👨🏾‍🤝‍👨🏽 😽 🖕🏼 लिनक्स के लिए इस सामान के प्रवास के साथ विंडोज सर्वर और मिकरोटिक पर ओपनवीपीएन का एक गुच्छा 💪🏻 🎯 🛐

अच्छा है!

हर उद्यम, जल्दी या बाद में, अचानक, इसे दूरस्थ पहुंच की आवश्यकता होती है।
व्यावहारिक रूप से प्रत्येक आईटी विशेषज्ञ को उद्यम में अपने नेटवर्क तक दूरस्थ पहुंच को व्यवस्थित करने की आवश्यकता होती है।
मुझे, कई लोगों की तरह, इस स्टैम्प के साथ "कल की जरूरत है।" सभी पेशेवरों और विपक्षों का विश्लेषण करने के साथ-साथ टन जानकारी को खोदकर और सिद्धांत में थोड़ा खोदकर, मैंने स्थापना के साथ आगे बढ़ने का फैसला किया।

सुरक्षा कारणों के लिए, मैंने निम्नलिखित कार्यान्वयन में ओपनवीपीएन को चुना: विंडोज सर्वर 2012 पर चलने वाले सर्वर पर एक वर्चुअल मशीन स्थापित की गई थी, उस पर विंडोज सर्वर 2012 भी स्थापित किया गया था, और उस पर, एक ओपनवीपीएन सर्वर था जो जारी किए और प्रमाण पत्र पर हस्ताक्षर किए थे।

सुविधा के लिए, हम इसे "प्रमाणन सर्वर" कहेंगे। इसके अलावा, उन्होंने एक सर्वर प्रमाणपत्र लिया, इसे मिकरोटिक में धकेल दिया, और राउटर पर मिकरोटिक ने ओपनवीपीएन को खातों, प्रोफाइल के साथ उठाया। मैंने क्लाइंट प्रमाणपत्र जारी करने के लिए एक प्रमाणन सर्वर का भी उपयोग किया।

कार्यान्वयन, निश्चित रूप से भयानक है, और हालांकि उस समय इस तरह की चीजों में मेरा अनुभव, सुरक्षा के मामलों में, पर्याप्त नहीं था, यह एक बुरा निर्णय था।

इस बंडल ने थोड़ी देर के लिए काम किया और मुझे एक नया परिचयात्मक दिया गया: प्रमाणीकरण सर्वर को लिनक्स में स्थानांतरित करना, जबकि मिकरोटिक के साथ संबंध बनाए रखना - ग्राहकों को नुकसान नहीं होना चाहिए।

उस समय लिनक्स का मेरा ज्ञान उबंटू 16.04LTS पर एक ग्राफिकल इंटरफ़ेस के साथ समाप्त हो गया था जिसे RDP के माध्यम से विंडोज सर्वर से कनेक्ट करने के लिए टर्मिनल के रूप में इस्तेमाल किया गया था। यही है, sudo apt-get -f install -y, और सेंटीमीटर अधिक नहीं।

इस सवाल का अध्ययन करने के बाद कि लिनक्स परिवार से कौन सा ओएस मेरे संगठन के लिए अधिक स्थिर और आशाजनक है, मैं CentOS 7 मिनिमल पर बस गया।

इसके साथ शुरू करने के लिए, मैंने सिद्धांत में थोड़ा तल्लीन करने का फैसला किया, यह समझने के लिए कि यह आम तौर पर कैसे काम करता है और काम करता है। मैंने चैनल www.youtube.com/channel/UCKdRgZWgy42YxoFcTJ30LTA पर वीडियो ट्यूटोरियल देखा (सामान्य तौर पर, विज्ञापन नहीं, वे मुझे पहले मिले)। एक सुखद आवाज़ वाली लड़की ने मुझे चयनित ओएस में काम करने की मूल बातें से परिचित कराया।

