[WIKI] OpenVPN

kawer · 23-10-2016 18:36:47

C'est par ici : https://www.debian-facile.org/doc:reseau:vpn:openvpn
Vos suggestion, correction et amélioration sont les bienvenues

Edition du 18 décembre 2018: Pour ceux qui sont intéressé, voici une ébauche (wiki mal soigné) sur openvpn avec les normes de sécurité d'aujourd'hui, si vous voulez essayer, et valider en éditant le wiki de ce thread en le modelant pour y intégrer toutes les modifs, libre à vous

Dernière modification par kawer (18-12-2018 03:32:36)

smolski · 23-10-2016 19:36:54

Salut kawer,

Peut-on pousser ce tuto dans le wiki à s' t' heure ?
J'y ai tatouillé un brin, me reste des commandes scp qui doivent être faites en user ou en root à la fin. root sur internet, ça me paraît mal commode au point de vue sécurité ?

Je te laisse contempler les modifs que j'ai faites d'une seule traite, avec l'applet Dernier changements du bandeau.

Foucht' râââ !

kawer · 23-10-2016 21:20:45

Merci smolski, pour le scp, les fichiers ont les droits root, donc on ne peu pas les récupérer a partir d'un compte user, et beaucoup utilise que le compte root sur leurs serveurs donc il serait mal venue de faire créer un user juste pour récupérer les certificats.

Sinon la connection root est protégé par ssh, donc pas de soucis

Merci pour tes corrections, je te laisse faire comme tu veux avec les commandes scp, si tu as une solution ... en tout cas si tu décide de les remettres tels qu'elle, pense à les ré-inclure dans les balises adéquate, car la ils tiennent sur une seul ligne non balisé.

Merci

Et peu importe la solution que tu aura trouvé, tu pourra placer dans le wiki après

Dernière modification par kawer (23-10-2016 21:21:19)

smolski · 31-12-2016 08:20:58

Mis dans le wiki :

À noter qu'un ancien tuto concernant openvpn était déjà présent mais rédigé en 2012 :
https://debian-facile.org/doc:reseau:openvpn

J'y ai mis en obsolète, il faudrait peut-être voir ce qui peut être rapatrié de l'ancien au nouveau afin de ne pas s'encombrer de références similaires...

Merci de vos contributions toujours plus affinées des unes aux autres...
...

kawer · 31-12-2016 11:21:00

Je ne vois pas ce que je peu ajouter, au passage j'ai retiré la commande scp en root pour la remplacer par un lien vers le tuto scp et les fichiers nommé à rapatrié. J'ai testé le tuto sur un nouveau serveur, et tout est clean

on-recupere-les-certificats-sur-le-serveur

Dernière modification par kawer (31-12-2016 11:23:02)

smolski · 31-12-2016 14:56:26

Mis en à-tester puisque déjà placé.

Tsukasa · 22-01-2017 22:35:00

bonjour,
Ce soir je me suit mis en tête de tester cette documentation et cela marche sans presque rien changer, mais "à mon avis" il manque deux petite chose et si tu le permet je vais les décrire :

- Dans "/etc/openvpn/server.conf" tu oublis 3 paramètre qui peuvent être intéressent: "dev"(tun/tap) même si "tun" est par défaut

, "proto" (tcp/udp) car par défaut c'est "udp" et "port" il peut étre utile de le modifier

- Pour le routage tu crées un "nouveau jeux de règle" ,pour ma part je conseillerais plutôt d'aller dé-commenter la ligne "#net.ipv4.ip_forward=1" dans : "/etc/sysctl.conf "

Pour finir je tien à remercier le créateur et les contributeur de ce tutoriels

kawer · 23-01-2017 11:31:15

J'ai apporté le standard de configuration, pour un novice c'est très bien, pour une personne qui veut creuser par la suite libre a lui/elle, maintenant si tu veut améliorer le wiki tu peu ... il est ouvert en écriture à tout les membres inscrit et je n'y vois auucn inconvénient.

Pour ce qui est de dé-commenter dans /etc/sysctl.conf c'est déconseillé, car comme la fait remarqué raleur dans un de mes sujets, /etc/sysctl.conf est susceptible de revenir à une configuration par défaut après un apt upgrade. Alors que dans .d les règles restent permanente.

