RTzRa's hive - software:openvpn

OpenVPN и маршруты в клиентские сети

anonymous@undisclosed.example.com (Anonymous) — Fri, 26 Dec 2025 14:11:00 +0000

OpenVPN и маршруты в клиентские сети

Иногда при использовании OpenVPN бывает необходимо попадать с сервера в клиентские сети. Например, к серверу OpenVPN подключается два клиента с подсетями 192.168.100.0/24 и 192.168.101.0/24 и с сервера необходимо добавить маршруты в подсети этих клиентов. Стандартными настройками это не делается, нужно прикручивать скрипты.

Устанавливаем утилиту ipcalc:

sudo apt install ipcalc

Создаем скрипты /etc/openvpn/client-connect.sh и /etc/openvpn/client-disconnect.sh

/etc/openvpn/client-connect.sh

#!/bin/bash
# Скрипт выполняется при подключении каждого клиента
 
# Логируем запуск
logger -t openvpn "Client $common_name connected with IP $ifconfig_pool_remote_ip"
 
# Проверяем CCD файл клиента
if [ -f "/etc/openvpn/ccd/$common_name" ]; then
    # Ищем iroute директивы
    while IFS= read -r line; do
        if [[ "$line" =~ ^iroute[[:space:]]+([0-9\.]+)[[:space:]]+([0-9\.]+) ]]; then
            network="${BASH_REMATCH[1]}"
            netmask="${BASH_REMATCH[2]}"
 
            # Конвертируем в CIDR
            cidr=$(ipcalc "$network" "$netmask" | grep 'Netmask' | awk {'print $4'})
 
            if [ -n "$cidr" ]; then
                # Добавляем маршрут на сервере
                sudo ip route add "$network/$cidr" via "$ifconfig_pool_remote_ip" dev "$dev" 2>/dev/null
 
                # Логируем действие
                logger -t openvpn "Added route $network/$cidr via $ifconfig_pool_remote_ip (client: $common_name)"
 
                # Выводим в лог OpenVPN
                echo "$(date): Added route $network/$cidr via $ifconfig_pool_remote_ip for client $common_name"
            fi
        fi
    done < "/etc/openvpn/ccd/$common_name"
fi
 
exit 0

/etc/openvpn/client-disconnect.sh

#!/bin/bash
# Скрипт выполняется при отключении клиента
 
# Проверяем CCD файл клиента
if [ -f "/etc/openvpn/ccd/$common_name" ]; then
    while IFS= read -r line; do
        if [[ "$line" =~ ^iroute[[:space:]]+([0-9\.]+)[[:space:]]+([0-9\.]+) ]]; then
            network="${BASH_REMATCH[1]}"
            netmask="${BASH_REMATCH[2]}"
 
            cidr=$(ipcalc "$network" "$netmask" | grep 'Netmask' | awk {'print $4'})
 
            if [ -n "$cidr" ]; then
                # Удаляем маршрут
                sudo ip route del "$network/$cidr" 2>/dev/null
 
                # Логируем
                logger -t openvpn "Removed route $network/$cidr (client: $common_name disconnected)"
            fi
        fi
    done < "/etc/openvpn/ccd/$common_name"
fi
 
exit 0

Так же необходимо добавить в конфиг OpenVPN несколько строк, которые добавят вызов скриптов при подключении/отключении клиента.

script-security 3  # или 2, если 3 не работает
client-connect /etc/openvpn/client-connect.sh
client-disconnect /etc/openvpn/client-disconnect.sh

Добавляем в конфигурационный файл клиента:

ifconfig-push 172.16.1.10 255.255.255.0
iroute 192.168.100.0 255.255.255.0

172.16.1.10 - IP который будет назначен клиенту при подключении

iroute 192.168.100.0 255.255.255.0 - добавляет адрес подсети клиента, который и будет добавляется в маршруты

OpenVPN: дополнительные настройки

anonymous@undisclosed.example.com (Anonymous) — Sun, 12 Nov 2023 18:24:29 +0000

OpenVPN: дополнительные настройки

Отключить получение настроек DNS от сервера:

pull-filter ignore "dhcp-option  DNS"
pull-filter ignore "register-dns"
pull-filter ignore "block-outside-dns"

Максимально совместимые протоколы шифрования:

data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305
data-ciphers-fallback AES-256-CBC
auth SHA256

openvpn, настройки

OpenVPN - эффект Стрейзанд

anonymous@undisclosed.example.com (Anonymous) — Wed, 11 Apr 2018 09:14:00 +0000

OpenVPN - эффект Стрейзанд

Одной командой поднимается мега-монстр - полностью автоматизированный скрипт, ставит OpenVPN, Shadowsocks, stunnel и множество других прекрасных плюшек. Также настраивает фаервол. После установки есть вебморда (защищена https!) для выдачи ключей openvpn клиентам.

