Vous n'êtes pas identifié(e).
L'icône rouge permet de télécharger chaque page du wiki visitée au format PDF et la grise au format ODT →
Ci-dessous, les différences entre deux révisions de la page.
Les deux révisions précédentes Révision précédente Prochaine révision | Révision précédente Prochaine révision Les deux révisions suivantes | ||
doc:reseau:vpn:openvpn [22/12/2016 18:20] kawer |
doc:reseau:vpn:openvpn [27/07/2017 18:46] enicar |
||
---|---|---|---|
Ligne 4: | Ligne 4: | ||
* Niveau requis : {{tag>avisé}} | * Niveau requis : {{tag>avisé}} | ||
* Commentaires : //serveur, nat.. // | * Commentaires : //serveur, nat.. // | ||
- | * Débutant, à savoir : [[:doc:systeme:commandes:le_debianiste_qui_papillonne|Utiliser GNU/Linux en ligne de commande, tout commence là !.]] :-) | + | * Suivi : |
- | * Suivi : {{tag>à-placer}} | + | |
* Création par [[user>kawer]] 27/05/2016 | * Création par [[user>kawer]] 27/05/2016 | ||
- | * Testé par <...> le <...> | + | * Testé par Tsukasa le 22/01/2017 |
* Commentaires sur le forum : [[https://debian-facile.org/viewtopic.php?id=15701 | Lien vers le forum concernant ce tuto]] ((N'hésitez pas à y faire part de vos remarques, succès, améliorations ou échecs !)) | * Commentaires sur le forum : [[https://debian-facile.org/viewtopic.php?id=15701 | Lien vers le forum concernant ce tuto]] ((N'hésitez pas à y faire part de vos remarques, succès, améliorations ou échecs !)) | ||
- | |||
- | **Nota :** | ||
- | |||
- | Contributeurs, les FIXME sont là pour vous aider, supprimez-les une fois le problème corrigé ou le champ rempli ! | ||
==== Présentation ==== | ==== Présentation ==== | ||
Ligne 33: | Ligne 28: | ||
<code root>apt-get update && apt-get install openvpn</code> | <code root>apt-get update && apt-get install openvpn</code> | ||
- | cp -a /usr/share/easy-rsa /etc/openvpn/ | + | === On se prépare à installer les certificats === |
- | cd /etc/openvpn/easy-rsa | + | <code root>cp -a /usr/share/easy-rsa /etc/openvpn/</code> |
- | source vars | + | <code user>cd /etc/openvpn/easy-rsa</code> |
- | ./clean-all | + | <code root>source vars</code> |
+ | <code root>./clean-all</code> | ||
=== Création des certificats de l'autorité de certification : === | === Création des certificats de l'autorité de certification : === | ||
Ligne 160: | Ligne 156: | ||
Vous devriez obtenir quelque chose comme suit : | Vous devriez obtenir quelque chose comme suit : | ||
- | |||
<code> | <code> | ||
- | Fri May 27 15:41:06 2016 OpenVPN 2.3.4 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [MH] [IPv6] built on Nov 12 2015 | + | Thu Dec 22 18:27:00 2016 OpenVPN 2.3.4 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [MH] [IPv6] built on Nov 12 2015 |
- | Fri May 27 15:41:06 2016 library versions: OpenSSL 1.0.1k 8 Jan 2015, LZO 2.08 | + | Thu Dec 22 18:27:00 2016 library versions: OpenSSL 1.0.1t 3 May 2016, LZO 2.08 |
- | Fri May 27 15:41:06 2016 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts | + | Thu Dec 22 18:27:00 2016 Diffie-Hellman initialized with 2048 bit key |
- | Fri May 27 15:41:06 2016 Diffie-Hellman initialized with 2048 bit key | + | Thu Dec 22 18:27:00 2016 Socket Buffers: R=[212992->131072] S=[212992->131072] |
- | Fri May 27 15:41:06 2016 Socket Buffers: R=[229376->131072] S=[229376->131072] | + | Thu Dec 22 18:27:00 2016 ROUTE_GATEWAY 213.32.16.1 |
- | Fri May 27 15:41:06 2016 ROUTE_GATEWAY 92.222.64.1 | + | Thu Dec 22 18:27:00 2016 TUN/TAP device tun0 opened |
- | Fri May 27 15:41:06 2016 TUN/TAP device tun0 opened | + | Thu Dec 22 18:27:00 2016 TUN/TAP TX queue length set to 100 |
- | Fri May 27 15:41:06 2016 TUN/TAP TX queue length set to 100 | + | Thu Dec 22 18:27:00 2016 do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0 |
- | Fri May 27 15:41:06 2016 do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0 | + | Thu Dec 22 18:27:00 2016 /sbin/ip link set dev tun0 up mtu 1500 |
- | Fri May 27 15:41:06 2016 /sbin/ip link set dev tun0 up mtu 1500 | + | Thu Dec 22 18:27:00 2016 /sbin/ip addr add dev tun0 local 10.8.0.1 peer 10.8.0.2 |
- | Fri May 27 15:41:06 2016 /sbin/ip addr add dev tun0 local 10.8.0.1 peer 10.8.0.2 | + | Thu Dec 22 18:27:00 2016 /sbin/ip route add 10.8.0.0/24 via 10.8.0.2 |
- | Fri May 27 15:41:06 2016 /etc/openvpn/update-resolv-conf tun0 1500 1542 10.8.0.1 10.8.0.2 init | + | Thu Dec 22 18:27:00 2016 GID set to nogroup |
- | Fri May 27 15:41:06 2016 /sbin/ip route add 10.8.0.0/24 via 10.8.0.2 | + | Thu Dec 22 18:27:00 2016 UID set to nobody |