Tsukasa · 23-01-2017 13:20:55

Ha ! je viens d'apprendre un truc sur /etc/sysctl.conf

Après dans l’état actuel il marche correctement je l'ai testé en suivant presque aveuglement et je l'ai refais avec mes configuration "préféré"

Et non je ne me permettrais pas de modifier la documentation que tu as due mettre un petit moment à réaliser

ps: vu que je suis nouveau j'ai une question bête : dois-je et/ou comment faire pour marquer la documentation comme "testé"

Dernière modification par Tsukasa (23-01-2017 13:26:45)

obelix1502 · 24-01-2017 16:24:17

Bonjour à toutes et tous,

J'ai besoin de vos lumières :

j'ai suivi le tutoriel à la lettre, j'ai tout relu trois fois. Au moment de tester la configuration, j'obtiens ceci :

root@obelix1502-All-Series:~# openvpn /etc/openvpn/server.conf

Tue Jan 24 16:12:15 2017 OpenVPN 2.3.10 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [MH] [IPv6] built on Feb  2 2016

Tue Jan 24 16:12:15 2017 library versions: OpenSSL 1.0.2g  1 Mar 2016, LZO 2.08

Tue Jan 24 16:12:15 2017 NOTE: your local LAN uses the extremely common subnet address 192.168.0.x or 192.168.1.x.  Be aware that this might create routing conflicts if you connect to the VPN server from public locations such as internet cafes that use the same subnet.

Tue Jan 24 16:12:15 2017 Diffie-Hellman initialized with 2048 bit key

Tue Jan 24 16:12:15 2017 Socket Buffers: R=[212992->212992] S=[212992->212992]

Tue Jan 24 16:12:15 2017 TCP/UDP: Socket bind failed on local address [undef]: Address already in use

Tue Jan 24 16:12:15 2017 Exiting due to fatal error

Avez-vous une idée ?

"L'adresse est déjà en utilisation", j'ai pourtant stoppé le service openvpn avant de passer cette commande, comme préconisé...

Dernière modification par obelix1502 (24-01-2017 16:26:42)

kawer · 24-01-2017 16:42:28

Tsukasa a écrit :

Et non je ne me permettrais pas de modifier la documentation que tu as due mettre un petit moment à réaliser

ps: vu que je suis nouveau j'ai une question bête : dois-je et/ou comment faire pour marquer la documentation comme "testé"

Le wiki appartient à tout les membres, si j'aurais pas voulu que quelqu'un le modifie je l'aurais mis sur mes pages perso DF, je t'invite encore une fois a améliorer le wiki.
Pour ajouter un pseudo dans testé, il faut modifier la page en cliquant sur modifier la page* en bas de page. Tu pourra ainsi l'améliorer par la même occasion

obelix1502, tu dois avoir soit openvpn soit un autre service qui écoute sur 127.0.0.1 essaie de changer le port dans server.conf et dans client.conf..

obelix1502 · 24-01-2017 17:51:10

Merci kawer,

J'ai pu continuer... un peu

Maintenant, je suis bloqué ici :

On récupère les certificats sur le serveur :

Récupérer les fichiers suivant dans /etc/openvpn/easy-rsa/keys/: scp&nbsp;: transfert de fichiers sécurisé entre machines

Je ne comprends plus là !!

Tout ce que j'essaie de réaliser avec ce vpn, c'est qu'étant situé en Belgique, je n'ai pas le droit de visionner certaines chaînes TV via le net en France, c'est tout ce que j'essaie de faire.

C'est pour cela que je considère (sûrement à tort) que ma machine hôte et client est la même bien que j'ai donné deux noms de "hostname" diffrents pour ne pas avoir l'erreur :

TXT_DB error number 2

Dernière modification par obelix1502 (24-01-2017 18:05:47)

Tsukasa · 25-01-2017 20:03:37

Bonjour,
donc tu essayes de récupérer tes fichiers par la commande SCP ? as tu lue la doc linker ? "https://debian-facile.org/doc:reseau:scp" , sinon je t'invite à la lire

peux tu nous donner la commande qui te renvoie ce message d’erreur ? (et peut êtres les log si il y en a)

et pourrais tu faire un schéma rudimentaire sur l'architecture que tu es en train de monté, cela pourrais aider à mieux visualiser (pour nous et pour toi)

Dernière modification par Tsukasa (25-01-2017 20:16:03)

obelix1502 · 25-01-2017 20:22:45

Bonsoir,

J'ai loué un vps.

