「OpenVPNのインストール」の版間の差分

提供: とある社畜の頭脳整理
ナビゲーションに移動 検索に移動
 
(同じ利用者による、間の31版が非表示)
53行目: 53行目:
 
$ scp /tmp/ca.crt foo@hostname-of-openvpn-server:/tmp}}
 
$ scp /tmp/ca.crt foo@hostname-of-openvpn-server:/tmp}}
  
−
=== VPNサーバー ===
+
=== VPN用の鍵の生成（VPNサーバー） ===
−
<syntaxhighlight lang="bash">mv /tmp/ca.crt /etc/openvpn/server/
+
まずは、ファイルの移動も考えて、以下のコマンドでOpenVPNをインストールします。
−
chown root:root /etc/openvpn/server/ca.crt</syntaxhighlight>
+
{{bc|# pacman -S openvpn}}
  
−
<syntaxhighlight lang="bash">pacman -S easy-rsa</syntaxhighlight>
+
インストールが完了したら、認証局から受け取った証明書を適切な場所に移動させます。
 +
{{bc|# mv /tmp/ca.crt /etc/openvpn/server/
 +
# chown root:root /etc/openvpn/server/ca.crt}}
  
−
<syntaxhighlight lang="bash">cd /etc/easy-rsa
+
VPNサーバー側にも「Easy-RSA」をインストールして、ディレクトリを移動します。
−
easyrsa init-pki
+
{{bc|# pacman -S easy-rsa
 +
# cd /etc/easy-rsa}}
  
−
init-pki complete; you may now create a CA or requests.
+
認証局と同様に初期化します。
−
Your newly created PKI dir is: /etc/easy-rsa/pki
+
{{hc|easyrsa init-pki|init-pki complete; you may now create a CA or requests.
 +
Your newly created PKI dir is: /etc/easy-rsa/pki}}
  
 +
==== VPNサーバー用鍵ペアの生成 ====
 +
以下のコマンドで、VPNサーバー用の鍵ペアを生成します。
 +
<pre style="margin-bottom: 0; border-bottom:none; padding-bottom:0.8em;">easyrsa gen-req server nopass</pre>
 +
<pre style="margin-top: 0; border-top-style:dashed; padding-top: 0.8em;">Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019
  
−
easyrsa gen-req ［サーバー名？］ nopass
 
−
 
−
Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019
 
 
Can't load /etc/easy-rsa/pki/.rnd into RNG
 
Can't load /etc/easy-rsa/pki/.rnd into RNG
 
139780419302656:error:2406F079:random number generator:RAND_load_file:Cannot open file:crypto/rand/randfile.c:98:Filename=/etc/easy-rsa/pki/.rnd
 
139780419302656:error:2406F079:random number generator:RAND_load_file:Cannot open file:crypto/rand/randfile.c:98:Filename=/etc/easy-rsa/pki/.rnd
74行目: 79行目:
 
..................................................+++++
 
..................................................+++++
 
.................................................................+++++
 
.................................................................+++++
−
writing new private key to '/etc/easy-rsa/pki/private/servername.key.TUQccMn1qp'
+
writing new private key to '/etc/easy-rsa/pki/private/server.key.TUQccMn1qp'
 
-----
 
-----
 
You are about to be asked to enter information that will be incorporated
 
You are about to be asked to enter information that will be incorporated
83行目: 88行目:
 
If you enter '.', the field will be left blank.
 
If you enter '.', the field will be left blank.
 
-----
 
-----
−
Common Name (eg: your user, host, or server name) [servername]:yyyyyyyy
+
Common Name (eg: your user, host, or server name) [server]:［任意の名前を入力］
  
 
Keypair and certificate request completed. Your files are:
 
Keypair and certificate request completed. Your files are:
−
req: /etc/easy-rsa/pki/reqs/servername.req
+
req: /etc/easy-rsa/pki/reqs/server.req
−
key: /etc/easy-rsa/pki/private/servername.key
+
key: /etc/easy-rsa/pki/private/server.key</pre>
  
−
cp /etc/easy-rsa/pki/private/servername.key /etc/openvpn/server/</syntaxhighlight>
+
生成されたファイルのうち、秘密鍵？を適切なディレクトリにコピーします。
 +
{{bc|# cp /etc/easy-rsa/pki/private/server.key /etc/openvpn/server/}}
  
−
<syntaxhighlight lang="bash">openssl dhparam -out /etc/openvpn/server/dh.pem 2048</syntaxhighlight>
+
以下のコマンドで暗号通信用のパラメータファイルを生成します。
 +
{{bc|# openssl dhparam -out /etc/openvpn/server/dh.pem 2048}}
  
−
<syntaxhighlight lang="bash">openvpn --genkey --secret /etc/openvpn/server/ta.key</syntaxhighlight>
+
以下のコマンドでHMAC共通鍵を生成します。
 +
{{bc|# openvpn --genkey --secret /etc/openvpn/server/ta.key}}
  
