helpdesk.umhg.de

Doku: https://community.openvpn.net/openvpn/wiki/Openvpn24ManPage <WRAP center round tip 40%>OpenVPN Port: 1194 </WRAP>

Aufruf                        Verzeichnis für die Configdatei  
-------------------------------------------------------------
openvpn@<configfile>          /etc/openvpn
openvpn-client@<configfile>   /etc/openvpn/client
openvpn-server@<configfile>   /etc/openvpn/server

Als Basis für die unten genannten Beispiele, dienten zwei Server mit folgender Netzkonfiguration:

centos-srv: 172.16.17.1/28 [LAN-1], 172.16.19.1/28 [VPN-Netz]
debian-efi: 172.16.17.10/28 [LAN-1]

apt-get install openvpn

/etc/openvpn
  /client
  /server

mode p2p
cipher      AES-256-CBC
auth-nocache # Wenn gesetzt muss das PW bei Verbindungsabbruch neu eingegeben werden wenn die Verbindung abbricht
port 1194
proto udp4
dev tun
# Beachten Sie die Umkehrung der Reihenfolge bei den IP-Adressen lokale IP -> remote IP
ifconfig 10.111.0.1 10.111.0.2
secret p2p.key
ping 5
ping-restart 120

cd /etc/openvpn
openvpn --genkey --secret p2p.key

Den generierten p2p.key auf den Peer (centos-srv) übertragen:

scp /etc/openvpn/p2p.key root@172.16.17.1:/etc/openvpn/

systemctl start openvpn@p2p

yum install openvpn -y

/etc/openvpn
  client
  server

vi /etc/openvpn/p2p.conf

# Modus der Verbindung festlegen:
mode p2p
cipher      AES-256-CBC
auth-nocache # Wenn gesetzt muss das PW bei Verbindungsabbruch neu eingegeben werden wenn die 
               Verbindung abbricht
# Remote-VPN-Computer und Port angeben!
# Es kann als Ziel entweder eine IP-Adresse oder ein FQDN verwendet werden
remote <Remoter_Server-IP oder FQDN> 1194
# Protokoll der Transportschicht auswählen:
proto udp4
# Tunnelgerät definieren:
dev tun
# Zuerst die lokale und dann die Remote-IP-Adresse angeben:
ifconfig 10.111.0.2 10.111.0.1
# Auf die Schlüsseldatei verweisen:
secret static.key
# Zyklisch die Verbindung prüfen und ggf. neu aufbauen:
ping 5
ping-restart 120
ping-timer-rem
# Protokollierungsgrad festlegen:
verb 3
mute 20

mv /tmp/p2p.key /etc/openvpn

<WRAP center round info 60%> Pfad zu den Service-Files: /lib/systemd/system </WRAP>

systemctl start openvpn@p2p

Doku: https://www.howtoforge.com/tutorial/how-to-install-openvpn-server-and-client-with-easy-rsa-3-on-centos-8/

<WRAP center round box 100%> Als erstes richten wir eine zusätzliche Ethernet-Verbindung mit der festen IP 172.16.19.1/28 ein. Das Netz richten wir für unser kleines VPN-Netz ein: </WRAP>

nmtui
systemctl restart NetworkManager

yum install openvpn easy-rsa -y

Der Pfad zum Tool easyrsa liegt unter: /usr/share/easy-rsa/<VERSION>/easyrsa

z. B. /usr/share/easy-rsa/3.0.8 (Stand: 12.01.2020)

Damit das System während unserer Einrichtung den Pfad, kennt folgendes ausführen:

export PATH=$PATH:/usr/share/easy-rsa/<VERSION>
z. B. export PATH=$PATH:/usr/share/easy-rsa/3.0.8

mkdir -p /etc/openvpn/keys
cd /etc/openvpn/keys

easyrsa init-pki /etc/openvpn/keys
easyrsa build-ca

easyrsa gen-req <UNIQUE_SERVER_SHORT_NAME> nopass
z. B. easyrsa gen-req centos-srv nopass

easyrsa gen-req <UNIQUE_CLIENT_SHORT_NAME> nopass
z. B.  easyrsa gen-req debian-efi nopass

easyrsa import-req /etc/openvpn/keys/pki/<UNIQUE_SERVER_SHORT_NAME>.req <UNIQUE_SERVER_SHORT_FILE_NAME>
z. B. easyrsa import-req /etc/openvpn/keys/pki/reqs/centos-srv.req vpn-server

easyrsa import-req /etc/openvpn/keys/pki/reqs/<UNIQUE_CLIENT_SHORT_NAME>.req <UNIQUE_CLIENT_SHORT_FILE_NAME>
z. B. easyrsa import-req /etc/openvpn/keys/pki/reqs/debian-efi.req vpn-client

easyrsa sign-req server vpn-server
easyrsa sign-req client vpn-client

/etc/openvpn/keys/pki/ca.crt

/etc/openvpn/keys/pki/reqs/<UNIQUE_SERVER_SHORT_NAME>.req\\
z. B. /etc/openvpn/keys/pki/reqs/centos-srv.req

/etc/openvpn/keys/pki/reqs/<UNIQUE_CLIENT_SHORT_NAME>.req\\
z. B. /etc/openvpn/keys/pki/reqs/debian-efi.req

/etc/openvpn/keys/pki/issued/<UNIQUE_SERVER_SHORT_FILE_NAME>.crt\\
z. B. /etc/openvpn/keys/pki/issued/vpn-server.crt

/etc/openvpn/keys/pki/issued/<UNIQUE_CLIENT_SHORT_FILE_NAME>.crt\\
z. B. /etc/openvpn/keys/pki/issued/vpn-client.crt

/etc/openvpn/keys/pki/private/ca.key

/etc/openvpn/keys/pki/private/<UNIQUE_SERVER_SHORT_NAME>.key\\
z. B. /etc/openvpn/keys/pki/private/centos-srv.key

/etc/openvpn/keys/pki/private/<UNIQUE_CLIENT_SHORT_NAME>.key\\
z. B. /etc/openvpn/keys/pki/private/debian-efi.key

openssl dhparam -out dh4096.pem 4096

Die erzeugten Keys bereitstellen für den centos-srv Server

 cp /etc/openvpn/keys/pki/ca.crt /etc/openvpn/keys/ca.crt
 cp /etc/openvpn/keys/pki/issued/vpn-server.crt  /etc/openvpn/keys/vpn-server.crt
 cp /etc/openvpn/keys/pki/private/centos-srv.key /etc/openvpn/keys/centos-srv.key
 -> hier zum cut&paste
  cp /etc/openvpn/keys/pki/ca.crt /etc/openvpn/keys/ca.crt && cp /etc/openvpn/keys/pki/issued/vpn-server.crt /etc/openvpn/keys/vpn-server.crt && cp /etc/openvpn/keys/pki/private/centos-srv.key /etc/openvpn/keys/centos-srv.key

Die erzeugten Keys bereitstellen für den debian-efi Client

 scp pki/ca.crt root@172.16.17.10:/tmp
 scp pki/issued/vpn-client.crt root@172.16.17.10:/tmp
 scp pki/private/debian-efi.key root@172.16.17.10:/tmp

 mkdir -p /etc/openvpn/keys
 cp /tmp/ca.crt /etc/openvpn/keys/
 cp /tmp/vpn-client.crt /etc/openvpn/keys/
 cp /tmp/debian-efi.key /etc/openvpn/keys/

### Serverkonfigurationsdatei ###
port 1194
proto udp4
dev tun
# Zertifikate und Schlüssel angeben:
cd ../keys
ca ca.crt
cert vpn-server.crt
key centos-srv.key
dh dh1024.pem
# VPN-Netzwerkadressen zur automatischen Verteilung
# Die erste Adresse verwendet der Server selbst.
server 172.16.20.0 255.255.255.240
# Für wiederkehrende Clients verwendete IP-Adressen
# in dieser Datei speichern:
ifconfig-pool-persist ipp.txt
# Routing-Eintrag dem Client hinzufügen
push "route 172.16.19.0 255.255.255.240"
# Dem Client einen DNS-Server zuweisen
push "dhcp-option DNS 172.16.19.1"
# Ermögliche Kontakt zwischen Clients
client-to-client
# Verbindung alle 10 Sek. testen (ICMP). Wenn nach
# 120 Sek. keine Antwort Tunnel ggf. neu aufbauen
keepalive 10 120
# Kompression einschalten
comp-lzo
# Maximale Anzahl von Clients festlegen
max-clients 40
# Statusdatei festlegen
status openvpn-status.log
# Mittleren Protokollierungsgrad festlegen
verb 3

# Client-Konfiguration (debian-clt)

=== Konfiguration für den debian-efi Client anlegen: vi /etc/openvpn/client/client.conf

### Client-Konfiguration ###
client
dev tun
proto udp4
# VPN-Server:
remote <WAN-IP oder FQDN-Centos-Srv> 1194    # WAN
# Zertifikate und Schlüssel:
cd ../keys
ca ca.crt
cert vpn-client.crt
key debian-efi.key
# Kompression einschalten
comp-lzo
verb 3

firewall-cmd --permanent --zone=public --add-port=1194/udp
oder firewall-cmd --permanent --zone=WAN --add-port=1194/udp
firewall-cmd --reload

systemctl start openvpn-server@server

systemctl start openvpn-client@client

 ping -c 4 172.16.19.1