- Implementacija šifriranih tunelov z uporabo protokolov SSL/TLS za zagotavljanje popolne zasebnosti podatkov.
- Prilagodljivost konfiguracije med načini TUN za usmerjanje na 3. plasti in načini TAP za premostitev na 2. plasti.
- Robustno upravljanje overjanja na podlagi infrastrukture javnih ključev (PKI) z digitalnimi potrdili.
- Optimizacija delovanja z uporabo UDP in sodobnih tehnologij, kot je prenos podatkovnega kanala (DCO).
Danes je zaščita našega digitalnega odtisa in ohranjanje zasebnosti skoraj nemogoče, če ne prevzamemo nadzora. Eden najboljših načinov za zaščito naše povezave je nastavitev lastnega strežnika VPN , ki nam omogoča ustvarjanje varnega predora med našimi napravami in lokalnim omrežjem, ne da bi se zanašali na tretje osebe, ki bi lahko vohunile za našimi podatki. Če imate kakršne koli dvome o delovanju, lahko analizirate, ali je za vašo zasebnost najboljša možnost VPN po meri ali komercialni .
Če vas tehnični izrazi nekoliko zmedejo, brez skrbi, tukaj bomo razčlenili celoten postopek. OpenVPN je za to odlično orodje, ker je odprtokodno, izjemno prilagodljivo in čeprav se je na začetku treba nekaj navaditi, ponuja popoln nadzor nad tem, kdo vstopa v vaše omrežje in kako potujejo šifrirane informacije.
Temeljni koncepti in delovanje
Preden se poglobimo v podrobnosti, je pomembno razumeti, da je VPN (virtualno zasebno omrežje) v bistvu razširitev vašega lokalnega omrežja (LAN) prek javnega omrežja, kot je internet. Da bi to dosegli, OpenVPN uporablja šifrirane povezave, ki temeljijo na standardih SSL in TLS , kar zagotavlja, da bo vsak heker ali vohunil, ki bo poskušal zajeti promet, videl le neberljiv šum.
Ključna točka je izbira načina delovanja. Način TUN (Tunnel) je najpogostejši, saj posnema napravo tipa point-to-point Layer 3, kar je idealno za usmerjanje prometa IP. Po drugi strani pa način TAP (Bridge) simulira ethernetno kartico Layer 2, kar omogoča, da so odjemalci videti, kot da so fizično v istem podomrežju, kar je zelo uporabno za protokole, ki ne uporabljajo IP, ali starejše igre.
Predpogoji in strojna oprema
Da bi to delovalo, potrebujete strežnik. To je lahko računalnik z operacijskim sistemom Windows 10, strežnik Debian z operacijskim sistemom Linux, Raspberry Pi ali celo VPS v oblaku, če doma ne želite imeti strojne opreme. Stabilna internetna povezava je bistvenega pomena , in če želite do nje dostopati od zunaj doma, boste potrebovali javni IP-naslov. Če vas ima vaš ponudnik internetnih storitev za CG-NAT , boste imeli težave z odpiranjem vrat, zato priporočam, da se obrnete nanj in zahtevate pravi javni IP-naslov.
Konfiguracija v okoljih Windows
Za nastavitev strežnika v sistemu Windows je prvi korak prenos uradnega namestitvenega programa OpenVPN. Med namestitvijo je ključnega pomena, da potrdite polje za EasyRSA 2 Certificate Management Scripts , saj je to bistveno za ustvarjanje varnostnih ključev. Ko je programska oprema nameščena, ustvari virtualni TAP adapter, ki bo upravljal IP-naslov VPN-ja.
Najbolj zamuden del je ustvarjanje potrdil. Z ukazno vrstico kot skrbnik se moramo pomakniti do mape Easy-RSA in zagnati ukaze, kot je `init-config` , ter urediti datoteko `vars.bat`, da vnesemo svoje podatke. Nato ustvarimo overitelja potrdil (CA), ključ strežnika in parametre Diffie-Hellman (dh), ki omogočajo strežniku in odjemalcu, da se dogovorita o tajnem ključu, ne da bi si ga predhodno izmenjala.
Glede konfiguracijske datoteke (.ovpn) morate definirati protokol (običajno UDP, ker je hitrejši in bolj odporen na napade DoS), vrata (standard je 1194) in poti do ustvarjenih potrdil. Ne pozabite konfigurirati obsega naslovov IP, ki jih bo strežnik dodelil odjemalcem, na primer segmenta 10.8.0.0/24 , da se izognete konfliktom z vašim domačim omrežjem.
Implementacija v GNU/Linuxu (Debian)
V Linuxu je postopek enostavnejši z uporabo terminala. Paket namestimo z apt install openvpn in mi uporabljamo Easy-RSA 3 za upravljanje PKI. Tukaj se lahko odločimo za vrhunsko varnost z uporabo Eliptične krivulje (EC) z algoritmom secp521r1 in podpisi SHA512, kar zmanjša obremenitev obdelave in poveča robustnost šifriranja.
Ko sta potrdila strežnika in odjemalca ustvarjena, ustvarimo datoteko server.confPriporočljivo je dodati direktivo tls-kripta Da bi zaščitili nadzorni kanal in preprečili napade zavrnitve storitve, ga moramo omogočiti, da lahko odjemalci dostopajo do drugih naprav v hiši. Posredovanje IP-ja (ip_forward) v jedru Linuxa, kar strežniku omogoča, da deluje kot most do lokalnega omrežja. Za okrepitev zaščite se lahko naučite Kako konfigurirati Fail2Ban za zaščito vašega Linux strežnika.
Hitre alternative in poslovne rešitve
Če se ne želite mučiti s konzolo, obstajajo skripti za samodejno namestitev (kot je tisti znani) openvpn-install.sh), ki vse konfigurirajo v nekaj sekundah na VPS-ju. Obstajajo tudi Strežnik za dostop OpenVPN, različico z veliko bolj intuitivnim spletnim vmesnikom, ki omogoča upravljanje uporabnikov in prenos profilov strank, ne da bi se dotaknili ene same vrstice kode.
Za tiste, ki iščejo izjemno zmogljivost, nova funkcija Data Channel Offload (DCO), integrirana v sodobna jedra Linuxa, premakne šifriranje v jedro sistema, s čimer podvoji hitrosti prenosa in drastično zmanjša porabo procesorja. Če se vam to zdi preveč zapleteno, obstajajo alternative, kot je nastavitev VPN-ja z WireGuardom na Raspberry Pi , ki je sodobnejši in hitrejši, čeprav OpenVPN ostaja kralj glede združljivosti in prilagajanja.
Povezljivost in oddaljeni dostop
Da bi zunanji svet lahko našel vaš strežnik, morate dostopati do nastavitev usmerjevalnika in konfigurirati posredovanje vrat za vrata UDP 1194 na statični naslov IP vašega strežnika. Če se vaš javni naslov IP pogosto spreminja, je najbolje, da nastavite storitev dinamičnega DNS (DDNS), kot je No-IP ali DynDNS. To vam bo omogočilo povezavo z imenom (npr. myhome.ddns.net) namesto numeričnega naslova IP.
Na strani odjemalca, ne glede na to, ali gre za sistem Windows, Android ali iOS, morate uvoziti le datoteko .ovpn in ustrezna potrdila. Pomembno je preveriti, ali je šifra na obeh straneh enaka, na primer AES-256-GCM , da se izognete napakam pri rokovanju ali neuspehom pri preverjanju pristnosti med vzpostavljanjem tunela.
Običajno odpravljanje težav
Normalno je, da gre prvič kaj narobe. Če je odjemalec obtičal v stanju čakanja, je najverjetneje požarni zid ali usmerjevalnik sistema Windows blokiral vrata. Če želite to optimizirati, lahko preverite napredne nastavitve požarnega zidu na strežnikih . Če vidite sporočila »Napaka TLS«, preverite, ali je datoteka ta.key enaka tako na strežniku kot na odjemalcu. Če je povezava vzpostavljena, vendar ne morete doseči lokalnega omrežja, preverite, ali ste v usmerjevalniku ustvarili statično pot, ki kaže na naslov IP strežnika VPN.
Z nastavitvijo lokalnega strežnika OpenVPN lahko kateri koli preprost računalnik spremenite v trdnjavo zasebnosti, ki omogoča varen oddaljeni dostop do datotek, IP-kamer ali tiskalnikov, ne da bi jih bilo treba neposredno izpostaviti internetu. Ne glede na to, ali se odločite za podrobno ročno konfiguracijo za popoln nadzor, uporabljate avtomatizirane skripte na VPS-ju ali ga namestite na združljive usmerjevalnike, je ključ do pravilnega upravljanja potrdil in natančnega posredovanja vrat v požarnem zidu.