−
クライアントファイルの作成<br/>
+
==== VPNクライアント用鍵ペアの作成 ====
−
初期化してなかったら…
+
今度は、VPNクライアントで使用する鍵ペアを生成します。<br/>
−
<syntaxhighlight lang="bash"># cd /etc/easy-rsa
+
VPNクライアント用の鍵ペアを生成するマシンはなんでも良いのですが…<br/>
−
# easyrsa init-pki</syntaxhighlight>
+
もし、別のマシンで初めて作成する場合は初期化を忘れない様にしてください。
 +
{{bc|# cd /etc/easy-rsa
 +
# easyrsa init-pki
 +
# cd /etc/easy-rsa}}
  
−
<syntaxhighlight lang="bash"># cd /etc/easy-rsa
+
「/etc/easy-rsa」ディレクトリにいることを確認して、以下のコマンドを実行します。
−
# easyrsa gen-req client1 nopass
+
<pre style="margin-bottom: 0; border-bottom:none; padding-bottom:0.8em;"># easyrsa gen-req client nopass</pre>
 +
<pre style="margin-top: 0; border-top-style:dashed; padding-top: 0.8em;">Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019
  
−
Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019
 
 
Can't load /etc/easy-rsa/pki/.rnd into RNG
 
Can't load /etc/easy-rsa/pki/.rnd into RNG
 
139780419302656:error:2406F079:random number generator:RAND_load_file:Cannot open file:crypto/rand/randfile.c:98:Filename=/etc/easy-rsa/pki/.rnd
 
139780419302656:error:2406F079:random number generator:RAND_load_file:Cannot open file:crypto/rand/randfile.c:98:Filename=/etc/easy-rsa/pki/.rnd
109行目: 120行目:
 
..................................................+++++
 
..................................................+++++
 
.................................................................+++++
 
.................................................................+++++
−
writing new private key to '/etc/easy-rsa/pki/private/client1.key.TUQccMn1qp'
+
writing new private key to '/etc/easy-rsa/pki/private/client.key.TUQccMn1qp'
 
-----
 
-----
 
You are about to be asked to enter information that will be incorporated
 
You are about to be asked to enter information that will be incorporated
118行目: 129行目:
 
If you enter '.', the field will be left blank.
 
If you enter '.', the field will be left blank.
 
-----
 
-----
−
Common Name (eg: your user, host, or server name) [client1]:yyyyyyyy
+
Common Name (eg: your user, host, or server name) [client]:［任意の名前を入力］
  
 
Keypair and certificate request completed. Your files are:
 
Keypair and certificate request completed. Your files are:
−
req: /etc/easy-rsa/pki/reqs/client1.req
+
req: /etc/easy-rsa/pki/reqs/client.req
−
key: /etc/easy-rsa/pki/private/client1.key</syntaxhighlight>
+
key: /etc/easy-rsa/pki/private/client.key</pre>
  
−
<syntaxhighlight lang="bash"># cp /etc/easy-rsa/pki/reqs/*.req /tmp
+
生成されたファイルのうち、秘密鍵？を適切なディレクトリにコピーします。
 +
{{bc|# cp /etc/easy-rsa/pki/private/client.key /etc/openvpn/client/}}
 +
 
 +
証明書署名要求ファイルを認証局サーバーに移動させます。
 +
前出同様にscpを使用していますが、SFTPなどでもOKです。
 +
{{bc|# cp /etc/easy-rsa/pki/reqs/*.req /tmp
 
# chown foo /tmp/*.req
 
# chown foo /tmp/*.req
−
$ scp /tmp/*.req foo@hostname-of-CA:/tmp</syntaxhighlight>
+
$ scp /tmp/*.req foo@hostname-of-CA:/tmp}}
  
−
== 認証局サーバー ==
+
=== 公開鍵に署名する（認証局サーバー） ===
−
<syntaxhighlight lang="bash"># cd /etc/easy-rsa
+
VPNサーバー＆クライアントのreqファイルに認証局の証明書で署名していきます。<br/>
−
# easyrsa import-req /tmp/servername.req servername
+
（…上の文言、間違ってるかも…）
−
Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019
 
  
−
The request has been successfully imported with a short name of: servername
+
まずは以下のコマンドでディレクトリを移動します。
−
You may now use this name to perform signing operations on this request.
+
{{bc|# cd /etc/easy-rsa}}
  
−
# easyrsa import-req /tmp/client1.req client1
+
==== VPNサーバー用の公開鍵に署名 ====
−
Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019
+
以下のコマンドを実行して、reqファイルをインポートします。
 +
{{hc|# easyrsa import-req /tmp/server.req server|Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019
  
−
The request has been successfully imported with a short name of: client1
+
The request has been successfully imported with a short name of: server
−
You may now use this name to perform signing operations on this request.
+
You may now use this name to perform signing operations on this request.}}
  
