[Comm] openvpn

[Nikolay A. Fetisov]

On Wednesday 01 June 2005 11:46, Roman V. Tutov wrote:
> ...
> О боже . как оно все сложно . Не подскажете где это описано
> "по нунктам" .я пытался разобраться с доками на openvpn так
> там черт ногу сломит

В принципе, там достаточно взять пару примеров конфигураций...

По пунктам:
0. На сервере:  apt-get install openvpn
1. На рабочем месте администратора: apt-get install tinyca
2. Запустить tinyca (в меню "Сеть"->"Другие"). 
2a. Выбрать создание нового CA. Заполнить поля. Создать CA.
2b. Создать новый серверный сертификат. В качестве Common name
     задать DNS-имя сервера.
2c. Создать новый клиентский сертификат. В качестве Common name
     выбрать имя клиента.
2d. Экспортировать в pem-формате: сертификат CA, сертификат
     сервера, сертификат клиента, и ключи к сертификату сервера
     и клиента. Ключ сертификата сервера должен быть без пароля,
     клиента - по желанию.
3. Перенести сертификат CA, сертификат сервера и ключ на сервер. 
    Положить в какой-либо подкаталог в /etc/openvpn. Для ключа
    разрешить только чтение и только для root. 
4. Переписать в /etc/openvpn пример конфигурации из 
%doc/sample-config-files/server.conf . Отредактировать:
4a. Пути к сертификатам и ключам (параметры ca, cert, key)
4b. Диапазон адресов в server
4c. Путь к файлу dh.
5. Сгенерировать последний файл,  
   # openssl dhparam -out dh1024.pem 1024
   Подробнее см. в комментариях к примеру конфигурации.
6. Разрешить работу с OpenVPN в настройках iptables.
    Используемый порт - 1194. Протоколы - udp и tcp. 
    Плюс настройки для создаваемого интерфейся tun0. 
7. Запустить сервиc openvpn, смотреть в логи на предмет ошибок в
   конфигурации.

8. Переписать на клиента его конфигурацию client.conf,
   сертификат CA, сертификат и ключ к сертификату для клиента.
9. В конфигурации клиента смотреть на директиву remote с именем
    сервера и на пути к ключам.
10. Запустить openvpn на клиенте, наблюдать за установлением
    соединения.
11. По необходимости повторить генерацию сертификатов и
    настройку для других клиентов.


-- 
С уважением,
Николай Фетисов