OpenVPN. Centos 7. Сервер + клиенты - История изменений

Cless в 07:05, 10 июля 2025

2025-07-10T07:05:25Z

← Предыдущая		Версия 07:05, 10 июля 2025
Строка 144:		Строка 144:
	; маршрут на стороне клиента до хостов в локальной сети сервера		; маршрут на стороне клиента до хостов в локальной сети сервера
	push "route 192.168.199.0 255.255.255.0"		push "route 192.168.199.0 255.255.255.0"

			; push DNS to clients
			push "dhcp-option DNS 10.192.16.10"

	; инфо о подключенных клиентах		; инфо о подключенных клиентах

Cless в 06:47, 13 мая 2025

2025-05-13T06:47:31Z

← Предыдущая		Версия 06:47, 13 мая 2025
Строка 157:		Строка 157:
	keepalive 10 120		keepalive 10 120
	max-clients 100		max-clients 100

	user nobody		user nobody

			# CENTOS
	group nobody		group nobody

			# UBUNTU
			;group nogroup

	persist-key		persist-key
	persist-tun		persist-tun
Строка 179:		Строка 186:
	; с разных устройств будет выдаватьcя один и тот же IP		; с разных устройств будет выдаватьcя один и тот же IP
	duplicate-cn		duplicate-cn

			; база отозванных сертификатов
			; РАСКОММЕНТИТЬ ТОЛЬКО ПОСЛЕ ГЕНЕРАЦИИ crl.pem - БАЗА ОТОЗВАННЫХ СЕРТИФИКАТОВ
			;crl-verify crl.pem
	<code>systemctl enable openvpn@server</code>		<code>systemctl enable openvpn@server</code>

Cless в 07:57, 18 февраля 2025

2025-02-18T07:57:37Z

← Предыдущая		Версия 07:57, 18 февраля 2025
Строка 289:		Строка 289:
	remote-cert-tls server		remote-cert-tls server
	cipher AES-256-CBC		cipher AES-256-CBC
			dhcp-option DNS 10.54.100.227
			dhcp-option DNS 10.54.100.228

Cless в 18:06, 17 февраля 2025

2025-02-17T18:06:49Z

← Предыдущая		Версия 18:06, 17 февраля 2025
Строка 315:		Строка 315:
	${echo} "Please enter new Client Name:"		${echo} "Please enter new Client Name:"
	read clientName		read clientName

			cd ./easy-rsa
			./easyrsa gen-req ${clientName} nopass
			./easyrsa sign-req client ${clientName}
			cd ..

	# declare client files paths		# declare client files paths

Cless в 06:38, 17 февраля 2025

2025-02-17T06:38:25Z

← Предыдущая		Версия 06:38, 17 февраля 2025
Строка 399:		Строка 399:

	Проверяем что '''test01''' НЕ может подключиться к серверу		Проверяем что '''test01''' НЕ может подключиться к серверу

			=== Статус подключенных клиентов ===
			<code>cat /var/log/openvpn/openvpn-status.log</code>

	== OpenVPN клиенты ==		== OpenVPN клиенты ==

Cless в 21:19, 14 февраля 2025

2025-02-14T21:19:10Z

← Предыдущая		Версия 21:19, 14 февраля 2025
Строка 367:		Строка 367:

	Клиент загружает конфигурацию в '''OpenVPN-Connect''' (на нём тестировалось и работает)		Клиент загружает конфигурацию в '''OpenVPN-Connect''' (на нём тестировалось и работает)

			== Отзыв сертификата клиента ==
			https://server-gu.ru/easy-rsa-revoke-certificate/

			=== Создание клиента с сертификатом ===
			Создаем клиента '''test01''' с доступом по сертификату

			Проверяем что он подключается к серверу

			=== Отзыв сертификата клиента ===
			Переходим в директорию easy-rsa

			<code>cd /etc/openvpn/easy-rsa</code>

			Отзываем сертификат

			<code>./easyrsa revoke test01</code>

			Генерируем БД с отозванными сертификатами, копируем crl.pem в /etc/openvpn, назначаем права чтения

			<code>./easyrsa gen-crl && cp pki/crl.pem ../ && chmod ugo+r ../crl.pem</code>

			=== Настройка конфигурации сервера ===
			Добавляем в конфиг

			<code>vim /etc/openvpn/server.conf</code>
			...
			; база отозванных сертификатов
			crl-verify crl.pem
			<code>systemctl restart openvpn</code>