−
# easyrsa sign-req server servername
+
次に署名済みの公開鍵を取り出します。
−
Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019
+
<pre style="margin-bottom: 0; border-bottom:none; padding-bottom:0.8em;"># easyrsa sign-req server server</pre>
 +
<pre style="margin-top: 0; border-top-style:dashed; padding-top: 0.8em;">Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019
  
  
154行目: 171行目:
  
 
subject=
 
subject=
−
     commonName                = xxxxxxxx
+
     commonName                = ［鍵ペアを生成したときに設定した名前が表示されます］
  
  
170行目: 187行目:
 
Data Base Updated
 
Data Base Updated
  
−
Certificate created at: /etc/easy-rsa/pki/issued/servername.crt
+
Certificate created at: /etc/easy-rsa/pki/issued/server.crt</pre>
  
−
# easyrsa sign-req client client1
+
==== VPNクライアント用の公開鍵に署名 ====
−
Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019
+
VPNサーバーと同様にクライアント用の公開鍵に署名していきます。
 +
{{hc|# easyrsa import-req /tmp/client.req client|Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019
 +
 
 +
The request has been successfully imported with a short name of: client
 +
You may now use this name to perform signing operations on this request.}}
 +
 
 +
<pre style="margin-bottom: 0; border-bottom:none; padding-bottom:0.8em;"># easyrsa sign-req client client</pre>
 +
<pre style="margin-top: 0; border-top-style:dashed; padding-top: 0.8em;">Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019
  
  
184行目: 208行目:
  
 
subject=
 
subject=
−
     commonName                = yyyyyyyy
+
     commonName                = ［鍵ペアを生成したときに設定した名前が表示されます］
  
  
200行目: 224行目:
 
Data Base Updated
 
Data Base Updated
  
−
Certificate created at: /etc/easy-rsa/pki/issued/client1.crt</syntaxhighlight>
+
Certificate created at: /etc/easy-rsa/pki/issued/client.crt</pre>
  
−
認証局からVPNサーバーとクライアントに返却
+
認証局から署名済みの公開鍵をVPNサーバーに返却します。<br/>
−
<syntaxhighlight lang="bash"># cp /etc/easy-rsa/pki/issued/*.crt /tmp
+
まぁ適当に移してください。<br/>
 +
クライアント用も同様にVPNサーバーに移します。<br/>
 +
後で、クライアント用の設定ファイルを作成するので…
 +
{{bc|# cp /etc/easy-rsa/pki/issued/*.crt /tmp
 
# chown foo /tmp/*.crt
 
# chown foo /tmp/*.crt
−
$ scp /tmp/*.crt foo@hostname-of-openvpn_server:/tmp</syntaxhighlight>
+
$ scp /tmp/*.crt foo@hostname-of-openvpn_server:/tmp}}
  
−
== VPNサーバー ==
+
これで、鍵関連の作業は終了です。<br/>
−
<syntaxhighlight lang="bash"># mv /tmp/servername.crt /etc/openvpn/server/
+
ここから、VPNの設定をしていきます。
−
# chown root:root /etc/openvpn/server/servername.crt</syntaxhighlight>
 
  
−
== VPNクライアント ==
+
== VPNの設定 ==
−
ぶっちゃけどこでも構わない
+
=== VPNサーバー ===
−
<syntaxhighlight lang="bash"># mkdir /etc/easy-rsa/pki/signed
+
以下のコマンドで、署名済み公開鍵を適切なディレクトリに移動します。
−
# mv /tmp/client1.crt /etc/easy-rsa/pki/signed</syntaxhighlight>
+
{{bc|# mv /tmp/server.crt /etc/openvpn/server/
−
 
+
# chown root:root /etc/openvpn/server/server.crt
−
== VPNサーバー ==
+
# mv /tmp/client.crt /etc/openvpn/client/
−
<syntaxhighlight lang="bash">pacman -S openvpn</syntaxhighlight>
+
# chown root:root /etc/openvpn/client/client.crt}}
−
 
 
−
== VPNサーバー設定ファイル ==
 
−
<syntaxhighlight lang="bash">cp /usr/share/openvpn/examples/server.conf /etc/openvpn/server/server.conf</syntaxhighlight>
 
−
 
 
−
<syntaxhighlight lang="bash"># nano /etc/openvpn/server/server.conf</syntaxhighlight>
 
  
−
ポート番号
+
これまでの手順で以下のファイルが作成されているかと思います。
−
<syntaxhighlight lang="text">port 1194</syntaxhighlight>
+
{{bc|/etc/openvpn/server/ca.crt
−
↓
+
/etc/openvpn/server/dh.pem
−
<syntaxhighlight lang="text">port xxxx</syntaxhighlight>
+
/etc/openvpn/server/server.crt
 +
/etc/openvpn/server/server.key
 +
/etc/openvpn/client/client.crt
 +
/etc/openvpn/client/client.key
 +
/etc/openvpn/server/ta.key}}
  
