OpenVpn. Mauro Fernando Zirbes. Redes Virtuais Privadas. ( Palestrante )

Transcrição

1 OpenVpn Redes Virtuais Privadas Mauro Fernando Zirbes ( Palestrante ) 1

2 Assuntos Discutidos: Introdução Ipsec OpenVpn Comparativo Tuneis - Chaves Compartilhadas Tuneis - Chaves Assimétricas Tuneis - Ips Dinâmicos Tuneis - Startup Automático OpenVpn - Firewall OpenVpn - Interfaces Gráficas OpenVpn - Clientes WindowsTM Documentação 2

3 Introdução: Redes Virtuais Privadas: Uma Visão Geral - I Prover Sigilo em Redes de Dados Adaptar-se a Estrutura de Comunicações Existente Independência Quando ao SO ( Ser Multiplataforma ) Ser Transparente aos usuários Facilidade de Administração Facilidade de Implementação Tudo Isso, se obtido... 3

4 Introdução: Redes Virtuais Privadas: Uma Visão Geral - II Implica Em... Menor Custo com Links Físicos Menor Custo Administrativo, em Redes Complexas Maior Alcance e Abrangência da Solução Maior Rapidez na Implementação Melhor Escalabilidade do Recursos ( equipamentos ) Maior Controle no Tráfego de Dados 4

5 Soluções de VPN: Ipsec Ipsec: O Padrão Atual da Indústria - I Pontos Positivos do Ipsec: O mais Alto Nível de Segurança Existente Suporte Nativo nos Roteadores ( Cisco ) Criptografia ( Inclusive ), do Cabeçalho Ip Multiplataforma ( Suporte em Todos os SOs ) Eficiente no uso de Recursos do Sistema Completamente Transparente aos Usuários 5

6 Soluções de VPN: Ipsec Ipsec: O Padrão Atual da Indústria - II Pontos Negativos do Ipsec: Implementação é mais Complexa Sem Suporte a Nat Implementações dos Fabricantes, podem diferir entre si 6

7 Soluções de VPN: OpenVpn OpenVpn: Uma Solução GPL - I Pontos Positivos do OpenVpn: Implementação mais Simplificada Suporta o Nat Tunelamento IP ou em Modo Bridge Multiplataforma parcial ( MS WindowsTM ) Eficiente no uso de Recursos do Sistema Completamente Transparente aos Usuários 7

8 Soluções de VPN: OpenVpn OpenVpn: Uma Solução GPL - II Pontos Negativos do OpenVpn: Não é um Padrão de Mercado Não é verdadeiramente Multiplataforma O Grau de Segurança Depende da Implementação 8

9 Tabela de Comparação: Ipsec NAT Cliente Chave Chave DHCP DHCP Interface Windows Assimétrica Estática (Cliente) ( Ambos) Gráfica X X X X OpenVpn X X X X X X X 9

10 OpenVpn Funcionamento I 10

11 OpenVpn Funcionamento II 11

12 OpenVpn Dependências Biblioteca OpenSSL: Biblioteca LZO: OpenVpn: Suporte no Kernel ao driver Tun / Tap 12

13 OpenVpn Chaves Compartilhadas remote Ip1 ifconfig IpR2 IpR1 route IpR1 dev tun secret file remote Ip2 ifconfig IpR1 IpR1 IpR2 route IpR2 dev tun secret file 13

14 OpenVpn Arquivo de Configuração Os arquivos são similares em ambos os lados do Tunel: dev tun remote # remote Ip gateway ifconfig # local Ips gateways secret /etc/openvpn/server/static.key # crypto comp-lzo port 9092 user nobody group nobody keepalive ping-timer-rem persist-tun persist-key route # remote net proto tcp-server # side client is tcp-client 14

15 OpenVpn Comandos utilizados Gerar a Chave estática pré-compartilhada: openvpn --genkey --secret file Ativar o Tunel Vpn: openvpn --config file.conf 15

16 OpenVpn Chaves Assimétricas Ativando a Criptografia Klingon... Configurar arquivo openssl.cnf Criar Autoridade Certificadora ( CA ) Gerar parâmetros Diffie-Hellman ( troca das chaves ) Criar Certificados Públicos e Privados Configurar Túneis Ativar a VPN 16