शुरू करने के लिए, मैंने अपने कंप्यूटर पर हाइपर-वी लॉन्च किया, वहां सेंटोस 7 मिनिमल स्थापित किया, स्थापना के दौरान मैंने व्यवस्थापक उपयोगकर्ता बनाया और रूट के लिए पूरी तरह से बंद कर दिया। एक सुंदर बहुरंगी स्क्रीन को अलविदा कहना, टर्मिनल के काले और सफेद दुनिया में डूब गया।

मुझे लगता है कि सॉफ़्टवेयर इंस्टॉलेशन प्रक्रिया का वर्णन करने का कोई मतलब नहीं है, इस प्रक्रिया में उत्पन्न होने वाली समस्याओं पर ध्यान केंद्रित करना बेहतर है और जिसके लिए मुझे एक छोटी स्क्रिप्ट लिखनी थी (यह एक बिल्ली के नीचे है। प्रत्येक उपयोगिताओं का विवरण इंटरनेट पर पाया जा सकता है, लेकिन उस समय जब मैं यह सब कर रहा हूं। किया, यह स्क्रिप्ट अभी तक नहीं थी, सब कुछ पहली बार किया गया था, स्पर्श और यादृच्छिक पर)।

स्क्रिप्ट में, मैंने सर्वर के लिए न्यूनतम आवश्यक उपयोगिताओं की स्थापना को स्वचालित करने की कोशिश की, सेलिनक्स को अक्षम किया, एपल रिपॉजिटरी को कनेक्ट किया, ओपनवीपीएन स्थापित किया, आदि। नीचे स्क्रिप्ट ही है, यह सरल है, लेकिन इसका उपयोग किया जा सकता है। मैं इसे अलग नहीं करूंगा, लेकिन अगर किसी को इसकी जरूरत है, तो जवाब लिखें।

स्क्रिप्ट का उपयोग करने के बाद, पहले से ही कॉन्फ़िगर किया गया ओपनवीपीएन सर्वर दिखाई देगा, एक हरे रंग की आंख के साथ।

UPD: स्क्रिप्ट के लिए कुछ समायोजन किए, टिप्पणियों से निष्कर्ष निकाला। उसने अपनी गलतियों को मिटाना शुरू नहीं किया, लेकिन बस टिप्पणी की ताकि टिप्पणियों का धागा खो न जाए। दृश्यता के लिए जोड़ी गई लाइनें पीछे धकेल दी गईं।