−
プロトコル（基本udpだけど、proxy越えしたい場合はtcp）
+
=== VPNサーバー設定ファイルの作成 ===
−
<syntaxhighlight lang="text">;proto tcp
+
以下のコマンドでサンプルファイルをコピーします
−
proto udp</syntaxhighlight>
+
{{bc|# cp /usr/share/openvpn/examples/server.conf /etc/openvpn/server/server.conf}}
−
↓
 
−
<syntaxhighlight lang="text">proto tcp
 
−
;proto udp</syntaxhighlight>
 
  
−
プロトコルをTCPにした場合は以下も…
+
以下のコマンドで設定ファイルを開いて編集していきます。
−
<syntaxhighlight lang="text">explicit-exit-notify 1</syntaxhighlight>
+
{{hc|# nano /etc/openvpn/server/server.conf|
−
↓
+
port 1194　←ポート番号を変更したい場合
−
<syntaxhighlight lang="text">;explicit-exit-notify 1</syntaxhighlight>
+
…
 +
proto tcp　←プロトコルを変更したい場合（プロキシ認証越えの場合はtcp。ipv6の場合はudp6/tcp6）
 +
;proto udp
 +
…
 +
;explicit-exit-notify 1　←プロトコルをtcpにした場合はこの行をコメントアウト
 +
…
 +
ca ca.crt　←認証局の証明書（ファイル名を変えている場合は修正）
 +
…
 +
cert server.crt　←VPNサーバーの公開鍵（ファイル名を変えている場合は修正）
 +
…
 +
key server.key  # This file should be kept secret　←VPNサーバーの秘密鍵（ファイル名を変えている場合は修正）
 +
…
 +
dh dh.pem　←暗号通信用のパラメータファイル（ファイル名を変えている場合は修正）
 +
…
 +
tls-auth ta.key 0　←HMAC共通鍵（ファイル名を変えている場合は修正）
 +
…
 +
user nobody　←プロセスのユーザー：コメントアウトを外す
 +
group nobody　←プロセスのユーザーグループ：コメントアウトを外す
 +
…
 +
cipher AES-256-CBC　←良くわからないけど、書いたほうが良いらしい…（デフォルトで有効になってるけど…）
 +
…
 +
auth SHA512　←追記
 +
tls-version-min 1.2　←追記
 +
tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-256-CBC-SHA:TLS-DHE-RSA-WITH-CAMELLIA-256-CBC-SHA:TLS-DHE-RSA-WITH-AES-128-CBC-SHA:TLS-DHE-RSA-WITH-CAMELLIA-128-CBC-SHA　←追記
  
−
認証局の公開鍵（変える必要ないはず）
+
push "dhcp-option DNS 8.8.8.8"　←追記：VPNクライアントで使用してほしいDNSサーバーのアドレスを指定
−
<syntaxhighlight lang="text">ca ca.crt</syntaxhighlight>
+
push "dhcp-option DNS 8.8.4.4"　←追記：VPNクライアントで使用してほしいDNSサーバーのアドレスを指定
−
↓
+
push "route 192.168.56.0 255.255.255.0"　←追記：VPNクライアントがアクセスしたいローカルネットワークのアドレスとサブネットマスクを指定
−
<syntaxhighlight lang="text">ca ca.crt</syntaxhighlight>
+
push "block-outside-dns"　←追記：DNSリーク対策
 +
push "redirect-gateway def1"　←追記：すべての通信をVPNサーバー経由で行う場合は設定
 +
client-to-client　←追記：VPNクライアントどうして通信したい場合はコメントアウトを外す
  
−
サーバーの公開鍵
 
−
<syntaxhighlight lang="text">cert server.crt</syntaxhighlight>
 
−
↓
 
−
<syntaxhighlight lang="text">cert servername.crt</syntaxhighlight>
 
  
−
サーバーの（署名された）秘密鍵
+
}}
−
<syntaxhighlight lang="text">key server.key  # This file should be kept secret</syntaxhighlight>
 
−
↓
 
−
<syntaxhighlight lang="text">key servername.key  # This file should be kept secret</syntaxhighlight>
 
  
−
暗号通信用のパラメータファイル
+
設定が完了したら、以下のコマンドでサービスを起動します。
−
<syntaxhighlight lang="text">dh dh2048.pem</syntaxhighlight>
+
{{bc|# systemctl start openvpn-server@server}}
−
↓
+
因みに…＠の後ろの「server」は設定ファイル名です。
−
<syntaxhighlight lang="text">dh dh.pem</syntaxhighlight>
 
  
−
HMAC共通鍵（変えなくてもいいはず）
+
=== VPNクライアント設定ファイル ===
−
<syntaxhighlight lang="text">tls-auth ta.key 0</syntaxhighlight>
+
引き続き、VPNクライアント用の設定ファイルを作成していきます。<br/>
−
↓
+
ただ…あ～だこ～だファイルを移すのは面倒なので、すべてを包含した設定ファイルを作成します。
−
<syntaxhighlight lang="text">tls-auth ta.key 0</syntaxhighlight>
 