17 OpenVpn Chaves Assimétricas Arquivo openssl.cnf, configurar: Diretorio onde serão geradas as Chaves Nome do Arquivo da CA, que será gerada Nome do Arquivo da chave privada, gerada Tamanho (em bits) das Chaves Validade do Certificado ( default é 365 dias ) 17

18 OpenVpn Chaves Assimétricas Criando Autoridade Certificadora: Criar arquivos index.txt e serial : Gerando uma CA ( três anos de Validade ): openssl req -nodes -new -x509 -keyout my-ca.key -out my-ca.crt -days 1095 Gerando os parâmetros Diffie-Hellman: openssl dhparam -out dh.pem

19 OpenVpn Chaves Assimétricas Para cada extremidade do tunel, devemos: Criar um Certificado Adicional: openssl req -nodes -new -keyout matriz.key -out matriz.csr Assinar o Certificado Adicional: openssl ca -out matriz.crt -in matriz.csr Criar o arquivo de configuração do Tunel: 19

20 OpenVpn Chaves Assimétricas Configuração do Tunel Lado da Matriz: dev tun ifconfig cd /etc/openvpn/matriz up./matriz.up tls-server dh dh.pem ca my-ca.crt cert matriz.crt key matriz.key port 9092 proto tcp-server user nobody group nobody ping 15 verb 3 # Ips redes privadas # adiciona rota rede remota # servidor # protocolo de troca de chaves # certificado da CA # certificado publico # certificado privado 20

21 OpenVpn Chaves Assimétricas Configuração do Tunel Lado da Filial: dev tun remote conan.homeunix.org ifconfig cd /etc/openvpn/filial up./filial.up tls-client ca my-ca.crt cert filial.crt key filial.key port 9092 proto tcp-client user nobody group nobody ping 15 verb 3 # Gateway Internet remoto # Ips redes privadas # adiciona rota rede remota # cliente SSL # certificado da CA # certificado publico # certificado privado 21

22 OpenVpn Chaves Assimétricas Ativação do Tunel: Lado da Matriz: openvpn --config /etc/openvpn/matriz/matriz.conf --daemon Lado da Filial: openvpn --config /etc/openvpn/filial/filial.conf --daemon 22

23 Tuneis Ips Dinâmicos Existem dois Modos Diferentes: Utilizando o dhcpcd ( Cliente DHCP ): Criar o arquivo /etc/dhcpc/dhcpcd-eth0.exe e adicionar ao mesmo: killall -HUP openvpn Utilizando DNS Dinâmico ( DynDNS ): Utilizar a opção remote no arquivo do Tunel no formato abaixo: remote myremote.mydomain.com 23

24 Tuneis Startup Automático: Um exemplo de script ( executar em ambos os Lados ): #!/bin/bash dir=/etc/openvpn # onde ficam os arquivos $dir/firewall.sh # script de firewall modprobe tun # carrega o driver echo 1 > /proc/sys/net/ipv4/ip_forward openvpn --cd $dir --daemon --config vpn1.conf # tunel 1 openvpn --cd $dir --daemon --config vpn2.conf # tunel 2 openvpn --cd $dir --daemon --config vpn3.conf # tunel 3 24

25 OpenVpn - Firewall: Regras amigáveis ao OpenVpn: Liberando a Porta do OpenVpn: iptables -A INPUT -p udp --dport j ACCEPT iptables -A FORWARD -p udp --dport j ACCEPT Liberando o Roteamento pelo Dispositivo tun : iptables -A INPUT -i tun+ -j ACCEPT iptables -A FORWARD -i tun+ -j ACCEPT 25

26 OpenVpn Interfaces Gráficas: Existem várias, uma delas é o KVnpc ( KDE ): 26

27 OpenVpn Clientes WindowsTM : openvpn install.exe: 27

28 OpenVpn Cliente WindowsTM : A Configuração é similar ao Linux ( 1 único arquivo ): dev tun remote vpn.empresa.com.br ifconfig route tls-client ca my-ca.crt cert w2k.crt key w2k.key port 5001 ping 15 verb 3 # gateway Internet oposto # gateways redes privadas # rede privada oposta # cliente ssl # certificado da CA # certificado publico filial # certificado privado filial 28

29 OpenVpn Documentação: Home Page: //openvpn.net Faqs: //openvpn.net/faq.html HowTo: HowTo: Kvpnc: //home.gna.org/kvpnc/en/index.html OpenSSL: Diffie Hellman: 29

30 OpenVpn Fim: Nossos Agradecimentos Perguntas 30