian You und Adil Lassaoui Seit 3 von 17

4 2. DHCP Server 2.1 Installation des DHCP Servers Die Paketinstallation erfolgt unter Debian wie moeglich: apt-get install dhcp3-server Alternativ kann man die deb-pakete natuerlich auch per Hand herunterladen und mit dpkg -i installieren. 2.2 Konfiguration des DHCP Servers /etc/network/interfaces # This file describes the network interfaces available on your system # and how to activate them. For more information, see interfaces(5). # The loopback network interface auto lo iface lo inet loopback #auto eth0 iface eth0 inet static network broadcast address netmask gateway auto eth0 iface eth1 inet static address netmask auto eth1 In der interfaces wird eingestellt, wie die Netzwerkarte(n) unsere IP-Adressen erhalten. /etc/dhcp3/dhcpd.conf mit dynamischer IP-Vergabe # Minimale Ausleihzeit in Sekunden (1 Stunde) default-lease-time 3600; # Maximale Ausleihzeit in Sekunden (24 Stunden) max-lease-time 86400; Jian You und Adil Lassaoui Seit 4 von 17

5 # Für die Netzwerkkarte eth1 (LAN) gelten folgende Einstellungen subnet netmask { # Domainname = TestLan option domain-name "TestLan"; # wenn wir DNS Server installieren diesen hier. option domain-name-servers ; # Internet-Gateway option routers ; # Netzmaske option subnet-mask ; # dynamische Zuweisung bei fremden Rechnern im LAN range ; } /etc/default/dhcp3-server In dieser Datei muss das Netzwerkgeraet genannt werden, auf welchem der DHCP-Server laeuft. INTERFACES="eth1" Mit /etc/init.d/dhcp3-server start wird der DHCP-Server gestartet Jian You und Adil Lassaoui Seit 5 von 17

6 3. OpenVPN 3.1 OpenVPN und Installation OpenVPN ist ein Programm zur Herstellung eines Virtuellen Privaten Netzwerkes (VPN) über eine verschlüsselte TLS-Verbindung. Zur Verschlüsselung werden dazu die Bibliotheken des Programmes OpenSSL benutzt. OpenVPN verwendet wahlweise UDP oder TCP zum Transport. Beim Server(Debian): Unter Debian kann man OpenVPN mit apt-get install openvpn installieren lassen Beim Client(Windows): OpenVPN 2.0.9(mit GUI) unterladen von und dann installieren 3.2 zwei Arten der Authentifizierung PSK (PreSharedKey / Static-Key) Bei PreSharedKey wird ein gemeinsammer Schlüssel verwendet (Achtung: Austausch von Schlüsseln muss sicher sein) Mittels Zertifikaten Bei den Zertifikaten müssen die Teilnehmer jeweils ein von einer gemeinsam genutzen CA authentifiziertes Zertifikat haben Jian You und Adil Lassaoui Seit 6 von 17

7 3.2.1 PSK (PreSharedKey / Static-Key) Wenn man static.key erzeugen will, kann man mit den Befehl: openvpn -genkey -secret static.key Static.key muss beim Server und Client identisch sein Jian You und Adil Lassaoui Seit 7 von 17

8 3.2.2 Zertifikaten Abhilfe schafft das Verwenden von Zertifikaten Filename Needed By Purpose Secret ca.crt server + all clients Root CA certificate NO ca.key Key signing machine only Root CA key YES dh{n}.pem server only Diffie Hellman parameters NO server.crt server only Server Certificate NO server.key server only Server Key YES client1.crt client1 only Client1 Certificate NO client1.key client1 only Client1 Key YES client2.crt client2 only Client2 Certificate NO client2.key client2 only Client2 Key YES client3.crt client3 only Client3 Certificate NO client3.key client3 only Client3 Key YES Erstellen von Zertifikaten: OpenVPN liefert einen Skriptsatz names EASY-RSA um dies zu erleichtern # Vorbereiten der Konfiguration Init-config vars clean-all # Erstellen einer Certificate Authority build-ca # Das Zertifikat für den Server erstellen build-key-server server # Die notwendigen Client Zertifikate erstellen build-key client1 build-key client2 build-key client3 # Diffle-Hellman erzeugen zum austauschen der # Schlüssel build-dh Jian You und Adil Lassaoui Seit 8 von 17

9 4. Konfiguration von OpenVPN 4.1 Konfiguration(Authentifizierung durch Static-key) Server: port 1194 # Port dev tun proto udp ifconfig # Virtuelle IPs secret /etc/openvpn/static.key # static key Keepalive #Testen der Verbingdung, wait 120sec Cipher BF-CBC # Blowfish verschluesselungsalgorithmus auth SHA1 #Authentification comp-lzo # LZO Kompression persist-tun persist-key verb 3 # Umfang des Logfiles Client: port 1194 #port anpassen proto udp remote #server (URL oder IP) dev tun Jian You und Adil Lassaoui Seit 9 von 17

10 ifconfig route Secret C:\\Programme\\OpenVPN\\config\\static.key auth SHA1 comp-lzo persist-key persist-tun verb Konfiguration (Authentifizierung durch Zertifikaten) Server: port 1194 ## Tunnel-Mode dev tun tls-server mode server ## Server mit Zertifikaten aktivieren ca ca.crt cert server.crt Jian You und Adil Lassaoui Seit 10 von 17

11 key server.key dh dh1024.pem ## server IP ifconfig ifconfig-pool Keepalive comp-lzo persist-key persist-tun verb 3 Client: port 1194 ## Virtuelles Geraete (Tunnelmodus) dev tun ## VPN-Server remote ## Client Modus mit Zertifikaten tls-client ca ca.crt cert client.crt key client.key Jian You und Adil Lassaoui Seit 11 von 17

12 ## Optimierungen comp-lzo persist-key persist-tun verb 3 5. OpenVPN starten und testen Nun können wir gleichzeitig den OpenVPN Server und Client starten. OpenVPN startet beim Server: Server(Debian) : openvpn config server.conf Sofern im Lan des OpenVPN-Servers noch weitere PCs sind, die vom Client aus erreicht werden sollen, muß am OpenVPN-Server das IP-Forwarding aktiviert werden. echo 1 > /proc/sys/net/ipv4/ip_forward Jian You und Adil Lassaoui Seit 12 von 17

13 OpenVPN startet beim Client: OpenVPN für Windows gibt es mit GUI und Ohne GUI zwei Versionen. Client(Win XP) : mit GUI : Ohne GUI: Jian You und Adil Lassaoui Seit 13 von 17

14 Nach dem Start von OpenVPN Server und Client, können wir nun prüfen, ob das Tunnel von VPN wirklich aufgebaut wird. Tunnel Device beim Server nach VPN-Verbindung(via ifconfig) Jian You und Adil Lassaoui Seit 14 von 17

15 Jetzt können wir VPN testen mit ping Befehl: Ping durch VPN-Verbindung (Von ping ) Bis jetzt Können wir wissen, daß wir die VPN Verbindung schon fertig und richtig aufgebaut haben Jian You und Adil Lassaoui Seit 15 von 17

16 6. Zugriff auf Ressourcen durch VPN-Verbindung Wir haben zuerst einen HTTP File Server (HFS) auf PC ( ) installiert. Und dann stellen wir einen Ordner VPN, drin es einige Dateien gibt, auf den HFS Server. Danach machen wir vom anderen PC ( ), der im Labor Netz stellt, durch den VPN Tunnel auf den Ordner VPN zu zugreifen. Jian You und Adil Lassaoui Seit 16 von 17

17 Wir können zum Beispiel auch eine Datei rueberziehen durch VPN Tunnel. Beispiel : openvpn.pdf Jian You und Adil Lassaoui Seit 17 von 17