OpenVPN ja kansion jako internetin yli

Internet ja tietoliikenne
1

Tarkoitus on saada etätyöntekijöille jaettua sisäverkkoon jo jaettu /mnt/x kansio.

Taustaa:

  • Sisäverkko jossa n. 10 kpl työasemia, NAT käytössä, määritellyt IP -osoitteet (192.168.0.1 - 192.168.0.199) (dhcp asiakaskäytössä, 192.168.0.200 - 192.168.0.249 )
  • CentOS 5 serveri (192.168.0.3) jossa /mnt/x jaettu hosts.allow (192.168.0.1 - 192.168.0.199) -sisäverkon koneille vapaaseen käyttöön
  • Internetin ja sisäverkon välissä GnatBox palomuuri ip 192.168.0.250

Yksi vaihtoehto on käyttää palomuurin vpn-kikkaretta, valitettavasti meillä on asiakaskäyttöön koneille asennettuna Cisco VPN softat jotka eivät suopeasti katso muita vpn-softia.

Arveluita:

  1. Avaan palomuurista aukon CentOS serverille (esim. port forward ssh 22?)
  2. Luon suojatun yhteyden ulkoverkon (vista/xp) etätyöntekijän ja CentOS -koneen välille (ssh connection, millä softalla?)
  3. Mappaan aseman etäkoneelle käyttöön (?)

Hidashan tuo tulee välillä olemaan mutta pääsisi ainakin näkemään rakenteita, tiedostojen sijaintia yms tarpeellista.

Onnistuuko tämä käytännössä ja mihin kannattaisi tutustua? (esim. SSH yhteys Putty:llä toimi sisäverkossa, ulkoverkosta en vielä ole kokeillut)

Etukäteen avusta kiittäen

  • Tommi

Edit:// Otsikko muutettu kuvaamaan paremmin sisältöä

2

[quote=“Tomywa, post:1, topic:555”]Tarkoitus on saada etätyöntekijöille jaettua sisäverkkoon jo jaettu /mnt/x kansio.

Taustaa:

  • Sisäverkko jossa n. 10 kpl työasemia, NAT käytössä, määritellyt IP -osoitteet (192.168.0.1 - 192.168.0.199) (dhcp asiakaskäytössä, 192.168.0.200 - 192.168.0.249 )
  • CentOS 5 serveri (192.168.0.3) jossa /mnt/x jaettu hosts.allow (192.168.0.1 - 192.168.0.199) -sisäverkon koneille vapaaseen käyttöön
  • Internetin ja sisäverkon välissä GnatBox palomuuri ip 192.168.0.250

Yksi vaihtoehto on käyttää palomuurin vpn-kikkaretta, valitettavasti meillä on asiakaskäyttöön koneille asennettuna Cisco VPN softat jotka eivät suopeasti katso muita vpn-softia.

Arveluita:

  1. Avaan palomuurista aukon CentOS serverille (esim. port forward ssh 22?)
  2. Luon suojatun yhteyden ulkoverkon (vista/xp) etätyöntekijän ja CentOS -koneen välille (ssh connection, millä softalla?)
  3. Mappaan aseman etäkoneelle käyttöön (?)

Hidashan tuo tulee välillä olemaan mutta pääsisi ainakin näkemään rakenteita, tiedostojen sijaintia yms tarpeellista.

Onnistuuko tämä käytännössä ja mihin kannattaisi tutustua? (esim. SSH yhteys Putty:llä toimi sisäverkossa, ulkoverkosta en vielä ole kokeillut)

Etukäteen avusta kiittäen

  • Tommi[/quote]

Suosittelen käyttämään esimerkiksi OpenVPN yhteyttä, niin voit saada levyjaot suoraan windowsissa näkymään,
mikäli et halua tätä vaihtoehtoa, niin sitten joudut varmaan sftp clienttiä käyttämään (esim. filezilla), sillä windows
ei osaa mountata ssh:n yli filesysteemejä.

–
Eero

3

Ok - tutustun tuohon OpenVPN:ään ensin - tuo levyjako olisi paras vaihtoehto koska käyttäjälle tämän pitäisi olla helppo kuin mikä…

4

Ongelmia OpenVPN asennuksessa:

Koitin ohjeita

  1. http://www.throx.net/2008/04/13/openvpn-and-centos-5-installation-and-configuration-guide/
  2. http://www.webhostingtalk.com/showthread.php?t=595436

Ohje 1 näytti paremmalta - seurasin sitä. Ei vain päässyt kovin pitkälle - alku meni hyvin läpi:

#wget http://openvpn.net/release/openvpn-2.0.9.tar.gz
#wget http://openvpn.net/release/lzo-1.08-4.rf.src.rpm
#yum install rpm-build
#yum install autoconf.noarch
#yum install zlib-devel
#yum install pam-devel
#yum install openssl-devel

Tässä tuli errors -
#rpmbuild –rebuild lzo-1.08-4.rf.src.rpm
configure: error: no acceptable C compiler found in $PATH