#!/bin/bash cd /etc/sysconfig/ sudo sed -i 's/SELINUX=enforcing/SELINUX=disabled/g' selinux sudo setenforce 0 cd /home/Admin sudo yum update -y sudo yum install epel-release -y sudo yum install mc -y sudo yum install nano -y sudo cp /usr/share/mc/syntax/sh.syntax /usr/share/mc/syntax/unknown.syntax sudo yum install chrony -y sudo systemctl start chronyd sudo systemctl enable chronyd sudo yum install net-tools -y sudo yum install iftop -y sudo yum install htop -y sudo yum install lsof -y sudo yum install dos2unix -y sudo yum install wget -y sudo yum install tcpdump -y sudo yum install openvpn -y wget https://github.com/OpenVPN/easy-rsa/releases/download/v3.0.3/EasyRSA-3.0.3.tgz sudo tar -xvzf EasyRSA-3.0.3.tgz #sudo chown -R Admin:Admin /var/log #sudo chmod 755 /var/log sudo mkdir /var/log/openvpn sudo mkdir /etc/openvpn/ccd sudo chown -R Admin:Admin /etc/openvpn/ccd sudo chown -R Admin:Admin /var/log/openvpn chmod 755 /etc/openvpn/ccd chmod 755 /var/log/openvpn echo >/var/log/openvpn/openvpn-status.log echo >/var/log/openvpn/openvpn.log #sudo chown -R Admin:Admin /etc/resolv.conf sudo chmod 777 /etc/resolv.conf echo nameserver 8.8.8.8 >>/etc/resolv.conf chmod 755 /etc/resolv.conf cd /etc/openvpn/ sudo /home/Admin/EasyRSA-3.0.3/easyrsa init-pki sudo chown -R Admin:Admin /etc/openvpn chmod 755 /etc/openvpn echo set_var EASYRSA_DN "org" >/home/Admin/EasyRSA-3.0.3/test echo set_var EASYRSA_REQ_COUNTRY "RU" >>/home/Admin/EasyRSA-3.0.3/test echo set_var EASYRSA_KEY_SIZE 4096 >>/home/Admin/EasyRSA-3.0.3/test echo set_var EASYRSA_REQ_PROVINCE "LIP" >>/home/Admin/EasyRSA-3.0.3/test echo set_var EASYRSA_REQ_CITY "Lipetsk" >>/home/Admin/EasyRSA-3.0.3/test echo set_var EASYRSA_REQ_ORG "Cool-Admin" >>/home/Admin/EasyRSA-3.0.3/test echo set_var EASYRSA_REQ_EMAIL "xxx.ru" >>/home/Admin/EasyRSA-3.0.3/test echo set_var EASYRSA_REQ_OU "Our_ORG" >>/home/Admin/EasyRSA-3.0.3/test echo set_var EASYRSA_REQ_CN "changeme" >>/home/Admin/EasyRSA-3.0.3/test echo set_var EASYRSA_CERT_EXPIRE 3650 >>/home/Admin/EasyRSA-3.0.3/test echo set_var EASYRSA_DH_KEY_SIZE=2048 >>/home/Admin/EasyRSA-3.0.3/test sudo /home/Admin/EasyRSA-3.0.3/easyrsa build-ca nopass sudo /home/Admin/EasyRSA-3.0.3/easyrsa build-server-full Serv nopass sudo /home/Admin/EasyRSA-3.0.3/easyrsa build-client-full Client1 nopass sudo /home/Admin/EasyRSA-3.0.3/easyrsa --vars=vars gen-dh sudo /home/Admin/EasyRSA-3.0.3/easyrsa --vars=vars gen-crl mkdir keys sudo chown -R Admin:Admin /etc/openvpn/keys chmod 755 /etc/openvpn/keys sudo cp /etc/openvpn/pki/ca.crt /etc/openvpn/keys sudo cp /etc/openvpn/pki/dh.pem /etc/openvpn/keys sudo cp /etc/openvpn/pki/crl.pem /etc/openvpn/keys sudo cp /etc/openvpn/pki/issued/Serv.crt /etc/openvpn/keys sudo cp /etc/openvpn/pki/private/Serv.key /etc/openvpn/keys echo port 443 >/etc/openvpn/server.conf echo proto udp >>/etc/openvpn/server.conf echo dev tun >>/etc/openvpn/server.conf echo ca /etc/openvpn/keys/ca.crt >>/etc/openvpn/server.conf echo cert /etc/openvpn/keys/Serv.crt >>/etc/openvpn/server.conf echo key /etc/openvpn/keys/Serv.key >>/etc/openvpn/server.conf echo dh /etc/openvpn/keys/dh.pem >>/etc/openvpn/server.conf echo crl-verify /etc/openvpn/keys/crl.pem >>/etc/openvpn/server.conf echo client-config-dir /etc/openvpn/ccd >>/etc/openvpn/server.conf echo topology subnet >>/etc/openvpn/server.conf echo server 172.21.0.0 255.255.255.0 >>/etc/openvpn/server.conf echo route 172.21.0.0 255.255.255.0 >>/etc/openvpn/server.conf echo push \"dhcp-option DNS 8.8.8.8\" >>/etc/openvpn/server.conf echo push \"dhcp-option DNS 8.8.4.4\" >>/etc/openvpn/server.conf echo keepalive 10 120 >>/etc/openvpn/server.conf echo persist-key >>/etc/openvpn/server.conf echo persist-tun >>/etc/openvpn/server.conf echo status /var/log/openvpn/openvpn-status.log >>/etc/openvpn/server.conf echo log-append /var/log/openvpn/openvpn.log >>/etc/openvpn/server.conf echo verb 2 >>/etc/openvpn/server.conf echo mute 20 >>/etc/openvpn/server.conf echo daemon >>/etc/openvpn/server.conf echo mode server >>/etc/openvpn/server.conf echo user nobody >>/etc/openvpn/server.conf echo group nobody >>/etc/openvpn/server.conf #sudo chown -R Admin:Admin /etc/sysctl.conf chmod 777 /etc/sysctl.conf echo net.ipv4.ip_forward=1 >>/etc/sysctl.conf chmod 755 /etc/sysctl.conf sudo sysctl -p /etc/sysctl.conf sudo systemctl enable openvpn@server sudo systemctl start openvpn@server sudo systemctl status openvpn@server

