- Salattujen tunnelien toteutus SSL/TLS-protokollia käyttäen täydellisen tietosuojan takaamiseksi.
- Konfiguraatiojoustavuus TUN-tilojen välillä kerroksen 3 reitityksessä ja TAP-tilojen välillä kerroksen 2 silloituksessa.
- Vankka todennuksen hallinta, joka perustuu julkisen avaimen infrastruktuuriin (PKI) ja digitaalisiin varmenteisiin.
- Suorituskyvyn optimointi UDP:n ja nykyaikaisten teknologioiden, kuten Data Channel Offloadin (DCO), avulla.
Nykyään digitaalisen jalanjälkemme suojaaminen ja yksityisyyden ylläpitäminen on lähes mahdotonta, jos emme ota hallintaa. Yksi parhaista tavoista suojata yhteytemme on perustaa oma VPN-palvelin , jonka avulla voimme luoda turvallisen tunnelin laitteidemme ja lähiverkon välille ilman, että meidän tarvitsee luottaa kolmansiin osapuoliin, jotka saattavat urkkia tietojamme. Jos sinulla on epäilyksiä suorituskyvystä, voit analysoida, onko mukautettu VPN kaupallisen palvelun kanssa paras vaihtoehto yksityisyytesi kannalta.
Jos tekniset termit hieman hämmentävät, älä huoli, käymme koko prosessin läpi tässä. OpenVPN on tähän loistava työkalu, koska se on avoimen lähdekoodin, erittäin joustava ja, vaikka sen käyttöön tottuminen vie aluksi jonkin aikaa, se tarjoaa täyden hallinnan siitä, kuka pääsee verkkoosi ja miten salatut tiedot kulkevat.
Peruskäsitteet ja toiminta
Ennen kuin syvennymme yksityiskohtiin, on tärkeää ymmärtää, että VPN (Virtual Private Network) on pohjimmiltaan lähiverkon (LAN) laajennus julkisen verkon, kuten internetin, yli. Tämän saavuttamiseksi OpenVPN käyttää SSL- ja TLS-standardeihin perustuvia salattuja linkkejä varmistaen, että hakkerit tai nuuskijat, jotka yrittävät kaapata liikennettä, näkevät vain lukukelvotonta kohinaa.
Keskeistä on toimintatilan valinta. TUN (tunneli) -tila on yleisin, koska se jäljittelee pisteestä pisteeseen -yhteyden muodostavaa Layer 3 -laitetta, mikä on ihanteellinen IP-liikenteen reititykseen. Toisaalta TAP (silta) -tila simuloi Layer 2 Ethernet -korttia, jolloin asiakkaat näyttävät olevan fyysisesti samassa aliverkossa, mikä on erittäin hyödyllistä muille kuin IP-protokollille tai vanhemmille peleille.
Edellytykset ja laitteisto
Jotta tämä toimisi, tarvitset palvelimen. Tämä voi olla Windows 10 -tietokone, Linuxia käyttävä Debian-palvelin, Raspberry Pi tai jopa pilvessä oleva VPS, jos et halua laitteistoa kotona. Vakaa internet-yhteys on välttämätön , ja jos haluat käyttää sitä kodin ulkopuolelta, tarvitset julkisen IP-osoitteen. Jos internet-palveluntarjoajasi käyttää CG-NATia , porttien avaamisessa on ongelmia, joten suosittelen ottamaan heihin yhteyttä ja pyytämään oikeaa julkista IP-osoitetta.
Konfiguraatio Windows-ympäristöissä
Palvelimen asentaminen Windowsissa on ensimmäinen vaihe ladata virallinen OpenVPN-asennusohjelma. Asennusprosessin aikana on tärkeää valita valintaruutu EasyRSA 2 Certificate Management Scripts , koska se on välttämätön suojausavainten luomiseksi. Asennuksen jälkeen ohjelmisto luo virtuaalisen TAP-sovittimen, joka hallinnoi VPN:n IP-osoitetta.
Työläin osa on varmenteiden luominen. Järjestelmänvalvojana komentokehotteessa meidän on siirryttävä Easy-RSA-kansioon ja suoritettava komentoja, kuten `init-config` , ja muokattava `vars.bat`-tiedostoa tietojemme syöttämiseksi. Sitten luomme varmenteen myöntäjän (CA), palvelimen avaimen ja Diffie-Hellman (dh) -parametrit, joiden avulla palvelin ja asiakas voivat sopia salaisesta avaimesta vaihtamatta sitä etukäteen.
Konfiguraatiotiedoston (.ovpn) osalta sinun on määritettävä protokolla (yleensä UDP, koska se on nopeampi ja vastustuskykyisempi palvelunestohyökkäyksille), portti (standardi on 1194) ja polut luotuihin varmenteisiin. Muista määrittää IP-osoitealue, jonka palvelin antaa asiakkaille, esimerkiksi segmentti 10.8.0.0/24 , jotta vältyt ristiriidoilta kotiverkkosi kanssa.
