Cấu hình VPN Client to Site trên Centos phần 1

Mô hình mạng

Các bạn đang tập tành tìm hiểu về vpn trên linux thì chắc cũng đã có kiến thức về vpn trêm windows rằng như thế nào là vpn , vpn để làm gì....vv nên mình không nói nhiều về cái này nữa.Chỉ nói ngắn gọi cho bài lab của chúng ta hôm nay là cấu hình vpn client to site trên linux (centos) cho máy client kết nối vào mạng nội bộ bằng cách sử dụng phần mềm openvpn

Chuẩn bị : Các bạn chuẩn bị máy theo thông số bên dưới.

- Máy tính 1 : là máy thuộc mạng nội bộ , ta gọi là local đi ha , chạy hệ điều hành windows (mình dùng win 2k3)

IP : 172.16.10.2
Subnet Mask : 255.255.255.0
Card : VM 3

- Máy tính 2 : là máy client dùng để quay vpn, mình cũng dùng là win 2k3 luôn.

IP : 192.168.10.11
Subnet Mask : 255.255.255.0
VM3 ,VM 4

-Máy tính 3 : là máy làm vpn server , mình chạy Centos 5.x

IP : 192.168.10.10
Subnet Mask : 255.255.255.0
VM 4

Đảm bảo các máy ping thông với nhau rồi nha !

Bắt đầu :

Bước 1 : Cài đặt

-Trên máy tính 3 :

Bạn down gói lzo , openvpn theo link này , trong link đó còn có cả soft để làm vpn client nữa.bạn cứ down về để đó nha.

Theo lời khuyên của mình thì bạn nên chỉnh card cho máy centos là NAT đi đã.các thông số như trên chưa làm cũng được.về cuối bài chúng ta có thể chỉnh sau.chỉnh card NAT để yum cái thư viện cho openvpn thôi.


Cài đặt thư viện :

yum install -y gcc-c++

Cài đặt openssl : thường thì centos có sẵn cái này nhưng bạn cứ yum đi cho nó an toàn.

yum install -y openssl-devel

Cài đặt vim (một công cụ để edit file)

yum install -y vim-*

Sau khi bạn tải về file đính kèm bạn giải nén ra được các file lzo-1.08.tar.gz , openvpn-2.0.9.tar.gz , openvpn-2.0.9-gui-1.0.3-install.exe

Bạn coppy 2 file lzo-1.08.tar.gz , openvpn-2.0.9.tar.gz vào thư mục gốc /root


Cài đặt zlo 

-Giải nén zlo

tar -xvzf /root/lzo-1.08.tar.gz

-Di chuyển đến thư mục vừa giải nén.

cd /root/lzo-1.08

-Kiểm tra các thư viện đã đủ chưa

./configure

-Thực hiện biên dịch

make

-Thực hiện cài đặt

make install

Cài đặt openvpn

-Giải nén openvpn

tar -xvzf /root/openvpn-2.0.9.tar.gz

-Di chuyển đến thư mục vừa giải nén.

cd /root/openvpn-2.0.9/

-Kiểm tra các thư viện đã đủ chưa

./configure

-Thực hiện biên dịch

make

-Thực hiện cài đặt

make install

-Tạo thư mục openvpn

mkdir /etc/openvpn

Bước 2 : Cấu hình

Tạo CA Certificate Server và Key

Copy thư mục easy-rsa từ thư mục giải nén /root/openvpn-2.0.9/easy-rsa/ vào /etc/openvpn/

cp -r /root/openvpn-2.0.9/easy-rsa/ /etc/openvpn/

Tạo CA Certificate Server

-Di chuyển đến thư mục cd /etc/openvpn/easy-rsa/2.0/

cd /etc/openvpn/easy-rsa/2.0/

-Di chuyển toàn bộ file trong thư mục 2.0/ ra thư mục easy-rsa/ 

mv * ../

chú ý : giữa mv * ../ có dấu cách và nhấn phím y cho đến khi nào xong thì thôi.

-Chuyển đến thư mục easy-rsa/

cd ..

-Tạo thư mục /etc/openvpn/easy-rsa/keys để chứa keys, certificate

mkdir keys

-Sửa các thông số mặc định theo ý bạn, hoặc bạn có thể bỏ qua bước này nếu bạn thích dùng mặc định.còn mình sẽ sửa như sau.

vim vars

export KEY_COUNTRY="VN"
export KEY_PROVINCE="HCM"
export KEY_CITY="HCM"
export KEY_ORG="abc"
export KEY_EMAIL="openvpn@abc.com"

Cấu hình CA:
-Khởi tạo các biến môi trường đã tạo ở trên

. ./vars

chú ý : có khoảng cách giữa các dấu chấm.

Khi chạy câu lệnh này thì hệ thống yêu cầu không có file hay thư mục nào trong thư mục keys cả.Nó sẽ hiện dòng thông báo yêu cầu chúng ta chạy lênh ./clean-all đê xóa trắng thư mục keys nếu trong đó có gì đó.

./clean-all

Tạo CA server-tạo key
Chúng ta sẽ tạo private key và nó sẽ lưu trong file ca.key

./build-ca

Chúng ta enter liên tục và dừng lại ở mục common name nhé.bạn gõ caserver .Bạn phải nhớ cái này nhé !

Sau đó enter tiếp.



Chúng ta chạy lệnh ls sẽ thấy các file được tạo ra.các file này đều được mã hóa hết.




Tạo certificate và private key cho server (xin CA cho server)

./build-key-server openvpnserver

HÌnh trên mình không chụp được hết mà chỉ chụp phần dưới thôi.Bạn cứ enter khí thế vào nhé ! 

Bạn có thể dùng lệnh liệt kê để xem các file được tạo ra ls keys/


Tạo Diffie Hellman ( DH ): băm keys

./build-dh

Quá trình này mấy ít phút của bạn, tùy theo hệ thống. :choccuoi:
Tạo Client Certificate và Private key cho Client (sieunhan)

Cái này dùng để chứng thực 2 chiều. Ở bài lab này mình tạo cho user sieunhan 

./build-key sieunhan

Bạn cứ enter khí thế tiếp nhé  hình mình chụp không hết (mà cũng chẳng có gì cả) nên không up lên đây.đoạn nào cần nhấny thì cứ nhấn y nhé.

ls keys/ phát nữa xem ra được cái gì không nào.


Cấu hình chức năng Forwarding (dùng để thực hiện Lan Routing) 

Cái này để thằng client ping chết toi thằng local ấy mà  (ping làm sao chết thì còn phải nghiên cứu )

Bạn gõ lệnh sau để sửa nhá

vim /etc/sysctl.conf

Chỉnh lại dòng net.ipv4.ip_forward = 0 thành net.ipv4.ip_forward = 1 nhé



Gõ lệnh sau để cái trên có hiệu lực nào

sysctl –p

Phang thêm thằng này nữa

echo 1 > /proc/sys/net/ipv4/ip_forward

Cấu hình VPN Server
Copy file cấu hình server.conf mẫu từ source cài đặt vào /etc/openvpn/

cp /root/openvpn-2.0.9/sample-config-files/server.conf /etc/openvpn/