OpenVPN स्थापित करना पूरी तरह से सफल नहीं था।

लिनक्स सिस्टम पर अधिकार नीति की विशेषताओं के बारे में नहीं जानते हुए, मैंने लॉग का अध्ययन करने और सभी फाइलों को आवश्यक अधिकारों को सौंपने में बहुत समय बिताया।

जब OpenVPN बटन हरा हो गया, तो मैं बहुत खुश था, लेकिन जैसा कि यह निकला, यह केवल शुरुआत थी। सादगी के लिए, मुझे रूट प्रमाणपत्र और crl.pem फ़ाइल को बदलने की उम्मीद थी, उम्मीद है कि सब कुछ काम किया। नतीजतन, मुझे सर्वर से निम्न फ़ाइलों को विंडोज में स्थानांतरित करने की आवश्यकता थी:

Serv.crt - सर्वर प्रमाणपत्र
Serv.key - सर्वर कुंजी
Ca.crt - रूट प्रमाणपत्र
Ca.key - रूट की
Crl.pem - प्रमाणपत्र निरस्तीकरण फ़ाइल
धम्म् - डिफी-हेलमैन कुंजी
Index.txt - करंट सर्टिफिकेट की जानकारी वाली फाइल
सीरियल - यह प्रमाण पत्र की प्रासंगिकता के लिए भी जिम्मेदार है

इसमें certs_by_serial फ़ोल्डर, vars फ़ाइल और सभी क्लाइंट कुंजियों और प्रमाणपत्रों की भी आवश्यकता थी।
मिकरोटिक में, प्रमाणपत्र जगह में रहे, इसलिए इसने काम किया।

समस्याएँ तब सामने आईं जब मैंने प्रमाणपत्र को रद्द करने की कोशिश की, यह शब्द से बिल्कुल भी काम नहीं करता था - index.txt फ़ाइल को यूनिक्स प्रारूप में बदलने की आवश्यकता थी, लेकिन मैंने इसे तुरंत नहीं किया। Dos2unix उपयोगिता का उपयोग किया।

अब प्रमाण पत्र निरस्त कर दिए गए, लेकिन बिना किसी समस्या के काम करना जारी रखा, क्योंकि मिकरोटिक को नहीं पता था कि वे निरस्त हो गए थे और उन्हें किसी तरह इसके बारे में सूचित करने की आवश्यकता थी।

निर्देशों को पढ़ने के बाद, साथ ही अलेक्जेंडर ईआरआई के साथ परामर्श करने के लिए (बहुत बहुत धन्यवाद!), मैंने प्रमाणन सर्वर पर एक साधारण अपाचे http सर्वर उठाया और उस पर निरस्त प्रमाण पत्र की एक फ़ाइल प्रकाशित की। एक आईपी से प्रकाशित फ़ाइल को छोड़कर, इसके लिए पूरी तरह से बंद है।

