Редактируем созданный /etc/openvpn/server.conf, и меняем параметры:
...
# keys files location
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/openvpn.crt
key /etc/openvpn/easy-rsa/keys/openvpn.key
...
# 2048 instaead of 1024
dh dh2048.pem
...
# redirct all trafic from client
push "redirect-gateway def1 bypass-dhcp"
...
# google and opendns
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 208.67.220.220"
...
# root otherwise
user nobody
group nogroup
...
Настройка роутинга
Включаем поддержку пересылки пакетов ядром:
echo 1 > /proc/sys/net/ipv4/ip_forward
Правим /etc/sysctl.conf и снимаем комментарий со строки:
...
# Uncomment the next line to enable packet forwarding for IPv4
net.ipv4.ip_forward=1
...
Настраиваем . Всегда пользовался IPTABLES для этого, в этот раз попробовал .
Казуальщина пришла не только в мир Lineage 🙂
Разрешаем SSH (доступ по IP сделан в security group для EC2):
ufw allow ssh
Rules updated
Rules updated (v6)
OpenVPN у нас будет работать по UDP, разрешаем порт 1194 ( доступ к нему тоже ограничен в security group):
ufw allow 1194/udp
Rules updated
Rules updated (v6)
Включаем роутинг в файле /etc/default/ufw, устанавливаем ACCEPT вместо DROP:
...
# Set the default forward policy to ACCEPT, DROP or REJECT. Please note that
# if you change this you will most likely want to adjust your rules
DEFAULT_FORWARD_POLICY="ACCEPT"
...
Редактируем /etc/ufw/before.rules, добавляем правила для нашего VPN:
# START OPENVPN RULES
# NAT table rules
*nat
:POSTROUTING ACCEPT [0:0]
# Allow traffic from OpenVPN client to eth0
-A POSTROUTING -s 10.8.0.0/8 -o eth0 -j MASQUERADE
COMMIT
# END OPENVPN RULES
Активируем ufw:
ufw enable
Command may disrupt existing ssh connections. Proceed with operation (y|n)? y
Firewall is active and enabled on system startup
Проверяем правила:
ufw status
Status: active
To Action From
-- ------ ----
22 ALLOW Anywhere
1194/udp ALLOW Anywhere
22 ALLOW Anywhere (v6)
1194/udp ALLOW Anywhere (v6)
SSL
Переходим к созданию ключей.
Копируем скрипты:
cp -r /usr/share/easy-rsa/ /etc/openvpn
Создаём каталог для ключей сервера:
mkdir /etc/openvpn/easy-rsa/keys
Правим /etc/openvpn/easy-rsa/vars. При желании — можно указать тут параметры по умолчанию для создаваемых ключей — страницу, организацию и т.д.
Указываем имя ключа:
...
# X509 Subject Field
export KEY_NAME="openvpn"
...
Генерируем ключ с размером 2048 байт:
openssl dhparam -out /etc/openvpn/dh2048.pem 2048
Generating DH parameters, 2048 bit long safe prime, generator 2
This is going to take a long time
Готовим ключи.
Переходим в каталог openvpn, применяем переменные из vars, который редактировали выше:
. ./vars
NOTE: If you run ./clean-all, I will be doing a rm -rf on /etc/openvpn/easy-rsa/keys
Создаём свой сертификат:
./build-key-server --initca
Generating a 2048 bit RSA private key
...
Country Name (2 letter code) [US]:
State or Province Name (full name) [CA]:
Locality Name (eg, city) [SanFrancisco]:
Organization Name (eg, company) [Fort-Funston]:
Organizational Unit Name (eg, section) [MyOrganizationalUnit]:
Common Name (eg, your name or your server's hostname) [Fort-Funston CA]:
Аналогичный пост на эту тему — CentOS: установка OpenVPN сервера. Особой разницы нет, только тут OpenVPN сервер будет устанавливаться на Debian 8.