Modifica di VPN

Una '''Virtual Private Network''' ('''VPN''') consente di redirigere in tutto o in parte il proprio traffico internet verso un ''server VPN'', permettendo così l'accesso a reti locali o a servizi remoti protetti da firewall con whitelist sull'indirizzo IP. 

Per maggiori informazioni generali, si veda [https://it.wikipedia.org/wiki/Virtual_Private_Network Wikipedia].

== Informazioni generali ==

La VPN aziendale è stata realizzata con [https://openvpn.net OpenVPN], un software open source cross-platform. Il server è implementato da una macchina virtuale ([[Macchina Services|services]]) basata su Debian; sono disponibili client per Windows, Linux e Android. 

=== Installare e configurare una rete VPN ===

Per installare una rete VPN, è stata seguita principalmente [https://kifarunix.com/install-openvpn-server-on-debian-11-debian-10/ questa guida] OpenVPN.<br/><br/>

Installiamo il programma
<syntaxhighlight lang="bash">
sudo apt-get install openvpn easy-rsa
</syntaxhighlight>
Copiamo la cartella di Easy-RSA nei file di conf di openvpn per essere sicuri che un aggiornamento non vada
ad intaccare le configurazioni
<syntaxhighlight lang="bash">
sudo cp -r /usr/share/easy-rsa /etc/openvpn/
</syntaxhighlight>
Settiamo i valori default da includere nel certificato
<syntaxhighlight lang="bash">
cd /etc/openvpn/easy-rsa
sudo cp vars.example vars
sudo nano vars
</syntaxhighlight>

Trovare, scommentare e sistemare questi valori	
<syntaxhighlight lang="bash">
set_var EASYRSA_REQ_COUNTRY    "IT"
set_var EASYRSA_REQ_PROVINCE   "TO"
set_var EASYRSA_REQ_CITY       "Torino"
set_var EASYRSA_REQ_ORG        "Webmobili S.R.L."
set_var EASYRSA_REQ_EMAIL      "info@designbest.com"
set_var EASYRSA_REQ_OU         "Team MESS"
</syntaxhighlight>

Inizializzare la cartella '''pki''' (non so se da root o meno)
<syntaxhighlight lang="bash">
sudo ./easyrsa init-pki
</syntaxhighlight>
Creiamo i certificati principali <code>/etc/openvpn/easy-rsa/pki/ca.crt</code> e <code>/etc/openvpn/easy-rsa/pki/private/ca.key</code>
<syntaxhighlight lang="bash">
sudo ./easyrsa build-ca nopass
</syntaxhighlight>
mettendo come '''Common Name''': <code>Webmobili S.R.L.</code>

Generiamo il Diffie Hellman per l'handshaking della chiave creando <code>/etc/openvpn/easy-rsa/pki/dh.pem</code>
<syntaxhighlight lang="bash">
sudo ./easyrsa gen-dh
</syntaxhighlight>

Per generare certificato e chiave privata del Server OpenVPN server <code>/etc/openvpn/easy-rsa/pki/issued/server.crt</code> and <code>/etc/openvpn/easy-rsa/pki/private/server.key</code>
<syntaxhighlight lang="bash">
sudo ./easyrsa build-server-full server nopass
</syntaxhighlight>

Generate Hash-based Message Authentication Code (HMAC) key,
una sicurezza in più che genera <code>/etc/openvpn/easy-rsa/pki/ta.key</code>
<syntaxhighlight lang="bash">
sudo openvpn --genkey --secret /etc/openvpn/easy-rsa/pki/ta.key
</syntaxhighlight>

Copiamo tutti i certificati appena generati nella cartella <code>/etc/openvpn/server/</code>
<syntaxhighlight lang="bash">
sudo cp -rp /etc/openvpn/easy-rsa/pki/{ca.crt,dh.pem,ta.key,crl.pem,issued,private} /etc/openvpn/server/
</syntaxhighlight>

Configuriamo '''OpenVPN Server'''
<syntaxhighlight lang="bash">
sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn/server/
cd /etc/openvpn/server/
sudo gunzip server.conf.gz
</syntaxhighlight>


Ora editiamo <code>server.conf</code>
con una configurazione simile a questa:

<syntaxhighlight>
port 1317
proto udp
dev tun
ca ca.crt
cert issued/server.crt
key private/server.key  # This file should be kept secret
dh dh.pem
topology subnet
server 10.13.19.0 255.255.255.0
ifconfig-pool-persist /var/log/openvpn/ipp.txt
;push "redirect-gateway def1 bypass-dhcp"
push "route 10.13.17.0 255.255.255.0"
push "route 10.13.19.0 255.255.255.0"
push "route 62.173.163.218 255.255.255.255"
push "route 62.173.163.235 255.255.255.255"
push "route 62.173.163.234 255.255.255.255"
push "route 62.173.163.236 255.255.255.255"
push "route 62.173.163.237 255.255.255.255"
push "route 93.62.58.208 255.255.255.255"
push "route 185.81.1.164 255.255.255.255"
push "route 40.68.37.158 255.255.255.255"
push "route 52.236.184.163 255.255.255.255"
push "route 191.237.232.75 255.255.255.255"
push "route 104.40.168.105 255.255.255.255"
push "dhcp-option DNS 10.13.17.20"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
client-to-client
keepalive 10 120
tls-auth ta.key 0 # Su server 0, sui client 1
cipher AES-256-CBC
comp-lzo
persist-key
persist-tun
status /var/log/openvpn/openvpn-status.log
log-append  /var/log/openvpn/openvpn.log
verb 3
explicit-exit-notify 1
auth SHA512
</syntaxhighlight>

