Manapság szinte lehetetlen megvédeni digitális lábnyomunkat és megőrizni a magánéletünket, ha nem vesszük kézbe az irányítást. Az egyik legjobb módja annak, hogy biztonságossá tegyük a kapcsolatunkat, ha beállítunk egy... saját VPN szerverEz lehetővé teszi számunkra, hogy biztonságos alagutat hozzunk létre eszközeink és a helyi hálózatunk között anélkül, hogy harmadik felekre kellene támaszkodnunk, akik esetleg kémkednek az adatainkban. Ha kétségei vannak a teljesítménnyel kapcsolatban, elemezheti, hogy egy Saját VPN vs. kereskedelmi VPN Ez a legjobb megoldás az adatvédelem szempontjából.
Ha kicsit összezavarodnál a szakkifejezések miatt, ne aggódj, itt lebontjuk az egész folyamatot. Az OpenVPN a legjobb eszköz ehhez, mert nyílt forráskódú, rendkívül rugalmas, és bár eleinte kicsit trükkös, teljes kontrollt kínál arról, hogy kik lépnek be a hálózatodba, és hogyan terjednek a titkosított információk.
Alapfogalmak és működés
Mielőtt belemennénk a részletekbe, fontos megérteni, hogy a VPN (virtuális magánhálózat) alapvetően a helyi hálózat (LAN) kiterjesztése egy nyilvános hálózaton, például az interneten keresztül. Ennek eléréséhez az OpenVPN titkosított kapcsolatokat használ, amelyek a következőkön alapulnak: SSL és TLS szabványok, lo que garantiza que cualquier hacker o «sniffer» que intente capturar el tráfico solo vea ruido ilegible.
A legfontosabb szempont a működési mód meghatározása. Alagút (TUN) Ez a leggyakoribb mód, mivel egy pont-pont eszközt emulál a 3. rétegen, ami ideális az IP-forgalom irányítására. Másrészt a mód TAP (híd) Egy 2. rétegű Ethernet kártyát szimulál, lehetővé téve, hogy a kliensek fizikailag ugyanazon az alhálózaton legyenek, ami nagyon hasznos nem IP protokollok vagy régebbi játékok esetén.
Előfeltételek és hardver
Ahhoz, hogy ez működjön, szükséged van egy szerverre. Ez lehet egy Windows 10-es PC, egy Linuxot futtató Debian szerver, egy Raspberry Pi, vagy akár egy felhőalapú VPS, ha nem szeretnél otthon hardvert. Elengedhetetlen, hogy legyen egy stabil internetkapcsolat És ha otthonán kívülről szeretné elérni, akkor egy nyilvános IP-címre van szüksége. Ha a szolgáltatója hozzáférést biztosít Önnek CG-NATProblémáid lesznek a portok megnyitásával, ezért azt javaslom, vedd fel velük a kapcsolatot, hogy valódi nyilvános IP-címet kérj.
Konfiguráció Windows környezetekben
A Windows rendszeren a szerver beállításához az első lépés a hivatalos OpenVPN telepítő letöltése. A folyamat során elengedhetetlen a jelölőnégyzet bejelölése EasyRSA 2 tanúsítványkezelő szkriptekEnélkül nem tudnánk biztonsági kulcsokat generálni. A telepítés után a szoftver létrehoz egy virtuális TAP adaptert, amely a VPN IP-címét fogja kezelni.
A legmunkaigényesebb rész a tanúsítványok létrehozása. A parancssort rendszergazdaként használva kell navigálnunk az Easy-RSA mappába, és olyan parancsokat futtatnunk, mint a init-config ...és szerkesszük a vars.bat fájlt az adataink hozzáadásához. Ezután generáljuk a hitelesítésszolgáltatót (CA), a szerverkulcsot és a Diffie-Hellman (dh) paramétereket, amelyek lehetővé teszik a szerver és a kliens számára, hogy megállapodjanak egy titkos kulcsban anélkül, hogy előzőleg elküldték volna azt egymásnak.
A konfigurációs fájllal (.ovpn) kapcsolatban meg kell határoznunk a protokollt (általában UDP, mert gyorsabb és ellenáll a DoS támadásoknak), a portot (a szabvány az 1194), és a létrehozott tanúsítványok elérési útját. Ne felejtse el konfigurálni azt az IP-tartományt, amelyet a szerver a kliensekhez rendel, például a szegmenst 10.8.0.0/24hogy elkerülje az otthoni hálózattal való ütközéseket.