Toteutus GNU/Linuxissa (Debian)
Linuxissa prosessi on suoraviivaisempi terminaalin avulla. Asennamme paketin apt install openvpn ja me käytämme Easy-RSA 3 PKI-hallintaa varten. Tässä voimme valita paremman tietoturvan käyttämällä Elliptiset käyrät (EC) secp521r1-algoritmilla ja SHA512-allekirjoituksilla, mikä vähentää prosessointikuormaa ja lisää salauksen kestävyyttä.
Kun palvelimen ja asiakkaan varmenteet on luotu, luomme tiedoston server.confOn suositeltavaa lisätä direktiivi tls-krypta Ohjauskanavan suojaamiseksi ja palvelunestohyökkäysten estämiseksi meidän on otettava se käyttöön, jotta asiakkaat voivat käyttää muita talon laitteita. IP-osoitteen edelleenlähetys (ip_forward) Linux-ytimessä, jolloin palvelin voi toimia siltana paikallisverkkoon. Suojauksen vahvistamiseksi voit oppia Kuinka määrittää Fail2Ban suojaamaan Linux-palvelintasi.
Nopeita vaihtoehtoja ja liiketoimintaratkaisuja
Jos et halua taistella konsolin kanssa, on olemassa automaattisia asennusskriptejä (kuten kuuluisa) openvpn-install.sh), jotka konfiguroivat kaiken muutamassa sekunnissa VPS:llä. On myös olemassa OpenVPN-yhteyspalvelin, versio, jossa on paljon intuitiivisempi verkkokäyttöliittymä, jonka avulla voit hallita käyttäjiä ja ladata asiakasprofiileja koskematta yhteenkään koodiriviin.
Äärimmäistä suorituskykyä etsiville uusi Data Channel Offload (DCO) -ominaisuus, joka on integroitu nykyaikaisiin Linux-ytimiin, siirtää salauksen järjestelmän ytimeen, kaksinkertaistaen siirtonopeudet ja vähentäen merkittävästi suorittimen käyttöä. Jos tämä tuntuu liian monimutkaiselta, on olemassa vaihtoehtoja, kuten VPN:n asentaminen WireGuardilla Raspberry Pillä , joka on modernimpi ja nopeampi, vaikka OpenVPN on edelleen kuningas yhteensopivuuden ja mukautettavuuden suhteen.
Yhteydet ja etäkäyttö
Jotta ulkomaailma voi löytää palvelimesi, sinun on muutettava reitittimesi asetuksia ja määritettävä portin edelleenlähetys UDP-portille 1194 palvelimesi staattiseen IP-osoitteeseen. Jos julkinen IP-osoitteesi muuttuu usein, on parasta ottaa käyttöön dynaaminen DNS (DDNS) -palvelu, kuten No-IP tai DynDNS. Näin voit muodostaa yhteyden nimellä (esim. myhome.ddns.net) numeerisen IP-osoitteen sijaan.
Asiakaspuolella, olipa kyseessä sitten Windows, Android tai iOS, sinun tarvitsee tuoda vain .ovpn -tiedosto ja vastaavat varmenteet. On tärkeää varmistaa, että salaus on sama molemmissa päissä, esimerkiksi AES-256-GCM , jotta vältytään kättelyvirheiltä tai todennusongelmilta tunnelin muodostamisen aikana.
Yleinen vianetsintä
On normaalia, että jokin menee pieleen ensimmäisellä kerralla. Jos asiakasohjelma on jumiutunut odotustilaan, on todennäköistä, että Windowsin palomuuri tai reititin estää portin. Voit optimoida tämän tarkistamalla palvelimien palomuurin lisäasetukset . Jos näet "TLS-virhe" -viestejä, varmista, että ta.key- tiedosto on identtinen sekä palvelimella että asiakasohjelmassa. Lopuksi, jos yhteys on muodostettu, mutta et pääse lähiverkkoon, tarkista, että olet luonut reitittimeesi staattisen reitin, joka osoittaa VPN-palvelimen IP-osoitteeseen.
Paikallisen OpenVPN-palvelimen asentaminen muuttaa minkä tahansa yksinkertaisen tietokoneen yksityisyyden suojaksi, helpottaen tiedostojen, IP-kameroiden tai tulostimien turvallista etäkäyttöä ilman, että ne ovat suoraan yhteydessä internetiin. Olipa kyseessä sitten yksityiskohtainen manuaalinen määritys täydellisen hallinnan takaamiseksi, automatisoitujen komentosarjojen käyttö VPS:llä tai yhteensopivien reitittimien käyttö, avainasemassa on asianmukainen varmenteiden hallinta ja tarkka portin edelleenlähetys palomuurissa.