  
−
プロセスのユーザーとグループ
+
==== 「ovpngen」のインストール ====
−
<syntaxhighlight lang="text">;user nobody
+
AURに「ovpngen」という、便利なツールがあります。<br/>
−
;group nobody</syntaxhighlight>
+
これを使用してVPNクライアント用の設定ファイルを作成していきます。<br/>
−
↓
+
まずは、以下のコマンドを使用してツールをゲットします。<br/>
−
<syntaxhighlight lang="text">user nobody
+
（バージョンは適宜最新のものに読み替えてください）
−
group nobody</syntaxhighlight>
+
{{bc|# cd /etc/openvpn/client
 +
# wget https://github.com/graysky2/ovpngen/archive/v1.28.tar.gz
 +
# tar -xvf v1.28.tar.gz
 +
# cd ovpngen-1.28
 +
# chmod +x ovpngen}}
 +
このツールはスクリプトなので、これでインストール完了です。
  
−
よくわからん！（変えなくてもいいはず）
+
==== VPNクライアント用設定ファイルの生成 ====
−
<syntaxhighlight lang="text">cipher AES-256-CBC</syntaxhighlight>
+
「ovpngen」を使用して、設定ファイルを作成します。<br/>
−
↓
+
（ポート番号、プロトコルは適宜読み替えてください）
−
<syntaxhighlight lang="text">cipher AES-256-CBC</syntaxhighlight>
+
{{bc|./ovpngen ［VPNサーバーのIPアドレスまたはURL］ /etc/openvpn/server/ca.crt /etc/openvpn/client/client.crt /etc/openvpn/client/client.key /etc/openvpn/server/ta.key 1194 tcp > client.ovpn}}
  
−
以下追記
+
このファイルをVPNクライアントに持って行って、OpenVPNクライアントアプリに読み込ませればOKです。
−
<syntaxhighlight lang="text">auth SHA512
 
−
tls-version-min 1.2
 
−
tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-256-CBC-SHA:TLS-DHE-RSA-WITH-CAMELLIA-256-CBC-SHA:TLS-DHE-RSA-WITH-AES-128-CBC-SHA:TLS-DHE-RSA-WITH-CAMELLIA-128-CBC-SHA</syntaxhighlight>
 
  
−
サービス起動！
+
ただ…ここで作成した「client.ovpn」ファイルの以下の部分は編集した方が良いかもです…。<br/>
−
<syntaxhighlight lang="bash">systemctl start openvpn-server@server</syntaxhighlight>
+
（自信なし…）
  
−
== VPNクライアント設定ファイル ==
+
{{hc|# nano /etc/openvpn/client/client.ovpn|
−
=== 「ovpngen」のインストール ===
+
cipher AES-256-CBC　←コメントアウトを外す
−
<syntaxhighlight lang="bash">cd ~</syntaxhighlight>
+
auth SHA512　←コメントアウトを外す
−
<syntaxhighlight lang="bash">wget https://github.com/graysky2/ovpngen/archive/v1.28.tar.gz</syntaxhighlight>
+
proto xxxx　←VPNサーバーの設定に合わせる}}
−
<syntaxhighlight lang="bash">tar -xvf v1.28.tar.gz</syntaxhighlight>
 
−
<syntaxhighlight lang="bash">cd ovpngen-1.28</syntaxhighlight>
 
−
<syntaxhighlight lang="bash">chmod +x ovpngen</syntaxhighlight>
 
  
−
=== VPNクライアント用設定ファイルの生成 ===
+
== 参考サイト ==
−
<syntaxhighlight lang="bash">./ovpngen ［VPNサーバーのIPアドレスまたはURL］ /etc/openvpn/server/ca.crt /etc/easy-rsa/pki/signed/client1.crt /etc/easy-rsa/pki/private/client1.key /etc/openvpn/server/ta.key 1194 tcp > client.conf</syntaxhighlight>
+
[https://wiki.archlinux.jp/index.php/OpenVPN#.E3.82.AF.E3.83.A9.E3.82.A4.E3.82.A2.E3.83.B3.E3.83.88.E3.81.A8.E3.82.AF.E3.83.A9.E3.82.A4.E3.82.A2.E3.83.B3.E3.83.88.E3.81.AE_LAN_.E3.82.92.E6.8E.A5.E7.B6.9A OpenVPN - ArchWiki]<br/>
 +
[https://wiki.archlinux.jp/index.php/Easy-RSA Easy-RSA - ArchWiki]<br/>
 +
[https://github.com/graysky2/ovpngen GitHub - graysky2/ovpngen: Generate an OpenVPN Connect private tunnel profile in the unified format]
  
−
このファイルをクライアントに持って行って接続？？？
+
[[Category:ArchLinux]]
 +
[[Category:OpenVPN]]

2019年12月27日 (金) 11:24時点における最新版

Raspberry piのArchlinux化をもくろみ、ArchlinuxでVPNサーバーを立ち上げようかと思っています。
そこで、まずはVirtualBoxでOpenVPNを使用して、VPNサーバーを立ち上げてみました。


VPNサーバーと認証局サーバーを分離している前提で、手順を上げています。
もし、一緒にしているなら上手いこと読み替えてください。

鍵の準備

VPNを使用するにあたり、認証局の設立やら共通鍵の作成やら鍵ペアの作成やら色々していきます。

認証局の設立（認証局サーバー）

認証局にするサーバーに以下のコマンドを実行して「Easy-RSA」をインストールします。 

# pacman -S easy-rsa

インストールしたら「easy-rsa」に移動しておきます。 

# cd /etc/easy-rsa

認証局の構築をしていきます。
以下のコマンドで認証局の初期化を行います。 

# easyrsa init-pki
init-pki complete; you may now create a CA or requests.
Your newly created PKI dir is: /etc/easy-rsa/pki


完了したら、認証局の鍵ペアを生成します。 

# easyrsa build-ca
Using SSL: opensslOpenSSL 1.1.1d  10 Sep 2019
　
Enter New CA Key Passphrase: ［任意のパスフレーズを入力］
Re-Enter New CA Key Passphrase: ［任意のパスフレーズを入力］
Generating RSA private key, 2048 bit long modulus (2 primes)
...........................+++++
.....................................+++++
e is 65537 (0x010001)
Can't load /etc/easy-rsa/pki/.rnd into RNG
139748243150080:error:2406F079:random number generator:RAND_load_file:Cannot open file:crypto/rand/randfile.c:98:Filename=/etc/easy-rsa/pki/.rnd
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Common Name (eg: your user, host, or server name) [Easy-RSA CA]:［任意の名前を入力］
　
CA creation complete and you may now import and sign cert requests.
Your new CA certificate file for publishing is at:
/etc/easy-rsa/pki/ca.crt

作成された認証局の証明書をVPNサーバーに移します。
証明書なのでまぁ適当に移せば良いかと思います。
下の例ではSCPを使用していますが…私はSFTPを使用しました。 

# cp /etc/easy-rsa/pki/ca.crt /tmp
# chown foo /tmp/ca.crt
$ scp /tmp/ca.crt foo@hostname-of-openvpn-server:/tmp

VPN用の鍵の生成（VPNサーバー）

まずは、ファイルの移動も考えて、以下のコマンドでOpenVPNをインストールします。 

# pacman -S openvpn

インストールが完了したら、認証局から受け取った証明書を適切な場所に移動させます。 

# mv /tmp/ca.crt /etc/openvpn/server/
# chown root:root /etc/openvpn/server/ca.crt

VPNサーバー側にも「Easy-RSA」をインストールして、ディレクトリを移動します。 

# pacman -S easy-rsa
# cd /etc/easy-rsa

認証局と同様に初期化します。 

easyrsa init-pki
init-pki complete; you may now create a CA or requests.
Your newly created PKI dir is: /etc/easy-rsa/pki


VPNサーバー用鍵ペアの生成

以下のコマンドで、VPNサーバー用の鍵ペアを生成します。 

easyrsa gen-req server nopass
Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019

Can't load /etc/easy-rsa/pki/.rnd into RNG
139780419302656:error:2406F079:random number generator:RAND_load_file:Cannot open file:crypto/rand/randfile.c:98:Filename=/etc/easy-rsa/pki/.rnd
Generating a RSA private key
..................................................+++++
.................................................................+++++
writing new private key to '/etc/easy-rsa/pki/private/server.key.TUQccMn1qp'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Common Name (eg: your user, host, or server name) [server]:［任意の名前を入力］

Keypair and certificate request completed. Your files are:
req: /etc/easy-rsa/pki/reqs/server.req
key: /etc/easy-rsa/pki/private/server.key

生成されたファイルのうち、秘密鍵？を適切なディレクトリにコピーします。 

# cp /etc/easy-rsa/pki/private/server.key /etc/openvpn/server/

以下のコマンドで暗号通信用のパラメータファイルを生成します。 

# openssl dhparam -out /etc/openvpn/server/dh.pem 2048

以下のコマンドでHMAC共通鍵を生成します。 

# openvpn --genkey --secret /etc/openvpn/server/ta.key

VPNクライアント用鍵ペアの作成

今度は、VPNクライアントで使用する鍵ペアを生成します。
VPNクライアント用の鍵ペアを生成するマシンはなんでも良いのですが…
もし、別のマシンで初めて作成する場合は初期化を忘れない様にしてください。 

# cd /etc/easy-rsa
# easyrsa init-pki
# cd /etc/easy-rsa

「/etc/easy-rsa」ディレクトリにいることを確認して、以下のコマンドを実行します。 

# easyrsa gen-req client nopass
Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019

Can't load /etc/easy-rsa/pki/.rnd into RNG
139780419302656:error:2406F079:random number generator:RAND_load_file:Cannot open file:crypto/rand/randfile.c:98:Filename=/etc/easy-rsa/pki/.rnd
Generating a RSA private key
..................................................+++++
.................................................................+++++
writing new private key to '/etc/easy-rsa/pki/private/client.key.TUQccMn1qp'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Common Name (eg: your user, host, or server name) [client]:［任意の名前を入力］

Keypair and certificate request completed. Your files are:
req: /etc/easy-rsa/pki/reqs/client.req
key: /etc/easy-rsa/pki/private/client.key

生成されたファイルのうち、秘密鍵？を適切なディレクトリにコピーします。 

# cp /etc/easy-rsa/pki/private/client.key /etc/openvpn/client/

証明書署名要求ファイルを認証局サーバーに移動させます。 前出同様にscpを使用していますが、SFTPなどでもOKです。 

# cp /etc/easy-rsa/pki/reqs/*.req /tmp
# chown foo /tmp/*.req
$ scp /tmp/*.req foo@hostname-of-CA:/tmp

公開鍵に署名する（認証局サーバー）

VPNサーバー＆クライアントのreqファイルに認証局の証明書で署名していきます。
（…上の文言、間違ってるかも…）

まずは以下のコマンドでディレクトリを移動します。 

# cd /etc/easy-rsa

VPNサーバー用の公開鍵に署名

以下のコマンドを実行して、reqファイルをインポートします。 

# easyrsa import-req /tmp/server.req server
Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019

The request has been successfully imported with a short name of: server
You may now use this name to perform signing operations on this request.


次に署名済みの公開鍵を取り出します。 

# easyrsa sign-req server server
Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019


You are about to sign the following certificate.
Please check over the details shown below for accuracy. Note that this request
has not been cryptographically verified. Please be sure it came from a trusted
source or that you have verified the request checksum with the sender.

Request subject, to be signed as a server certificate for 1080 days:

subject=
    commonName                = ［鍵ペアを生成したときに設定した名前が表示されます］


Type the word 'yes' to continue, or any other input to abort.
  Confirm request details: yes
Using configuration from /etc/easy-rsa/pki/safessl-easyrsa.cnf
Enter pass phrase for /etc/easy-rsa/pki/private/ca.key:
Check that the request matches the signature
Signature ok
The Subject's Distinguished Name is as follows
commonName            :ASN.1 12:'xxxxxxxx'
Certificate is to be certified until Dec  9 05:16:12 2022 GMT (1080 days)

Write out database with 1 new entries
Data Base Updated

Certificate created at: /etc/easy-rsa/pki/issued/server.crt

VPNクライアント用の公開鍵に署名

VPNサーバーと同様にクライアント用の公開鍵に署名していきます。 

# easyrsa import-req /tmp/client.req client
Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019

The request has been successfully imported with a short name of: client
You may now use this name to perform signing operations on this request.


# easyrsa sign-req client client
Using SSL: openssl OpenSSL 1.1.1d  10 Sep 2019


You are about to sign the following certificate.
Please check over the details shown below for accuracy. Note that this request
has not been cryptographically verified. Please be sure it came from a trusted
source or that you have verified the request checksum with the sender.

Request subject, to be signed as a client certificate for 1080 days:

subject=
    commonName                = ［鍵ペアを生成したときに設定した名前が表示されます］


Type the word 'yes' to continue, or any other input to abort.
  Confirm request details: yes
Using configuration from /etc/easy-rsa/pki/safessl-easyrsa.cnf
Enter pass phrase for /etc/easy-rsa/pki/private/ca.key:
Check that the request matches the signature
Signature ok
The Subject's Distinguished Name is as follows
commonName            :ASN.1 12:'yyyyyyyy'
Certificate is to be certified until Dec  9 05:17:51 2022 GMT (1080 days)

Write out database with 1 new entries
Data Base Updated

Certificate created at: /etc/easy-rsa/pki/issued/client.crt

認証局から署名済みの公開鍵をVPNサーバーに返却します。
まぁ適当に移してください。
クライアント用も同様にVPNサーバーに移します。
後で、クライアント用の設定ファイルを作成するので… 

# cp /etc/easy-rsa/pki/issued/*.crt /tmp
# chown foo /tmp/*.crt
$ scp /tmp/*.crt foo@hostname-of-openvpn_server:/tmp

これで、鍵関連の作業は終了です。
ここから、VPNの設定をしていきます。

VPNの設定

VPNサーバー

以下のコマンドで、署名済み公開鍵を適切なディレクトリに移動します。 

# mv /tmp/server.crt /etc/openvpn/server/
# chown root:root /etc/openvpn/server/server.crt
# mv /tmp/client.crt /etc/openvpn/client/
# chown root:root /etc/openvpn/client/client.crt