See config.log for more details

No tuota… config.log tiedostoa en löydä eikä jatko onnistu (tuo RPMS/i386 hakemisto on tyhjä):

#rpm -Uvh /usr/src/redhat/RPMS/i386/lzo-*.rpm

Onko tuo C compiler jokin mikä pitäisi olla olemassa valmiina / olisiko sen pitänyt asentua tuossa alkuvaiheessa? (osaamistaso newbie joka näkynee kysymyksissäkin…)

5

[quote=“Tomywa, post:4, topic:555”]Ongelmia OpenVPN asennuksessa:

Koitin ohjeita

  1. http://www.throx.net/2008/04/13/openvpn-and-centos-5-installation-and-configuration-guide/
  2. http://www.webhostingtalk.com/showthread.php?t=595436

Ohje 1 näytti paremmalta - seurasin sitä. Ei vain päässyt kovin pitkälle - alku meni hyvin läpi:

#wget http://openvpn.net/release/openvpn-2.0.9.tar.gz
#wget http://openvpn.net/release/lzo-1.08-4.rf.src.rpm
#yum install rpm-build
#yum install autoconf.noarch
#yum install zlib-devel
#yum install pam-devel
#yum install openssl-devel

Tässä tuli errors -
#rpmbuild –rebuild lzo-1.08-4.rf.src.rpm
configure: error: no acceptable C compiler found in $PATH

See config.log for more details

No tuota… config.log tiedostoa en löydä eikä jatko onnistu (tuo RPMS/i386 hakemisto on tyhjä):

#rpm -Uvh /usr/src/redhat/RPMS/i386/lzo-*.rpm

Onko tuo C compiler jokin mikä pitäisi olla olemassa valmiina / olisiko sen pitänyt asentua tuossa alkuvaiheessa? (osaamistaso newbie joka näkynee kysymyksissäkin…)[/quote]

Miksi kaikki pitää kääntää sorsista? Sinulta puuttuu gcc eli c-kääntäjä. Nuo saa ihan paketoitunakin DAG’s rpm:stä
eli: http://dag.wieers.com/rpm/FAQ.php#B ja sit vaan yum -y install openvpn

–
Eero

6

Kiitoksia hyvistä vinkeistä - nyt on asennettu ja serveripuoli pelaa. Aika hyvä tuo valmiiden rpm-pakettien “varasto”…

Ongelma kuitenkin tulee clientin puolella yrittäessäni yhteyttä serveriin:
Tue Feb 03 07:44:45 2009 IMPORTANT: OpenVPN’s default port number is now 1194, based on an official port number assignment by IANA. OpenVPN 2.0-beta16 and earlier used 5000 as the default port.
Tue Feb 03 07:44:45 2009 WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
Tue Feb 03 07:44:45 2009 Re-using SSL/TLS context
Tue Feb 03 07:44:45 2009 LZO compression initialized
Tue Feb 03 07:44:45 2009 Control Channel MTU parms [ L:1574 D:138 EF:38 EB:0 ET:0 EL:0 ]
Tue Feb 03 07:44:45 2009 Data Channel MTU parms [ L:1574 D:1450 EF:42 EB:135 ET:32 EL:0 AF:3/1 ]
Tue Feb 03 07:44:45 2009 Local Options hash (VER=V4): 'd79ca330’
Tue Feb 03 07:44:45 2009 Expected Remote Options hash (VER=V4): 'f7df56b8’
Tue Feb 03 07:44:45 2009 UDPv4 link local: [undef]
Tue Feb 03 07:44:45 2009 UDPv4 link remote: 10.x.x.x:1194
Tue Feb 03 07:44:45 2009 TLS: Initial packet from 10.x.x.x:1194, sid=d94073a5 7831370d
Tue Feb 03 07:44:45 2009 VERIFY ERROR: depth=1, error=self signed certificate in certificate chain: /C=xxx/ST=xxx/L=xxx/O=xxx/CN=xxx/emailAddress=xxx.xxx@xxx.xxx
Tue Feb 03 07:44:45 2009 TLS_ERROR: BIO read tls_read_plaintext error: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
Tue Feb 03 07:44:45 2009 TLS Error: TLS object -> incoming plaintext read error
Tue Feb 03 07:44:45 2009 TLS Error: TLS handshake failed
Tue Feb 03 07:44:45 2009 TCP/UDP: Closing socket
Tue Feb 03 07:44:45 2009 SIGUSR1[soft,tls-error] received, process restarting
Tue Feb 03 07:44:45 2009 Restart pause, 2 second(s)

Lueskelin paljon netistä tuosta ongelmasta enkä loppujen lopuksi saanut sitä toimimaan. Koitin nimetä ja siirrellä tiedostoja paikasta toiseen - nyt ollaan takaisin turvallisessa alkutilanteessa.

Tein client.crt .csr .key -tiedostot serverillä tai clientillä, pääsen samaan lopputulokseen.