Стрейзанд поддерживает создание новых серверов в Amazon EC2, Azure, DigitalOcean, Google Compute Engine, Linode, и Rackspace. В скором времени ожидается поддержка также и других облачных хостеров. Стрейзанд также можно запускать на любом сервере с операционной системой Ubuntu 16.04 вне зависимости от хостера, и сотни серверов могут быть одновременно сконфигурированы с применением этого метода.

https://github.com/StreisandEffect/streisand/blob/master/README-ru.md

openvpn, streizand, vpn

OpenVPN и stunnel

anonymous@undisclosed.example.com (Anonymous) — Sun, 15 Sep 2024 11:15:58 +0000

OpenVPN и stunnel

В некоторых случаях необходимо обернуть OpenVPN во что-то для прохода через фаерволы. Отличным вариантом является stunnel.

Устанавливаем stunnel

Устанавливаем на сервер и на клиенте:

apt install stunnel4

Настраиваем сервер

Создаем ключи:

cd /etc/stunnel
openssl genrsa -out key.pem 2048
openssl req -new -x509 -key key.pem -out cert.pem -days 3650
cat key.pem cert.pem >> stunnel.pem

Создаем файл конфигурации /etc/stunnel/stunnel.conf

chroot = /var/lib/stunnel4
pid = /stunnel.pid
output = /stunnel.log
setuid = stunnel4
setgid = stunnel4
socket = l:TCP_NODELAY=1

[openvpn]
accept = XX.XX.XX.XX:YYYY
connect = 127.0.0.1:1194
cert=/etc/stunnel/cert.pem
key=/etc/stunnel/key.pem

где XX.XX.XX.XX - адрес на котором stunnel будет слушать, а YYYY - порт

Для того, чтобы сервис stunnel стартовал автоматически необходимо отредактировать файл /etc/default/stunnel4

ENABLED=1

Открываем порт на фаерволе (в моем случае это ufw):

sudo ufw allow YYYY

Теперь перезапустим службу stunnel, сервис должен полноценно заработать и начать принимать входящие соединения:

# sudo /etc/init.d/stunnel4 restart

Настраиваем клиента

Копируем stunnel.pem - сертификат с сервера в /etc/stunnel

Создаем файл конфигурации /etc/stunnel/stunnel.conf

output = /stunnel.log
client = yes

[openvpn]
cert = /etc/stunnel/stunnel.pem
accept = ZZ.ZZ.ZZ.ZZ:1194
connect = XX.XX.XX.XX:YYYY

где

XX.XX.XX.XX - адрес сервера к которому stunnel будет подключаться, а YYYY - порт
ZZ.ZZ.ZZ.ZZ - адрес сервера OpenVPN

Теперь перезапустим службу stunnel, клиент должен подключиться:

# sudo /etc/init.d/stunnel4 restart

Далее в OpenVPN со стороны клиента настраиваем подключение к ZZ.ZZ.ZZ.ZZ:1194 и проверяем работу

openvpn, stunnel, vpn

OpenVPN Установка в Ubuntu

anonymous@undisclosed.example.com (Anonymous) — Sun, 05 Jan 2025 13:28:09 +0000

OpenVPN Установка в Ubuntu

Пакеты идущие по умолчанию могут быть не всегда свежими (особенно если версия Ubuntu не последняя). Поэтому ставим из репозитория OpenVPN.