			Проверяем что '''test01''' НЕ может подключиться к серверу

	== OpenVPN клиенты ==		== OpenVPN клиенты ==

Cless в 20:12, 14 февраля 2025

2025-02-14T20:12:55Z

← Предыдущая		Версия 20:12, 14 февраля 2025
Строка 174:		Строка 174:
	status /var/log/openvpn/openvpn-status.log		status /var/log/openvpn/openvpn-status.log
	log /var/log/openvpn/openvpn.log		log /var/log/openvpn/openvpn.log

			; Возможность нескольких подключений под одним клиентом с одним сертификатом
			; Иначе одному клиенту с одним сертификатом при попытке подключений
			; с разных устройств будет выдаватьcя один и тот же IP
			duplicate-cn
	<code>systemctl enable openvpn@server</code>		<code>systemctl enable openvpn@server</code>

Cless в 19:59, 14 февраля 2025

2025-02-14T19:59:39Z

← Предыдущая		Версия 19:59, 14 февраля 2025
Строка 267:		Строка 267:

	==== Вариант 2. Генерируем файл-конфигурацию клиента со встроенными ключами ====		==== Вариант 2. Генерируем файл-конфигурацию клиента со встроенными ключами ====
	~~'''!!! НЕ ТЕСТИРОВАЛ !!! ДОДЕЛАТЬ !!!'''~~		Шаблон конфигурации клиента

			<code>vim /etc/openvpn/client.template</code>
			client
			dev tun
			proto udp
			remote 176.192.22.222 11194
			resolv-retry infinite
			nobind
			persist-key
			persist-tun
			mute-replay-warnings
			;comp-lzo
			verb 3
			;mute 20
			remote-cert-tls server
			cipher AES-256-CBC


	Скрипт генерации конфигурации		Скрипт генерации конфигурации

	<code>~~nano .~~/makeClientConf.sh</code~~><syntaxhighlight lang="bash"~~>		<code>vim /etc/openvpn/makeClientConf.sh</code>
	#!/bin/bash		#!/bin/bash
	# Default Variable Declarations
	mkdir=`which mkdir`		# Default Variable Declarations
	echo=`which echo`		mkdir=`which mkdir`
	cat=`which cat`		echo=`which echo`
	printf=`which printf`		cat=`which cat`
	clientsConfDir="/etc/openvpn/clientsConf"		printf=`which printf`
	templateClientConfFile="client.template"
	caFile="/etc/openvpn/keys/ca.crt"		clientsConfDir="/etc/openvpn/clientsConf"
	# create conf dir		templateClientConfFile="/etc/openvpn/client.template"
	if ! [ -d "${clientsConfDir}/" ]; then		caFile="/etc/openvpn/keys/ca.crt"
	${mkdir} -p ${clientsConfDir}
	fi		# create conf dir
	# Ask for a new Client name		if ! [ -d "${clientsConfDir}/" ]; then
	${echo} $'\r'		${mkdir} -p ${clientsConfDir}
	${echo} "Please enter new Client Name:"		fi
	read clientName
	# declare client files paths		# Ask for a new Client name
	clientConfFile="${clientName}-config.ovpn"		${echo} $'\r'
	clientCrtFile="/etc/openvpn/easy-rsa/pki/issued/${clientName}.crt"		${echo} "Please enter new Client Name:"
	clientKeyFile="/etc/openvpn/easy-rsa/pki/private/${clientName}.key"		read clientName
	# line break
	${printf} $'\n\n' >> ${clientsConfDir}/${clientConfFile}		# declare client files paths
	# template to conf file		clientConfFile="${clientName}-config.ovpn"
	${cat} ${templateClientConfFile} > ${clientsConfDir}/${clientConfFile}		clientCrtFile="/etc/openvpn/easy-rsa/pki/issued/${clientName}.crt"
	# ca to conf file		clientKeyFile="/etc/openvpn/easy-rsa/pki/private/${clientName}.key"
	${echo} "<ca>" >> ${clientsConfDir}/${clientConfFile}
	${cat} ${caFile} >> ${clientsConfDir}/${clientConfFile}		# line break
	${echo} "</ca>" >> ${clientsConfDir}/${clientConfFile}		${printf} $'\n\n' >> ${clientsConfDir}/${clientConfFile}
	# line break
	${printf} $'\n' >> ${clientsConfDir}/${clientConfFile}		# template to conf file
	# crt to conf file		${cat} ${templateClientConfFile} > ${clientsConfDir}/${clientConfFile}
	${echo} "<cert>" >> ${clientsConfDir}/${clientConfFile}
	${cat} ${clientCrtFile} >> ${clientsConfDir}/${clientConfFile}		# ca to conf file
	${echo} "</cert>" >> ${clientsConfDir}/${clientConfFile}		${echo} "<ca>" >> ${clientsConfDir}/${clientConfFile}
	# line break		${cat} ${caFile} >> ${clientsConfDir}/${clientConfFile}
	${printf} $'\n' >> ${clientsConfDir}/${clientConfFile}		${echo} "</ca>" >> ${clientsConfDir}/${clientConfFile}
	# crt to conf file
	${echo} "<key>" >> ${clientsConfDir}/${clientConfFile}		# line break
	${cat} ${clientKeyFile} >> ${clientsConfDir}/${clientConfFile}		${printf} $'\n' >> ${clientsConfDir}/${clientConfFile}
	${echo} "</key>" >> ${clientsConfDir}/${clientConfFile}
	# show info about output conf file		# crt to conf file
	${echo} $'\r'		${echo} "<cert>" >> ${clientsConfDir}/${clientConfFile}
	${echo} "Client's \"${clientName}\" Configuration: ${clientsConfDir}/${clientConfFile}"		${cat} ${clientCrtFile} >> ${clientsConfDir}/${clientConfFile}
	</~~syntaxhighlight~~>		${echo} "</cert>" >> ${clientsConfDir}/${clientConfFile}