मिकरोटिक टर्मिनल में / सिस्टम / सर्टिफिकेट / सीआरएल टैब में, प्रकाशित crl.pem के लिए रास्ता दिखाया गया है। यहां यह स्पष्ट किया जाना चाहिए कि मिकरोटिक केवल http और CRL टैब के लिए एक पूर्ण पते को स्वीकार करता है, अर्थात। यह कुछ इस तरह दिखना चाहिए: 127.0.0.1/crl/1.crl
सब कुछ काम किया, कम से कम 6.4.2. RouterOS के संस्करणों के लिए, लेकिन मुझे अपने हाथों से क्लाइंट कॉन्फ़िगरेशन बनाना पड़ा, और यह मेरे लिए दुर्भाग्यपूर्ण था और बहुत असुविधा का कारण बना। जब एक हफ्ते में मुझे लगभग 50 ग्राहकों के लिए कॉन्फ़िगरेशन बनाने की आवश्यकता हुई, तो मैंने इस प्रक्रिया को गति देने का फैसला किया और इसके लिए मैंने इंटरनेट पर किसी और की स्क्रिप्ट का एक टुकड़ा इस्तेमाल किया।

स्क्रिप्ट इस तरह से काम करती है: लॉन्च के बाद, "क्लाइंट का नाम" निर्दिष्ट करें, प्रश्न का उत्तर दें "एक पासवर्ड सेट करें या नहीं", इसके बाद हम तैयार किए गए कॉन्फ़िगरेशन फ़ाइल "client.ovpn" को उठाते हैं, जिसमें प्रमाणपत्र और सेटिंग्स को एकीकृत किया जाता है। इसका उपयोग करने के लिए, आपके पास / etc / openvpn होना चाहिए। मैं komenty लाइनों पर हस्ताक्षर करूंगा जिसमें पथ को अपने स्वयं के साथ बदलना होगा। क्लाइंट सेटिंग्स के साथ एक फ़ाइल बनाना भी आवश्यक है ताकि स्क्रिप्ट कॉन्फ़िगरेशन बनाने की प्रक्रिया में उन्हें प्रतिस्थापित कर सके।

 #!/bin/bash function newClient () { echo "" echo "Tell me a name for the client." echo "Use one word only, no special characters." until [[ "$CLIENT" =~ ^[a-zA-Z0-9_]+$ ]]; do read -rp "Client name: " -e CLIENT done echo "" echo "Do you want to protect the configuration file with a password?" echo "(eg encrypt the private key with a password)" echo " 1) Add a passwordless client" echo " 2) Use a password for the client" until [[ "$PASS" =~ ^[1-2]$ ]]; do read -rp "Select an option [1-2]: " -e -i 1 PASS done #cd /etc/openvpn/easy-rsa/ || return case $PASS in 1) sudo /home/admin/EasyRSA-3.0.3/easyrsa build-client-full "$CLIENT" nopass ;; 2) echo "You will be asked for the client password below" ./easyrsa build-client-full "$CLIENT" ;; esac # Generates the custom client.ovpn cp /etc/openvpn/client-template.txt "$home/home/admin/IT/Temp/$CLIENT.ovpn" #       . #,      { echo "<ca>" cat "/etc/openvpn/pki/ca.crt" #    echo "</ca>" echo "<cert>" awk '/BEGIN/,/END/' "/etc/openvpn/pki/issued/$CLIENT.crt" #   #  echo "</cert>" echo "<key>" cat "/etc/openvpn/pki/private/$CLIENT.key" #     echo "</key>" } >> "$home/home/admin/IT/Temp/$CLIENT.ovpn" #,     # echo "" echo "Client $CLIENT added, the configuration file is available at $home/admin/IT/OVPN/Temp/$CLIENT.ovpn." echo "Download the .ovpn file and import it in your OpenVPN client." exit 0; } newClient

थोड़ी देर के बाद, रिमोट एक्सेस पर एक नए परिचयात्मक प्रतिबंध ने इस सर्वर और मिकरोटिक के साथ काम करने वाले बंडल को मारने के लिए मजबूर किया। IT विभाग के लिए एक नया OpenVPN सर्वर बनाया गया था, जो अब पूरी तरह से CentOS पर काम करता है। लेकिन यह पूरी तरह से अलग कहानी है।

मैं इवान और पावेल का आभार व्यक्त करता हूं कि उन्होंने लेख को संपादित करने में मदद की।

लिनक्स के लिए इस सामान के प्रवास के साथ विंडोज सर्वर और मिकरोटिक पर ओपनवीपीएन का एक गुच्छा

More articles: