Configurando o OpenVPN no SuSE Linux Enterprise Server (SLES)

Olá pessoal, espero que este artigo ajude, nele vamos aprender a configurar um servidor de VPN com o OpenVPN, aprender a instalar os clientes VPN tanto Linux como no Windows.

[ Hits: 48.418 ]

Por: Robinson Czelusniak em 09/02/2009


Instalação do OpenVPN



O OpenVPN não vem nas mídias de instalação do SuSE Linux Enterprise Server. Abaixo o link para fazer o download, além do OpenVPN também é necessário o pacote devs.

Instalando os pacotes:

# yast -i devs

Baixe o pacote do openvpn: openvpn-2.0.2-2.4.i586.rpm

Instale o openvpn:

# rpm -ivh openvpn-2.0.2-2.4.i586.rpm

Criação dos certificados

Copie o diretório easy-rsa para o /etc:

# cp -r /usr/share/doc/packages/openvpn/easy-rsa2/.0 /etc/easy-rsa

Entre no diretório /etc/easy-rsa:

# cd /etc/easy-rsa

Edite o arquivo vars:

# vi vars

Modifique os seguintes parâmetros:

export KEY_COUNTRY=BR (troque por seu país)
export KEY_PROVINCE=PR (troque por seu estado)
export KEY_CITY=Curitiba (troque por sua cidade)
export KEY_ORG="Nome-OpenVPN" (coloque o nome do servidor)
export KEY_EMAIL="administrador@example.com" (email do administrador)

Salve e feche:

<ESC> :wq

Agora execute:

# . ./vars

* Coloque 1 ponto (.) depois um espaço e novamente um ponto (.) seguido por /vars.

Depois execute:

# ./clean-all

Instale o OpenSSL:

# yast -i openssl

Agora vamos criar uma autoridade de certificados (CA), para isso será necessário o openssl que acabamos de instalar.

Agora execute:

# ./build-ca

Agora vamos criar os certificados.

Primeiro para o servidor:

# ./build-key-server <nome do servidor>

No final você terá que responder 2 perguntas, confirme com "y" as 2 perguntas

Sign the certificate? [y/n] y
certificate requests certified, commit? [y/n] y

E agora vamos criar o certificado para o cliente:

# ./build-key <client1>

Agora geramos os parâmetros Diffie Hellman:

# ./build-dh

    Próxima página

Páginas do artigo
   1. Instalação do OpenVPN
   2. Configurando o servidor
   3. Configurando o cliente (Linux/Windows)
   4. Gerando novos certificados
   5. Script para gerar certificados e enviar por email
Outros artigos deste autor

Openfire no SLES 10 autenticando no Active Directory

Squid autenticando no Windows utilizando grupos do AD

Squid com autenticação

Instalando Postfix e Dovecot no SLES 11 e autenticando em um diretório da Novell (Edir)

SUSE Linux - Squid autenticando no Active Directory (AD)

Leitura recomendada

HoneyPots em Linux

Criando senhas seguras com o mkpasswd

Instalando Bind9 + chroot no Debian

Segurança SSH com DenyHosts

Replicação com OpenLDAP

  
Comentários
[1] Comentário enviado por czelusniak em 09/02/2009 - 18:00h

Pessoal peço desculpas mas faltou um detalhe, o script /usr/local/bin/criacertificado.sh deve ter os atributos para execução, chmod +x /usr/local/bin/criacertificado.sh

[2] Comentário enviado por fernandoborges em 09/02/2009 - 20:36h

Muito bom o artigo. Porém...
Não é recomendado o envio de certificados de acesso à VPN por um meio inseguro como o e-mail.
Saudações!

[3] Comentário enviado por czelusniak em 09/02/2009 - 22:18h

Obrigado Fernando,

A idéia de receber por email é para que você receba em sua conta e repasse para a pessoa que vai utilizar eliminando o acesso por scp oou ftp para baixar os certificados, mas muito boa observação.

[4] Comentário enviado por nariz em 10/02/2009 - 12:45h

opa.. belo artigo.
parabéns !!!
alguém pode me ajudar numa estrutura onde tenho matriz e filiais
tenho maquinas com linux na matriz e nas filias.. todas rodando OpenVPN
fazendo as regras do roteamento eu consigo das filiais pingar maquinas da rede da matriz... porém da matriz eu nao consigo ir até as maquinas das filiais... isso só acontece se eu implementar a VPN usando certificados...se eu uso chaves estáticas isso não acontece.
alguém sabe o que pode seR ?