Страница с описанием: https://community.openvpn.net/openvpn/wiki/OpenvpnSoftwareRepos

Все делаем под админом:

sudo -s

Импортируем ключ, которым подписаны пакеты:

# mkdir -p /etc/apt/keyrings # directory does not exist on older releases
# curl -fsSL https://swupdate.openvpn.net/repos/repo-public.gpg | gpg --dearmor > /etc/apt/keyrings/openvpn-repo-public.gpg

Добавляем репозиторий:

$ echo "deb [arch=<arch> signed-by=/etc/apt/keyrings/openvpn-repo-public.gpg] https://build.openvpn.net/debian/openvpn/<version> <osrelease> main" > /etc/apt/sources.list.d/openvpn-aptrepo.list

Где <arch>:

    amd64
    arm64

Где <version>:

    stable: stable releases only - no alphas, betas or RCs
    testing: latest releases, including alphas/betas/RCs
    release/2.3: OpenVPN 2.3 releases
    release/2.4: OpenVPN 2.4 releases, including alphas/betas/RCs
    release/2.5: OpenVPN 2.5 releases, including alphas/betas/RCs
    release/2.6: OpenVPN 2.6 releases, including alphas/betas/RCs

а <osrelease> зависит от используемого дистрибутива:

    buster (Debian 10.x)
    bullseye (Debian 11.x)
    bookworm (Debian 12.x)
    focal (Ubuntu 20.04 LTS)
    jammy (Ubuntu 22.04 LTS)
    noble (Ubuntu 24.04 LTS)

Примеры:

echo "deb http://build.openvpn.net/debian/openvpn/stable focal main" > /etc/apt/sources.list.d/openvpn-aptrepo.list
echo "deb http://build.openvpn.net/debian/openvpn/stable buster main" > /etc/apt/sources.list.d/openvpn-aptrepo.list

Обновляем список пакетов и устанавливаем:

apt update && apt-get install openvpn

ubuntu, openvpn, установка

OpenVPN Настройка сервера

anonymous@undisclosed.example.com (Anonymous) — Sun, 11 Oct 2020 18:51:18 +0000

OpenVPN Настройка сервера

Зачем 100500 статейка на одну и ту же тему? Просто для себя!

Задача:

Сервер OpenVPN на Ubuntu (настройки пойдут на любом другом дистрибутиве, вся разница только в установке пакетов)
Разумные (но не параноидальные) настройки безопасности, больше информации можно найти тут: https://blog.securityevaluators.com/hardening-openvpn-in-2020-1672c3c4135a
Скорость работы через соединение должна быть приемлемой. Чем сильнее затянуты гайки в плане безопасности - тем неудобнее работать

Что будет в итоге:

Авторизация по сертификатам
Согласование ключей на основе эллиптических кривых ECDH (Elliptic Curve Diffie-Hellmann), а не на привычных DH. Что это и чем лучше можно посмотреть тут: https://habr.com/ru/post/335906/
TSL-криптование соединения
Списки отзыва сертификатов
Пуш клиентам необходимых настроек

Что нужно:

Сервер с операционной системой Linux (в моем случае это Ubuntu)
Белый IP - в примере это XXX.XXX.XXX.XXX
Крайне желательна DNS-запись для данного IP (но можно обойтись) - в примере это vpn.mysite.com

Установка OpenVPN

Подробно процесс установки описан тут: OpenVPN Установка в Ubuntu

Так же для создания сертификатов нам понадобится пакет easy-rsa:

sudo apt install easy-rsa

Примечание: нижеследующее описание для easy-rsa 2.x, в версии 3.x команды другие

Создание директории центра сертификации

OpenVPN использует сертификаты для шифрования трафика между сервером и клиентами. Для выпуска доверенных сертификатов нам потребуется создать наш собственный центр сертификации.

Для начала скопируем шаблонную директорию easy-rsa в нашу домашнюю директорию с помощью команды make-cadir и перейдем в нее:

make-cadir ~/openvpn-ca
cd ~/openvpn-ca

Настройка переменных центра сертификации

Настройка переменных нужна для ускорения и упрощения создания сертификатов.

Необходимо отредактировать файл vars и установить переменные как указано ниже:

...
export KEY_SIZE=2048 # Длина ключа. Чем больше, тем безопаснее, но и меньше производительность
...
export CA_EXPIRE=3650 # Срок жизни сертификата центра авторизации. 3650 - 10 лет
...
export KEY_EXPIRE=3650 # Срок жизни сертификатов пользователей
export KEY_COUNTRY="RU"  # Наименование страны
export KEY_PROVINCE="YourRegion"  # Название региона
export KEY_CITY="YourCity"  # Название города
export KEY_ORG="YourCompany"  # Название компании
export KEY_EMAIL="your@email.com"  # Адрес почты
export KEY_OU="YourOU"  # Наименование подразделения
export KEY_CN="CommonName" # Это имя сертификата и он меняется при создании или его нужно будет вводить руками
...
# X509 Subject Field
export KEY_NAME="vpn.mysite.com"  # Имя ключа, необязательно. Можно указать что угодно, но лучше или DNS-имя или белый IP
...