==== Port Forwarding ====
Abilitarlo 
<syntaxhighlight lang="bash">
sudo nano /etc/sysctl.conf
</syntaxhighlight>
cercando e abilitando la riga con <br/>
<code>net.ipv4.ip_forward = 1</code><br/>
<syntaxhighlight lang="bash">
sudo sysctl -p
</syntaxhighlight>

Aggiungere al Firewall la regola per la porta
<syntaxhighlight>
sudo ufw allow 1317/udp
sudo ufw allow OpenSSH
sudo ufw disable
sudo ufw enable
</syntaxhighlight>

Capire il nome della scheda di rete col comando
<syntaxhighlight lang="bash">
ip route get 8.8.8.8
</syntaxhighlight>
e poi modificare 
<syntaxhighlight lang="bash">
sudo nano /etc/ufw/before.rules
</syntaxhighlight>
aggiungendo le seguenti righe appena prima della sezione <code>*filter</code>
<syntaxhighlight lang="bash">
*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.13.19.0/24 -o enp3s0 -j MASQUERADE
COMMIT
</syntaxhighlight>

Permettere l'inoltro dal file del firewall
<syntaxhighlight lang="bash">
sudo nano /etc/default/ufw
</syntaxhighlight>
andando a cercare la riga <code>DEFAULT_FORWARD_POLICY</code> mettendo il valore qua sotto
<syntaxhighlight lang="bash">
DEFAULT_FORWARD_POLICY="ACCEPT"
</syntaxhighlight>

Tutto questo va fatto '''da root''
<syntaxhighlight lang="bash">
sudo -s
iptables -A FORWARD -i enp3s0 -o tap0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -s 10.13.19.0/24 -o enp3s0 -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.13.19.0/24 -o enp3s0 -j MASQUERADE
</syntaxhighlight>

Verificare con
<syntaxhighlight lang="bash">
iptables -L
</syntaxhighlight>

E se tutto va bene salvare con
<syntaxhighlight lang="bash">
iptables-save > /etc/iptables.up.rules
</syntaxhighlight>

Poi è necessario istruire la macchina per avere queste regole nei riavvi successivi

<syntaxhighlight lang="bash">
nano /etc/network/if-pre-up.d/iptables
</syntaxhighlight>

e aggiungerci
<syntaxhighlight lang="bash">
#!/bin/sh
/sbin/iptables-restore < /etc/iptables.up.rules
</syntaxhighlight>

infine bisogna dargli i permessi di esecuzione (e uscire da root)
<syntaxhighlight lang="bash">
chmod +x /etc/network/if-pre-up.d/iptables
exit
</syntaxhighlight>

=== Creazione di un client ===
Scritto a cazzo di cane perché è fine anno, giusto per non dimenticare.<br/><br/>
Il file di configurazione dev'essere simile a questo
<syntaxhighlight>
client
dev tap
proto udp
remote 89.96.52.243 1316
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert christian.crt
tls-auth ta.key 1
key christian.key
cipher AES-256-CBC
auth SHA512
key-direction 1
comp-lzo
verb 3
route-delay
</syntaxhighlight>
Importante avere il file ta.key e il valore '''1''' per i client ('''0''' solo sul server)

== Webmobili Torino ==

{| class="wikitable"
|+VPN Webmobili Torino
|-
!scope="row"|Indirizzo IP del server
|89.96.52.243
|-
!scope="row"|Porta
|1318
|-
!scope="row"|Indirizzo locale del server
|10.13.18.1
|-
!scope="row"|Indirizzo LAN del server
|10.13.17.21
|}

Non è attivata la redirezione completa dell'intero traffico del client attraverso la VPN: solo il traffico diretto verso alcuni indirizzi IP viene inviato sulla connessione VPN. Per aggiungere o rimuovere indirizzi da questa lista, bisogna modificare il file <code>/etc/openvpn/openvpn.conf</code>.

== Creazione di un nuovo client (deprecato) ==
Si tratta di creare un client certificato.<br/>
Dalla macchina '''Jarvis'''
<syntaxhighlight>
cd /opt/shared/bash
sudo ./vpncreateuser

# 1- Scrivi il tuo nome: digitare nomecognome in minuscolo

# 2- Enter PEM pass phrase scrivere la password e confermare

# 3- Compilare come segue
# !!molto importante!! il campo Common Name deve essere esattamente Webmobili S.R.L. per matchare il server
Country Name: IT
State or Province Name: TO
Locality Name: Torino
Organization Name: Webmobili S.R.L.
Organizational Unit Name: Team MESS
Common Name: Webmobili S.R.L.
Name: NomeCognome
Email Address: email@dominio.est

# 4- invio su challenge password e optional company name

# 5- Digitare y alle 2 domande successive (importante, invio senza digitare equivale a n )
</syntaxhighlight>

Se tutto è andato bene ci ritroviamo la cartella di configurazione VPN pronta proprio nella Working Directory.<br/>
Assegniamo i permessi
<syntaxhighlight>
sudo chown www-data:www-data Webmobili-nomecognome/ -R
sudo chmod 775 Webmobili-nomecognome/ -R
mv Webmobili-nomecognome /opt/shared/VPN
</syntaxhighlight>
Ora è pronta.

=== Cambiamento di Easy-RSA ===
Hanno aggiornato Easy-RSA, non esiste più la cartella <code>keys</code>, sostituita da <code>pki</code> e le operazioni per generare un client VPN sono cambiate.<br/>
https://www.howtoforge.com/tutorial/how-to-install-and-configure-openvpn-server-on-debian-10/<br/>
Questo articoletto va migliorato

[[Category:IT]]