Onko tuohon jotain hyvää kikkaa - esim. voiko tuota tarkistusta ohittaa (ei varmaan suositella?) / pitääkö jotenkin saada serveri hyväksymään tuo itse luotu sertifikaatti?

7

[quote=“Tomywa, post:6, topic:555”]Kiitoksia hyvistä vinkeistä - nyt on asennettu ja serveripuoli pelaa. Aika hyvä tuo valmiiden rpm-pakettien “varasto”…

Ongelma kuitenkin tulee clientin puolella yrittäessäni yhteyttä serveriin:
Tue Feb 03 07:44:45 2009 IMPORTANT: OpenVPN’s default port number is now 1194, based on an official port number assignment by IANA. OpenVPN 2.0-beta16 and earlier used 5000 as the default port.
Tue Feb 03 07:44:45 2009 WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
Tue Feb 03 07:44:45 2009 Re-using SSL/TLS context
Tue Feb 03 07:44:45 2009 LZO compression initialized
Tue Feb 03 07:44:45 2009 Control Channel MTU parms [ L:1574 D:138 EF:38 EB:0 ET:0 EL:0 ]
Tue Feb 03 07:44:45 2009 Data Channel MTU parms [ L:1574 D:1450 EF:42 EB:135 ET:32 EL:0 AF:3/1 ]
Tue Feb 03 07:44:45 2009 Local Options hash (VER=V4): 'd79ca330’
Tue Feb 03 07:44:45 2009 Expected Remote Options hash (VER=V4): 'f7df56b8’
Tue Feb 03 07:44:45 2009 UDPv4 link local: [undef]
Tue Feb 03 07:44:45 2009 UDPv4 link remote: 10.x.x.x:1194
Tue Feb 03 07:44:45 2009 TLS: Initial packet from 10.x.x.x:1194, sid=d94073a5 7831370d
Tue Feb 03 07:44:45 2009 VERIFY ERROR: depth=1, error=self signed certificate in certificate chain: /C=xxx/ST=xxx/L=xxx/O=xxx/CN=xxx/emailAddress=xxx.xxx@xxx.xxx
Tue Feb 03 07:44:45 2009 TLS_ERROR: BIO read tls_read_plaintext error: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
Tue Feb 03 07:44:45 2009 TLS Error: TLS object -> incoming plaintext read error
Tue Feb 03 07:44:45 2009 TLS Error: TLS handshake failed
Tue Feb 03 07:44:45 2009 TCP/UDP: Closing socket
Tue Feb 03 07:44:45 2009 SIGUSR1[soft,tls-error] received, process restarting
Tue Feb 03 07:44:45 2009 Restart pause, 2 second(s)

Lueskelin paljon netistä tuosta ongelmasta enkä loppujen lopuksi saanut sitä toimimaan. Koitin nimetä ja siirrellä tiedostoja paikasta toiseen - nyt ollaan takaisin turvallisessa alkutilanteessa.

Tein client.crt .csr .key -tiedostot serverillä tai clientillä, pääsen samaan lopputulokseen.

Onko tuohon jotain hyvää kikkaa - esim. voiko tuota tarkistusta ohittaa (ei varmaan suositella?) / pitääkö jotenkin saada serveri hyväksymään tuo itse luotu sertifikaatti?[/quote]

Lue ohjeet ja generoi tarvittavat avaimet sen mukaan.

–
Eero

8

Näitä olen lukenut ja soveltanut:

http://www.throx.net/2008/04/13/openvpn-and-centos-5-installation-and-configuration-guide/

http://openvpn.net/index.php/documentation/howto.html#pki
http://www.datastat.com/sysadminjournal/openvpnclients.html
http://acs.lbl.gov/~boverhof/openssl_certs.html
http://wiki.mikrotik.com/wiki/OpenVPN

Pää sekaisin kun lukee liikaa ja yrittää toista ja kolmatta kun ei vaan onnistu luomaan. Ehkä aloitan tuosta kohdasta yksi uudelleen - vinkkiä toki voi antaa jos tiedossa on parempi ohje.

9

Ja ongelma ratkesi. Niinkin yksinkertainen - c:\program files\openvpn\bin ei ollut polkuna joten oli hieman hankalaa suorittaa openssl.exe -komentoja…

Seuraavaksi kokeilu ulkoverkosta - eli palomuuriin aukko ja reititys edelleen CentOS -koneelle…

10

[quote=“Tomywa, post:9, topic:555”]Ja ongelma ratkesi. Niinkin yksinkertainen - c:\program files\openvpn\bin ei ollut polkuna joten oli hieman hankalaa suorittaa openssl.exe -komentoja…

Seuraavaksi kokeilu ulkoverkosta - eli palomuuriin aukko ja reititys edelleen CentOS -koneelle…[/quote]

Kannattaa suosia sitä virallista ohjetta eli: http://www.openvpn.net/index.php/documentation/howto.html

–
Eero