- | Fri May 27 15:41:06 2016 GID set to nogroup | + | Thu Dec 22 18:27:00 2016 UDPv4 link local (bound): [undef] |
- | Fri May 27 15:41:06 2016 UID set to nobody | + | Thu Dec 22 18:27:00 2016 UDPv4 link remote: [undef] |
- | Fri May 27 15:41:06 2016 UDPv4 link local (bound): [undef] | + | Thu Dec 22 18:27:00 2016 MULTI: multi_init called, r=256 v=256 |
- | Fri May 27 15:41:06 2016 UDPv4 link remote: [undef] | + | Thu Dec 22 18:27:00 2016 IFCONFIG POOL: base=10.8.0.4 size=62, ipv6=0 |
- | Fri May 27 15:41:06 2016 MULTI: multi_init called, r=256 v=256 | + | Thu Dec 22 18:27:00 2016 IFCONFIG POOL LIST |
- | Fri May 27 15:41:06 2016 IFCONFIG POOL: base=10.8.0.4 size=62, ipv6=0 | + | Thu Dec 22 18:27:00 2016 Initialization Sequence Completed |
- | Fri May 27 15:41:06 2016 IFCONFIG POOL LIST | + | |
- | Fri May 27 15:41:06 2016 Initialization Sequence Completed | + | |
</code> | </code> | ||
<code user>ifconfig tun0</code> | <code user>ifconfig tun0</code> | ||
Ligne 202: | Ligne 195: | ||
=== Activation de l'ip forwarding : === | === Activation de l'ip forwarding : === | ||
- | <code root>nano /etc/sysctl.conf</code> | + | <code root>echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/ip_forwading.conf</code> |
- | **[[doc:programmation:commenter|Décommentez la ligne]]** | ||
- | <code>net.ipv4.ip_forward=1</code> | ||
**Activez le nouveau jeux de règle :** | **Activez le nouveau jeux de règle :** | ||
- | <code root>sysctl -p /etc/sysctl.conf</code> | + | <code root>sysctl -p /etc/sysctl.d/78-sysctl.conf</code> |
== Ajouts des règles dans iptables : == | == Ajouts des règles dans iptables : == | ||
Ligne 272: | Ligne 263: | ||
Data Base Updated | Data Base Updated | ||
</code> | </code> | ||
+ | |||
=== Sur le poste client === | === Sur le poste client === | ||
- | |||
- | == On récupère les certificats sur le serveur : == | ||
- | |||
- | scp root@serveur:/etc/openvpn/easy-rsa/keys/ca.crt /tmp | ||
- | scp root@serveur:/etc/openvpn/easy-rsa/keys/clientCert.crt /tmp | ||
- | scp root@serveur:/etc/openvpn/easy-rsa/keys/clientCert.key /tmp | ||
- | |||
==On installe openvpn :== | ==On installe openvpn :== | ||
Ligne 286: | Ligne 271: | ||
<code root>sudo apt-get update</code> | <code root>sudo apt-get update</code> | ||
<code root>sudo apt-get install openvpn</code> | <code root>sudo apt-get install openvpn</code> | ||
+ | |||
+ | === On récupère les certificats sur le serveur : === | ||
+ | **Récupérer les fichiers suivant dans /etc/openvpn/easy-rsa/keys/:** | ||
+ | [[doc:reseau:scp|scp : transfert de fichiers sécurisé entre machines]] | ||
+ | <note warning>Déconseillé d'utiliser root sur internet</note> | ||
+ | |||
+ | <code>scp root@ip_du_serveur:/etc/openvpn/easy-rsa/keys/ca.crt /tmp/</code> | ||
+ | <code>scp root@ip_du_serveur:/etc/openvpn/easy-rsa/keys/clientCert.key /tmp/</code> | ||
+ | <code>scp root@ip_du_serveur:/etc/openvpn/easy-rsa/keys/clientCert.crt /tmp/</code> | ||
==On copie le le fichier de configuration et certificats == | ==On copie le le fichier de configuration et certificats == | ||
Ligne 293: | Ligne 287: | ||
<code root>mkdir -p keys</code> | <code root>mkdir -p keys</code> | ||
<code root>cd keys</code> | <code root>cd keys</code> | ||
- | <code root>cp /tmp/ca.crt .</code> | + | |
- | <code root>cp /tmp/clientCert.key .</code> | + | **Coller dans le dossiers en cours (keys) les fichiers suivants :** |
- | <code root>cp /tmp/clientCert.crt .</code> | + | |
+ | <code>mv /tmp/ca.crt /etc/openvpn/keys/</code> | ||
+ | <code>mv /tmp/clientCert.key /etc/openvpn/keys/</code> | ||
+ | <code>mv /tmp/clientCert.crt /etc/openvpn/keys/</code> | ||
== Modification du fichier de configuration == | == Modification du fichier de configuration == | ||
Ligne 307: | Ligne 304: | ||
</code> | </code> | ||
+ | Pour que toutes les connexions passent par votre vpn il faut également ajouter: | ||
+ | <code>redirect-gateway def1</code> | ||
+ | |||
+ | |||
+ | |||
+ | <note important>Changez les DNS de votre client, ceux de votre FAI sont fermé! Vous pouvez utiliser ceux de [[https://wiki.opennic.org/doku.php|opennic]] par exemple</note> | ||
+ | <note tip>Si vous utilisez [[doc:reseau:network-manager|Network-Manager]] c'est dans ces options que vous devez définir les nouveaux DNS à utiliser.Vous pouvez également le faire en ligne de commande: | ||
+ | <code user>nmcli con mod lenom-de-votre-connexion ipv4.dns "169.239.202.202 185.121.177.177"</code> | ||
+ | </note> | ||
== Test de connection == | == Test de connection == | ||