Megvalósítás GNU/Linuxon (Debian)
Linuxon a folyamat egyszerűbb a terminál használatával. A csomagot a következővel telepítjük: apt install openvpn és mi használjuk Easy-RSA 3 a PKI kezeléséhez. Itt választhatunk a magasabb szintű biztonságot a Ellipszis görbék (EC) a secp521r1 algoritmussal és az SHA512 aláírásokkal, ami csökkenti a feldolgozási terhelést és növeli a titkosítás robusztusságát.
Miután a szerver és a kliens tanúsítványai létrejöttek, létrehozzuk a fájlt server.confJavasolt az irányelv hozzáadása tls-kript A vezérlőcsatorna védelme és a szolgáltatásmegtagadási támadások megelőzése érdekében engedélyeznünk kell azt, hogy az ügyfelek hozzáférhessenek a ház többi eszközéhez. IP-továbbítás (ip_forward) a Linux kernelben, lehetővé téve a szerver számára, hogy hídként működjön a helyi hálózat felé. A védelem megerősítése érdekében megtudhatja, Hogyan konfiguráljuk a Fail2Ban-t a Linux szerverünk védelmére?.
Gyors alternatívák és üzleti megoldások
Ha nem akarsz bajlódni a konzollal, vannak automatikus telepítő szkriptek (mint például a híres) openvpn-install.sh), amelyek másodpercek alatt mindent konfigurálnak egy VPS-en. Vannak még OpenVPN hozzáférési szerver, egy sokkal intuitívabb webes felülettel rendelkező verzió, amely lehetővé teszi a felhasználók kezelését és az ügyfélprofilok letöltését egyetlen sor kód megérintése nélkül.
Azoknak, akik extrém teljesítményre vágynak, az új Adatcsatorna-tehermentesítés (DCO) A modern Linux kernelekbe integrálva a titkosítás a rendszermagba költözik, megduplázva az átviteli sebességet és drasztikusan csökkentve a CPU-használatot. Ha ez túl bonyolultnak tűnik, vannak alternatívák, mint például VPN konfigurálása WireGuarddal Raspberry Pi-nami modernebb és gyorsabb, bár az OpenVPN továbbra is király a kompatibilitás és a testreszabhatóság terén.
Kapcsolat és távoli hozzáférés
Ahhoz, hogy a külvilág megtalálja a szerveredet, hozzá kell férned a router beállításaihoz, és végre kell hajtanod egy Port Forwarding az 1194-es UDP portról a szerver statikus IP-címére. Ha a nyilvános IP-cím gyakran változik, akkor a legjobb, ha egy DDNS (Dinamikus DNS) például a No-IP vagy a DynDNS, így névvel (pl. my house.ddns.net) is csatlakozhat numerikus IP-cím helyett.
A kliens oldalon, akár Windows, Android vagy iOS rendszeren, csak importálnia kell a fájlt. .ovpn és a megfelelő tanúsítványokat. Fontos ellenőrizni, hogy a titkosítás (rejtjel) mindkét végén azonos-e, például AES-256-GCM, para evitar errores de «handshake» o fallos de autenticación durante el establecimiento del túnel.
Gyakori hibaelhárítás
Teljesen normális, ha valami elsőre rosszul sül el. Ha az ügyfelet várakoztatják, nagyon valószínű, hogy a Windows tűzfal vagy útválasztó Blokkolják a portot. Ennek optimalizálásához ellenőrizhet egy fejlett tűzfalkonfiguráció a szervereken. Si ves errores de «TLS Error», revisa que la llave ta.key azonosnak kell lennie a szerveren és a kliensen. Végül, ha a kapcsolat létrejött, de nem éri el a helyi hálózatot, ellenőrizze, hogy létrehozta-e a statikus útvonal a routeren, amely a VPN-kiszolgáló IP-címére mutat.
Egy helyi OpenVPN szerver beállítása bármely egyszerű számítógépet adatvédelmi erősséggé alakít, lehetővé téve a fájlok, IP-kamerák vagy nyomtatók biztonságos távoli elérését anélkül, hogy közvetlenül az internetnek tenné ki őket. Akár a teljes körű vezérlés érdekében részletes manuális konfigurációt választ, akár automatizált szkripteket használ VPS-en, akár kompatibilis routereken telepíti, a kulcs a megfelelő tanúsítványkezelésben és a pontos porttovábbításban rejlik a tűzfalon.