これまでの手順で以下のファイルが作成されているかと思います。 

/etc/openvpn/server/ca.crt
/etc/openvpn/server/dh.pem
/etc/openvpn/server/server.crt
/etc/openvpn/server/server.key
/etc/openvpn/client/client.crt
/etc/openvpn/client/client.key
/etc/openvpn/server/ta.key

VPNサーバー設定ファイルの作成

以下のコマンドでサンプルファイルをコピーします 

# cp /usr/share/openvpn/examples/server.conf /etc/openvpn/server/server.conf

以下のコマンドで設定ファイルを開いて編集していきます。 

# nano /etc/openvpn/server/server.conf
port 1194　←ポート番号を変更したい場合
…
proto tcp　←プロトコルを変更したい場合（プロキシ認証越えの場合はtcp。ipv6の場合はudp6/tcp6）
;proto udp
…
;explicit-exit-notify 1　←プロトコルをtcpにした場合はこの行をコメントアウト
…
ca ca.crt　←認証局の証明書（ファイル名を変えている場合は修正）
…
cert server.crt　←VPNサーバーの公開鍵（ファイル名を変えている場合は修正）
…
key server.key  # This file should be kept secret　←VPNサーバーの秘密鍵（ファイル名を変えている場合は修正）
…
dh dh.pem　←暗号通信用のパラメータファイル（ファイル名を変えている場合は修正）
…
tls-auth ta.key 0　←HMAC共通鍵（ファイル名を変えている場合は修正）
…
user nobody　←プロセスのユーザー：コメントアウトを外す
group nobody　←プロセスのユーザーグループ：コメントアウトを外す
…
cipher AES-256-CBC　←良くわからないけど、書いたほうが良いらしい…（デフォルトで有効になってるけど…）
…
auth SHA512　←追記
tls-version-min 1.2　←追記
tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-128-GCM-SHA256:TLS-DHE-RSA-WITH-AES-256-CBC-SHA:TLS-DHE-RSA-WITH-CAMELLIA-256-CBC-SHA:TLS-DHE-RSA-WITH-AES-128-CBC-SHA:TLS-DHE-RSA-WITH-CAMELLIA-128-CBC-SHA　←追記

push "dhcp-option DNS 8.8.8.8"　←追記：VPNクライアントで使用してほしいDNSサーバーのアドレスを指定
push "dhcp-option DNS 8.8.4.4"　←追記：VPNクライアントで使用してほしいDNSサーバーのアドレスを指定
push "route 192.168.56.0 255.255.255.0"　←追記：VPNクライアントがアクセスしたいローカルネットワークのアドレスとサブネットマスクを指定
push "block-outside-dns"　←追記：DNSリーク対策
push "redirect-gateway def1"　←追記：すべての通信をVPNサーバー経由で行う場合は設定
client-to-client　←追記：VPNクライアントどうして通信したい場合はコメントアウトを外す


設定が完了したら、以下のコマンドでサービスを起動します。 

# systemctl start openvpn-server@server

因みに…＠の後ろの「server」は設定ファイル名です。

VPNクライアント設定ファイル

引き続き、VPNクライアント用の設定ファイルを作成していきます。
ただ…あ～だこ～だファイルを移すのは面倒なので、すべてを包含した設定ファイルを作成します。

「ovpngen」のインストール

AURに「ovpngen」という、便利なツールがあります。
これを使用してVPNクライアント用の設定ファイルを作成していきます。
まずは、以下のコマンドを使用してツールをゲットします。
（バージョンは適宜最新のものに読み替えてください） 

# cd /etc/openvpn/client
# wget https://github.com/graysky2/ovpngen/archive/v1.28.tar.gz
# tar -xvf v1.28.tar.gz
# cd ovpngen-1.28
# chmod +x ovpngen

このツールはスクリプトなので、これでインストール完了です。

VPNクライアント用設定ファイルの生成

「ovpngen」を使用して、設定ファイルを作成します。
（ポート番号、プロトコルは適宜読み替えてください） 

./ovpngen ［VPNサーバーのIPアドレスまたはURL］ /etc/openvpn/server/ca.crt /etc/openvpn/client/client.crt /etc/openvpn/client/client.key /etc/openvpn/server/ta.key 1194 tcp > client.ovpn

このファイルをVPNクライアントに持って行って、OpenVPNクライアントアプリに読み込ませればOKです。

ただ…ここで作成した「client.ovpn」ファイルの以下の部分は編集した方が良いかもです…。
（自信なし…） 


# nano /etc/openvpn/client/client.ovpn
cipher AES-256-CBC　←コメントアウトを外す
auth SHA512　←コメントアウトを外す
proto xxxx　←VPNサーバーの設定に合わせる


参考サイト

OpenVPN - ArchWiki
Easy-RSA - ArchWiki
GitHub - graysky2/ovpngen: Generate an OpenVPN Connect private tunnel profile in the unified format

「https://knowledge.rinpress.com/index.php?title=OpenVPNのインストール&oldid=643」から取得