Je me suis connecté au serveur par ssh.

J'ai fait l'installation d'openvpn sur ce vps.

Maintenant, je dois créer le client openvpn sur ma machine.

Je pense, d'après ce que j'ai lu que je dois importer les clés :

/etc/openvpn/ca.crt
/etc/openvpn/ta.key
/etc/openvpn/easy-rsa/keys/hostname.crt
/etc/openvpn/easy-rsa/keys/hostname.key

qui devraient être dans le serveur.

Ce que je ne comprends pas, c'est comment faire...

Je pense que la commande scp pourrait convenir, mais malgré la lecture du wiki (je suis novice et ai 51 piges

), je n'y comprends rien.

Pourtant d'habitude je me débrouille seul avec les diverses commandes, mais là : scp ça voudrait dire la commande cp en ssh...

Merci à vous.

kawer · 25-01-2017 23:25:11

La commande scp est simple, scp utilisateur@ip_DuServer:/cheminDesFichiersSurLeServeur /home/utilisateurClient/cheminDuDossierOuPlacerLesFichiers/

Dernière modification par kawer (25-01-2017 23:25:44)

smolski · 26-01-2017 06:57:13

@obelix1502
Ah ! J'aime bien cette question sur le tuto, peux-tu indiquer comment tu entends les formules mis en exemple, est-ce dans "les chemins" que tu te mélanges, dans "IP" ou autres ?
Leu tuto scp est là : https://debian-facile.org/doc:reseau:scp

Sache qu'il est envisageable de mettre un point sanglier df dans cette coopération...
Eh Eh Eh...

...

Edit :
Ah oui, compris, c'est le tuto OpenVPN qui n'est pas clair en ne donnant pas la ligne exacte mais seulement en la suggérant !
À mon avis kawer, il faudrait préciser la commande dans le tuto comme tu viens de le faire ici tout en conservant un lien vers le tuto scp comme tu as déjà fait.

Bon, je me garde le point sanglier df pour une autre aventure alors...

Dernière modification par smolski (26-01-2017 07:18:43)

obelix1502 · 26-01-2017 13:21:44

Bon pour résumer avec cette commande, j'y suis parvenu en faisant :

scp /chemin/du/fichier/à/envoyer XXX.XX.XX.XX(adresseipduserveur):/chemic/dufichier/envoyé

Le mot de passe est demandé, puis l'envoi se fait automatiquement.

Edit à toto :
Mis la commande scp en user dans la balise du forum indiquée Commande user et non dans son retour.

Dernière modification par obelix1502 (26-01-2017 14:46:16)

obelix1502 · 26-01-2017 15:18:30

Autre petite question d'un noob :

Puis-je donner n'importe quel nom au serveur ?

Celui du client, je sais, j'indique le nom qui m'a été donné par mail lors de la location de celui-ci, mais pour le premier ??

kawer · 26-01-2017 16:27:28

@smolski, la majorité des utilisateurs qui utilisent openvpn n'ont qu'un acces root sur leurs serveurs, hors toi même un peu plus haut, tu m'a dit qu'il n'était pas terrible d'utiliser scp en root. Donc je laisse le tuto ainsi et laisse donc les utilisateurs ce débrouiller avec le tuto scp. Si tu veut je peu remettre les commandes scp en root tout en précisant qu'il est déconseillé d'utiliser ce compte.

obelix1502 · 26-01-2017 17:45:17

Bonsoir, rien à faire, je ne comprends plus :

Je laisse les ports par défaut dans les fichiers de configuration et lorsque je lance le client.conf, j'ai une erreur TLS.