Как работать с сертификатами

При любых операциях с сертификатами желательно начинать работу с применения переменных из файла vars:

cd ~/openvpn-ca
source vars

Создание сертификата центра сертификации (CA)

Убедитесь, что вы находитесь в директории центра сертификации и применим настройки из файла vars:

cd ~/openvpn-ca
source vars

Вы должны увидеть следующий вывод:

NOTE: If you run ./clean-all, I will be doing a rm -rf on /home/fireball/openvpn-ca/keys

Убедимся, что мы работаем в “чистой среде” выполнив следующую команду:

./clean-all

Теперь мы можем создать наш корневой центр сертификации командой:

./build-ca

Эта команда запустит процесс создания ключа и сертификата корневого центра сертификации. Поскольку мы задали все переменные в файле vars, все необходимые значения будут введены автоматически. Нажимайте ENTER для подтверждения выбора. По окончании процесса у нас появится сертификат центр сертификации (CA), который мы сможем использовать для создания всех остальных необходимых нам сертификатов.

Создание сертификатов сервера

Создаем сертификат, в примере я выбрал наименование ServerVPN

./build-key-server ServerVPN

Согласитесь со всеми значениями по умолчанию (кроме Common Name, оно должно быть ServerVPN), нажимая ENTER. Не задавайте challenge password. В конце процесса два раза введите «Y» для подписи и подтверждения создания сертификата.

Ключ протокола Диффи-Хеллмана, используемые при обмене ключами НЕ ДЕЛАЮ, т.к. будет использоваться согласование ключей на основе эллиптических кривых ECDH (Elliptic Curve Diffie-Hellmann).

Но если вдруг понадобится, вот команда:

./build-dh

Создаем подпись HMAC для проверки целостности TLS:

openvpn --genkey --secret keys/ta.key

В результате в папке keys должно быть несколько файлов, из которых 4 нужные для дальнейшей работы:

ca.crt - сертификат центра авторизации
ServerVPN.crt - сертификат сервера
ServerVPN.key - приватный ключ сервера
ta.key - ключ для проверки TLS

Внимание

Важно: все файлы с расширением key являются приватными и должны быть доступны только их владельцам

Создаем файл отзыва сертификатов

Файл отзыва нужен в ситуации когда какой-то сертификат «утек» и требуется запретить подключение с ним.

Для создания файла необходимо создать сертификат и тут же отозвать его.

Создаем, отвечая на все вопросы и в конце два раза «Y»:

./build-key empty-crl

Отзываем:

./revoke-full empty-crl

В папке keys появится файл crl.pem - нужно сделать на него символическую ссылку или каждый раз после отзыва сертификатов копировать в папку откуда его увидит OpenVPN.

Создаем сертификаты пользователей

Создаем сертификат пользователя с именем client1, отвечая на все вопросы и в конце два раза «Y»:

./build-key client1

Итак, все готово и вот какие файлы для подключения будут нам нужны:

ca.crt
client1.crt
client1.key
ta.key

Конфигурационный файл сервера OpenVPN

Копируем наши сертификаты в папку:

cd ~/openvpn-ca/keys
sudo cp ca.crt ServerVPN.crt ServerVPN.key ta.key /etc/openvpn

Создаем файл /etc/openvpn/server.conf:

port 1194 # Порт 1194
proto udp # Протокол UDP
dev tun # Тип интерфейса: TUN - L3, TAP - L2
ca /etc/openvpn/ca.crt # Сертификат ЦА (CA) 
cert /etc/openvpn/ServerVPN.crt # Сертификат сервера
key /etc/openvpn/ServerVPN.key  # Ключ сервера
crl-verify /etc/openvpn/crl.pem # Список отозванных сертификатов
dh none # Не используем Diffie-Hellmann
ecdh-curve secp384r1 # Используем эллиптические кривые
topology subnet # Топология
server 10.8.0.0 255.255.255.0 # Адрес сервера и /24 подсеть
ifconfig-pool-persist ipp.txt # перед тем как выдать клиенту свободный адрес из пула сервер должен свериться с файлом ipp.txt в котором прописывается привязка имени пользователя к ip-адресу
client-config-dir /etc/openvpn/ccd # Директория для индивидуальных настроек пользователей (IP, маршруты и т.д.)
push "dhcp-option DNS 10.8.0.1" # Принудительная отправка DNS-сервера клиентам
client-to-client # Разрешить клиеентам подключаться друг к другу
float # позволять пользователям менять IP
keepalive 10 60 # Проверка таймаутов каждый 10 сек и переподключение через 60 секунд неактивности
persist-key # не перечитывать файлы ключей при перезапуске туннеля
persist-tun # оставлять без изменения устройства tun/tap при перезапуске OpenVPN
explicit-exit-notify 1 # Уведомлять клиентов о необходимости переподключения
tls-crypt /etc/openvpn/ta.key # Ключ TLS
tls-version-min 1.2 # Минимальная версия TLS
remote-cert-tls client # Требовать сертификат клиента
verify-client-cert require # Запретить подключения без сертификата
cipher AES-256-GCM # Протокол шифрования. AES-128-GCM менее безопасно, зато быстрее на 40% - решать вам
auth SHA256 # Протокол аутентификации
opt-verify #не разрешать подключение клиентов с отличающимися настройками
verify-client-cert require #не разрешать подключение без сертификатов
compress lz4-v2 # Режим сжатия
push "compress lz4-v2" # Уведомить клиента об используемом режиме сжатия
user nobody # Запуск процесса под непривелегированным пользователем
group nogroup # Запуск процесса под непривелегированным пользователем
status openvpn-status.log # путь к статус-файлу, в котором содержится информация о текущих соединениях и информация о интерфейсах TUN/TAP
verb 3 # уровень логирования
mute 20 # кол-во записей в каждой из категорий

Файлы индивидуальных настроек для определенных клиентов

Если требуется каким-то клиентам выдавать индивидуальные настройки, должно быть сделано:

Должна существовать папка ccd (можно назвать как угодно), например /etc/openvpn/ccd
Включена настройка client-config-dir /etc/openvpn/ccd в файле конфигурации
В папке создан файл для конкретного клиента с его именем

Содержимое файла client1 для примера:

ifconfig-push 10.8.0.101 255.255.255.0
push "route 10.10.10.0 255.255.255.0"

Файл настроек клиента (*.ovpn)

Пример файла клиента:

client # Режим работы Клиент
proto udp # Протокол UDP
dev tun # Тип интерфейса: TUN - L3, TAP - L2
nobind # использовать динамический порт для подключени
remote vpn.mysite.com 1194 # Сервер к которому подключаемся и порт
resolv-retry infinite # Бесконечное кол-во попыток подключения
keepalive 10 60 # Проверка таймаутов каждый 10 сек и переподключение через 60 секунд неактивности
persist-key # не перечитывать файлы ключей при перезапуске туннеля
persist-tun # оставлять без изменения устройства tun/tap при перезапуске OpenVPN
cipher AES-256-GCM # Протокол шифрования. AES-128-GCM менее безопасно, зато быстрее на 40% - решать вам
auth SHA256 # Протокол аутентификации
tls-version-min 1.2 # Минимальная версия TLS
tls-client # Режим клиента TLS
remote-cert-tls server # Проверять TLS от сервера
verify-x509-name vpn.mysite.com name # Проверять кем выдан сертификат
comp-lzo # Уровень сжатия
float # позволять менять IP
verb 3 # Уровель логирования
auth-nocache # Не кэшировать аутентификационные данные
<ca>
=== Сертификат центра авторизации (ca.crt) ===
</ca>
<cert>
=== Сертификат пользователя (client1.crt) ===
</cert>
<key>
=== Приватный ключ пользователя (client1.key) ===
</key>
<tls-crypt>
=== Ключ HMAC для TLS (ta.key) ===
</tls-crypt>

Настройка firewall (упрощенный вариант)

Для начала необходимо разрешить прохождение трафика между интерфейсами в файле /etc/sysctl.conf:

net.ipv4.ip_forward=1

и применить изменения:

sysctl -p

Разрешаем клиентам ходить куда угодно (eth0 - основной шлюз):

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j SNAT