[5] Comentário enviado por fernandoborges em 10/02/2009 - 21:00h

Nariz,
Observe as configuracoes do ccd (client-config-dir), configure esta opcao corretamente no servidor, indicando o arquivo correspondente do certificado do cliente e neste as suas configuracoes de rede. Asssim o proprio OpenVPN fara o roteamento nos kerneis tanto do cliente quanto do servidor. Da uma pesquisada que vc vai conseguir, valew!

[6] Comentário enviado por rudielle em 14/04/2010 - 10:21h

Bom dia amigo, estou com dúvida no seguinte. Na empresa em que trabalho, estou implementando vpn na matriz e nas filiais. a dúvida fica por conta desse arquivo de configuração. Tenho o seguinte cenário:

Matriz: a internet chega no roteador com ip fixo (201.26.75.xx), do roteador sai um cabo de rede pro meu servidor, que tem uma placa de rede apenas. Meu servidor tem o ip 192.168.1.100, mascara de rede 255.255.255.0, gateway 192.168.1.1 (que é o ip do meu roteador) e os dns 201.138.10.xx e 201.138.10.xx). Instalei o Suse Server 11.2.

Filial: a internet chega no roteador com ip dinamico, e de la sai cabo de rede pro terminal, a única coisa que muda é o ip da máquina que é 192.168.1.10. Nessa máquina é XP.

A dúvida é, nesse arquivo de configuração: o que eu preenche na linha server, nalinha push "route" e por ser xp os terminais, essa linha client-dir-conf nao terá que ser diferente?

port 1194
proto tcp-server
dev tun
ca /etc/easy-rsa/keys/ca.crt
cert /etc/easy-rsa/keys/<certificado server>.crt
key /etc/easy-rsa/keys/<certificado server>.key # This file should be kept secret
dh /etc/easy-rsa/keys/dh1024.pem
server <rede para a VPN> <Mascara de rede> # Aqui é definido a rede para a conexão VPN
ifconfig-pool-persist ipp.txt
push "route <rota da sua rede> <Mascara de rede>" # Aqui Adicione a rede da sua empresa ou a rede que sera acessada pela VPN
client-config-dir /etc/openvpn/clientconf
keepalive 10 120
cipher DES-EDE3-CBC
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn-status.log
log /var/log/openvpn.log
verb 3

[7] Comentário enviado por czelusniak em 15/04/2010 - 00:12h

Boa noite Fernando,

Na linha push route você deve colocar "192.168.1.0 255.255.255.0" mas não vai funcionar neste modelo que você passou você tem que ter uma rede diferente na sua filial, Ex.: 192.168.0.0/24 , porque da forma que esta você vai conseguir acessar sua matriz pois toda vez que as máquinas da filial(192.168.1.xxx) tentarem acessar a matriz (192.168.1.xxx) o roteador da filial vai procurar nas tabelas de roteamento e vai tentar procurar o ip localmente pois a rede é a mesma.


[8] Comentário enviado por rondinellepqd em 15/08/2012 - 16:32h

Amigo me tire uma duvida, tenho q criar todos os certificados caso coloque mais um cliente, ou somente a criacao do certificado do cliente já basta enviando para ele o ca.crt, cliente.crt e cliente.key?
é isso mesmo, ou vou ter que criar todos os certificados novamente e enviar para os clientes?

[9] Comentário enviado por rondinellepqd em 15/08/2012 - 16:51h

eu fui criar os certificados ta dando esse erro:

pkitool: Need a readable ca.crt and ca.key in /etc/easy-rsa/keys
Try pkitool --initca to build a root certificate/key.

pode me dizer o q fiz errado, digitei os comandos:
. ./vars
./clean-all
./build-key cliente000

???


Contribuir com comentário




Patrocínio

Site hospedado pelo provedor RedeHost.
Linux banner
Linux banner
Linux banner

Destaques

Artigos

Dicas

Tópicos

Top 10 do mês

Scripts