Je réédite le client.conf, je mets le port du serveur loué et encore une erreur :

Thu Jan 26 17:39:56 2017 OpenVPN 2.3.10 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [MH] [IPv6] built on Feb  2 2016

Thu Jan 26 17:39:56 2017 library versions: OpenSSL 1.0.2g  1 Mar 2016, LZO 2.08

Thu Jan 26 17:39:56 2017 Socket Buffers: R=[212992->212992] S=[212992->212992]

Thu Jan 26 17:39:56 2017 UDPv4 link local: [undef]

Thu Jan 26 17:39:56 2017 UDPv4 link remote: [AF_INET]79.137.84.80:943

Thu Jan 26 17:40:56 2017 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)

Thu Jan 26 17:40:56 2017 TLS Error: TLS handshake failed

Thu Jan 26 17:40:56 2017 SIGUSR1[soft,tls-error] received, process restarting

Thu Jan 26 17:40:56 2017 Restart pause, 2 second(s)

Thu Jan 26 17:40:58 2017 Socket Buffers: R=[212992->212992] S=[212992->212992]

Thu Jan 26 17:40:58 2017 UDPv4 link local: [undef]

Thu Jan 26 17:40:58 2017 UDPv4 link remote: [AF_INET]79.137.84.80:943

Pouvez-vous m'aider ?

smolski · 26-01-2017 19:46:46

Oui kawer mets la commande en root plutôt si cela est la convention pour openvpn.

kawer · 27-01-2017 17:23:39

@obelix1502, tu a du te tromper quelque part, soit lors de la génération des certificats, soit dans les règles iptables, soit dans les fichiers de configuration server.conf ou client.conf, je te conseil de reprendre le tuto à zero. A savoir que si tu a modifié les ports dans server.conf et client.conf, tu dois changer tes règles iptables pour adapter le nouveau port.

@smolski, c'est fait.

Dernière modification par kawer (27-01-2017 17:24:27)

obelix1502 · 27-01-2017 17:46:11

Bonjour,

Je m'étais effectivement gouré.

Il y a dans le tutoriel une ligne à modifier, celle-ci :

sysctl -p /etc/sysctl.d/78-sysctl.conf

En effet, 78.sysclt.conf n'est plus d'actualité, le fichier de configuration se nomme maintenant :

sysctl -p /etc/sysctl.d/99-sysctl.conf

kawer · 27-01-2017 18:18:02

Non, nous pouvons le nommer comme bon nous semble.

obelix1502 · 27-01-2017 18:40:45

Bon tout fonctionne parfaitement,

Sauf une chose : je parviens à venir ici sans problèmes, mais sur la plupart des autres sites ça mouline....

Même pas accès pour faire une recherche.

Dernière modification par obelix1502 (31-03-2018 17:36:56)

Debian-facile

#1 23-10-2016 18:36:47

[WIKI] OpenVPN

#2 23-10-2016 19:36:54

Re : [WIKI] OpenVPN

#3 23-10-2016 21:20:45

Re : [WIKI] OpenVPN

#4 31-12-2016 08:20:58

Re : [WIKI] OpenVPN

#5 31-12-2016 11:21:00

Re : [WIKI] OpenVPN

#6 31-12-2016 14:56:26

Re : [WIKI] OpenVPN

#7 22-01-2017 22:35:00

Re : [WIKI] OpenVPN

#8 23-01-2017 11:31:15

Re : [WIKI] OpenVPN

#9 23-01-2017 13:20:55

Re : [WIKI] OpenVPN

#10 24-01-2017 16:24:17

Re : [WIKI] OpenVPN

#11 24-01-2017 16:42:28

Re : [WIKI] OpenVPN

#12 24-01-2017 17:51:10

Re : [WIKI] OpenVPN

#13 25-01-2017 20:03:37

Re : [WIKI] OpenVPN

#14 25-01-2017 20:22:45

Re : [WIKI] OpenVPN

#15 25-01-2017 23:25:11

Re : [WIKI] OpenVPN

#16 26-01-2017 06:57:13

Re : [WIKI] OpenVPN

#17 26-01-2017 13:21:44

Re : [WIKI] OpenVPN

#18 26-01-2017 15:18:30

Re : [WIKI] OpenVPN

#19 26-01-2017 16:27:28

Re : [WIKI] OpenVPN

#20 26-01-2017 17:45:17

Re : [WIKI] OpenVPN

#21 26-01-2017 19:46:46

Re : [WIKI] OpenVPN

#22 27-01-2017 17:23:39

Re : [WIKI] OpenVPN

#23 27-01-2017 17:46:11

Re : [WIKI] OpenVPN

#24 27-01-2017 18:18:02

Re : [WIKI] OpenVPN

#25 27-01-2017 18:40:45

Re : [WIKI] OpenVPN

Pied de page des forums