Openvpn: differenze tra le versioni

Solitamente si considera una LAN come una rete di computer  locali, identificati da un indirizzo e una classe di ip (es: 192.168.0.0/24, 10.0.0.0/24 etc.). Con un collegamento VPN, un computer che si trovi fisicamente al di fuori di tale LAN, può risultarne un perfetto membro.  

Tre computer, quindi, che si trovassero rispettivamente a Madrd, Londra e Roma potrebbero, grazie ad una vpn, creare la seguente rete:

mkdir /dev/net && mknod /dev/net/tun c 10 200

..tirare su il rispettivo modulo e far si che al boot venga caricato:

echo 1 > /proc/sys/net/ipv4/ip_forward

Se non l'abbiamo gia' fatto:

Effettuiamo il collegamento fra due macchine, una chiamata in maniera molto originale '''server''' e una '''client'''. <br>Queste due macchine sono di due diversi utenti che possono risiedere ovunque nel mondo. La macchina server  sara' quella in ascolto.

Spostiamoci sul server, esattamente in /etc/openvpn e creiamo la nostra chiave con:  

Una volta creata dovremmo poterla copiare nella stessa dir del client. Questo passaggio dovrebbe essere fatto nel piu' sicuro dei modi ad esempio tramite mail crittografate, o utilizzando scp (''dalla suite Openssh'').

Spostiamoci sul server e creiamo in /etc/openvpn il file server.conf editiandolo cosi':

;'''dev''': identifica il device utilizzato per il tunnel. I possibili device utilizzabili da openvpn sono tun e tap. La differenza tra i due device e' fondamentale, in quanto tun si adopera per la trasmissione di pacchetti IP (''una specie di ppp'') e tap invece per la trasmissione di frame ethernet (''una specie di eth''). Per la creazione di lan virtuali o per la condivisione di risorse come file-server, ftp-server, dobbiamo usare tap.

;'''port''': socket dell'applicazione, il default e' la 5000, deve essere la stessa da ogni capo della vpn. E' da sottolineare che sul server invece di ''port'' si scrivera' '''lport''' (''local'') mentre sui client '''rport''' (''remote'').

;'''ifconfig''': determina l'ip dell'interfaccia virtuale (''tun o tap'').  

Adesso sul client creiamo il file '''/etc/openvpn/client.conf''' cosi':

remote www.hostremoto.net (che ovviamente corrispondera' al server)

;'''remote''': a remote diamo l'ip pubblico della macchina alla quale ci connetteremo, oppure l'hostname come nell'esempio.

Adesso, avvalendoci di SSL/TLS, configureremo un CA (''Certificate Authority'') che servira' a firmare i certificati degli host e a rendere disponibile il proprio; creeremo le rispettive chiavi (''una anche per il CA stesso'') facendo in modo che ognuno detenga una chiave e un certificato firmato. Infine, per lo scambio sicuro di tali dati, creeremo un Diffie-Hellman.

apt-get install openssl

Il CA risiedera' sul server, ma distinguiamo le entita' in questo modo:  

Occupiamoci del CA; facciamogli generare una sua chiave (''ca.key''), una sua richiesta di certificato (''rich.ca''), facciamogliela autofirmare (''ca.cert'') e depositare successivamente su ogni host. Dunque, sempre sul server, torniamo in /etc/openvpn.

Occupiamoci ora di server e client, la loro configurazione e' pressoche' uguale.<br>

{{Box|Nota|Il format di default adottato da dhparam e' PEM (''adozione standard di Unix''). Per una ulteriore consultazione del flag dhparam, fare riferimento a questa pagina: [http://www.mkssoftware.com/docs/man1/openssl_dhparam.1.asp Openssl dhparam]

Spediamo il certificato al CA (''che risiede sul server''), facciamocelo firmare e rispedire in /etc/openvpn (''stessa procedura del server per la firma'').

Compilare cosi' il file per il server:

Compilare cosi' il file per il client:

remote www.hostremoto.net (che ovviamente corrispondera' al server)

Questo script, che demonizza openvpn, una volta lanciato va a cercare nella dir /etc/openvpn il file con estensione '''.conf''' che dovra' corrispondere al file di configurazione. Dico questo poiche' in varie documentazioni lo troverete con estensioni diverse (''es: .ovpn etc..'') che lo script non riconoscerebbe come valido.  

Una volta avviato lo script attivera' il demone. Per impostarlo al boot:

update-rc.d -f openvpn remove

Per loggare l'output in un file qualunque (''anche se non esiste verra' creato'') aggiungere la riga al file .conf:

Il file di log sara'piu' o meno forbito in base al valore che avremo dato al parametro '''verb'''.

[http://www.openvpn.net Openvpn] permette la creazione di vpn da applicativo ad applicativo, non necessitando quindi di modifiche nel kernel come nel caso di vpn che implementino IPSEC. Gira su le principali piattaforme allacciando quindi OS diversi.Anche se lo standard IPSEC e' una realta' nei dispositivi di rete hardware, il livello di sicurezza che openvpn puo' raggiungere e' indiscutibile.