I.E.S.

Lois Pea Novo

Seguridade e alta dispoibilidade

Nun entorno real as ips do cliente remoto e de gateway seran ips pblicas. Como estamos nun entorno virtual as ips estn dentro
da rede do IES

gateway.sri.local
192.168.X.X

192.168.Y.Y

openVPN
10.10.10.1/24

Cliente remoto

10.10.10.20/24

ns1.sri.local

10.10.10.100/24

web.sri.local

Instalacin de openVPN
O primeiro actualizar os repositorios:

Unha vez rematado xa podemos instalar openVPN:

Para realizar a configuracin do servidor openVPN vamos a empregar un conxunto de

ferramentas de encriptacin chamadas easy-rsa. Estas ferramentas atopanse por defecto
en /usr/share/easy-rsa/. Copiaremolas o directorio de instalacin do servidor openVPN:

Iniciando a infraestrutura de chave pblica

1. Movmonos a /etc/openvpn/easy-rsa

2. Creamos un link simbolico de openssl-1.0.0.cnf a openssl.cnf:

3. Exportamos unha serie de variables de entorno contidas no script vars

4. Limpamos outras posibles configuracins que xa houbera no sistema para evitar
problemas co script clean-all
5. Creamos unha autoridade certificadora mediante a execucin do script build-ca

6. Introduciremos os valores para a autoridade certificadora que queremos crear

Coa autoridade certificadora xa creada xa podemos xerar a chave privada para o servidor e
os certificados para os clientes VPN
7. Comezaremos coa chave privada do servidor

8. A partir deste momento como xa temos a chave privada podemos crear certificados para
os clientes que se van a conectar a travs do servidor VPN. Vamos a crear un para un
cliente de nome cliente1 (para cada cliente habera que repetir o proceso)

9. Xeracin dos parmetros para o intercambio de chaves Diffie Hellman Parameters

empregado polo servidor openVPN:

10. Agora que xa temos as chaves/certificados creados debmolos mover a localizacin

adecuada:

Sobra aclarar que manter a seguridade destes ficheiros e indispensable.

Configurando o servidor
Necesitamos un ficheiro de configuracin para o servidor onde defnese o mbito e
caractersticas no noso servidor openVPN.
No canto de crear un ficheiro novo vamo a empregar un que se proporciona como exemplo e
facer cambios nel. Primeiro debemos obter ese ficheiro de exemplo, para o que temos que
descomprimir un ficheiro:

Agora o copiamos o directorio de instalacin do servidor openVPN:

Editamos o ficheiro recen copiado para indicarlle que a rede interna estar accesible a travs
da conexin VPN:

Ademais debemos cambiar o nome para os ficheiros .key .crt correspondentes o noso
servidor. Neste ficheiro exemplo que estamos a empregar por defecto nomaos como
server.crt e server.key" pero se mirades no feito neste manual os nosos ficheiros
chmanse gateway.crt e gateway.key

Agora xa podemos iniciar o servidor:

Se facemos un ifconfig veremos que se creou unha nova interface point to point para a VPN

Configurando os clientes
Para configurar os clientes vamos a empregar os seguintes ficheiros:
client.conf un ficheiro de exemplo cunha configuracin por defecto. O atopamos no
mesmo sitio que o server.conf que empregamos anteriormente
/usr/share/doc/openvpn/examples/sample-config-files
Dbemos adaptalo os parmetros do noso exemplo:

ca.crt A autoridade de certificacin. O podemos atopar en /etc/open/vpn

client1.crt. Ficheiro para o cliente que creamos nos anteriormente. Podmolo atopar en
/etc/openvpn/easy-rsa/keys
server1.key. Ficheiro para o cliente que creamos nos anteriormente. Podmolo atopar en
/etc/openvpn/easy-rsa/keys

Estes ficheiros os debemos de transferir o cliente que se vai a conectar de maneira remota
asegurndonos que se faga de maneira segura (scp, sftp, a travs dun pendrive, ...).

Unha vez transferidos o cliente o seguinte paso instalar un cliente para VPN que nos
permita conectarnos o servidor. Neste caso empregaremos un equipo Windows polo que
temos un cliente chamado OpenVPN GUI for Windows A sa instalacin e trivial.
Para configuralo debemos mover os ficheiros anteriormente descritos o subdirectorio
config dentro do directorio de instalacin de OpenVPN GUI for Windows

Ademais debemos renomear o ficheiro client.conf a client.ovpn

Agora xa podemos iniciar o programa cliente. Para ilo facemos clic co botn dereito no seu
icono e seleccionamos connect

Mostrarase unha consola onde, se todo vai ben, anunciar a creacin da conexin:

Se comprobamos a configuracin de rede veremos como temos unha nova interface:

A partir dese momento xa poderiamos acceder aos servizos de dentro da nosa organizacin.
Por exemplo, no noso caso, o servidor Apache instalado en web.sri.local

AASpectos da configuracin do servidor

Coa configuracin feita teriamos acceso a rede interna pero vpn pode ir mais lonxe e
proporcionarnos un tnel completo, de esta maneira navegariamos desde o cliente cara
internet a travs do servidor VPN (e non s para acceder a rede interna).