			# line break
			${printf} $'\n' >> ${clientsConfDir}/${clientConfFile}

			# crt to conf file
			${echo} "<key>" >> ${clientsConfDir}/${clientConfFile}
			${cat} ${clientKeyFile} >> ${clientsConfDir}/${clientConfFile}
			${echo} "</key>" >> ${clientsConfDir}/${clientConfFile}

			# show info about output conf file
			${echo} $'\r'
			${echo} "Client's \"${clientName}\" Configuration: ${clientsConfDir}/${clientConfFile}"


			<code>chmod +x /etc/openvpn/makeClientConf.sh</code>


			Генерируем конфигурацию клиента (имя клиента такое же как при создании пользователя через easy-rsa - в нашем случае: client1)

			<code>cd /etc/openvpn</code>

			<code>./makeClientConf.sh</code>

			Готовая конфигурация клиента будет создана в директории '''/etc/openvpn/clientsConf'''

			Передаем её клиенту по зашифрованному каналу (она содержит приватный ключ)

			Клиент загружает конфигурацию в '''OpenVPN-Connect''' (на нём тестировалось и работает)

	== OpenVPN клиенты ==		== OpenVPN клиенты ==

Cless в 18:26, 14 февраля 2025

2025-02-14T18:26:44Z

← Предыдущая		Версия 18:26, 14 февраля 2025
Строка 87:		Строка 87:
	Подписываем запрос на получение сертификата у нашего CA:		Подписываем запрос на получение сертификата у нашего CA:

	<code>./easyrsa sign-req server server</code>		<code>./easyrsa --days=3650 sign-req server server</code>
	Request subject, to be signed as a server certificate for 3650 days:		Request subject, to be signed as a server certificate for 3650 days:
	В процессе работы скрипта вводим пароль от CA, который указывали раньше и отвечаем на вопрос yes.		В процессе работы скрипта вводим пароль от CA, который указывали раньше и отвечаем на вопрос yes.

Cless в 06:50, 2 мая 2022

2022-05-02T06:50:26Z

← Предыдущая		Версия 06:50, 2 мая 2022
Строка 265:		Строка 265:
	client.key		client.key
	ca.crt		ca.crt
	~~Вариант 2. Генерируем файл-конфигурацию клиента со встроенными ключами~~

			==== Вариант 2. Генерируем файл-конфигурацию клиента со встроенными ключами ====
	'''!!! НЕ ТЕСТИРОВАЛ !!! ДОДЕЛАТЬ !!!'''		'''!!! НЕ ТЕСТИРОВАЛ !!! ДОДЕЛАТЬ !!!'''