Este artículo explica detalladamente cómo instalar y configurar el cliente OpenVPN en Ubuntu 16.04 para conectarse a un servidor de VPN.
Luego de haber instalado y configurado un servidor OpenVPN en Debian 9, llegó la hora de instalar y configurar el cliente en un sistema ARM corriendo Ubuntu 16.04:
luser@ubuntu1604:~$ lsb_release -a No LSB modules are available. Distributor ID: Ubuntu Description: Ubuntu 16.04.4 LTS Release: 16.04 Codename: xenial
Instalación de OpenVPN
El primer paso consiste en actualizar el sistema e instalar OpenVPN:
$ sudo apt update $ sudo apt upgrade $ sudo apt-get install openvpn
Ubuntu 16.04 incluye la versión 2.3.10 de OpenVPN:
root@ubuntu1604:/etc/openvpn# openvpn --version
OpenVPN 2.3.10 arm-unknown-linux-gnueabihf [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [MH] [IPv6] built on Jun 22 2017
library versions: OpenSSL 1.0.2g 1 Mar 2016, LZO 2.08
Originally developed by James Yonan
Copyright (C) 2002-2010 OpenVPN Technologies, Inc. <sales@openvpn.net>
Compile time defines: enable_crypto=yes enable_crypto_ofb_cfb=yes enable_debug=yes enable_def_auth=yes enable_dependency_tracking=no enable_dlopen=unknown enable_dlopen_self=unknown enable_dlopen_self_static=unknown enable_fast_install=yes enable_fragment=yes enable_http_proxy=yes enable_iproute2=yes enable_libtool_lock=yes enable_lzo=yes enable_lzo_stub=no enable_maintainer_mode=no enable_management=yes enable_multi=yes enable_multihome=yes enable_pam_dlopen=no enable_password_save=yes enable_pedantic=no enable_pf=yes enable_pkcs11=yes enable_plugin_auth_pam=yes enable_plugin_down_root=yes enable_plugins=yes enable_port_share=yes enable_selinux=no enable_server=yes enable_shared=yes enable_shared_with_static_runtimes=no enable_silent_rules=no enable_small=no enable_socks=yes enable_ssl=yes enable_static=yes enable_strict=no enable_strict_options=no enable_systemd=yes enable_win32_dll=yes enable_x509_alt_username=yes with_crypto_library=openssl with_gnu_ld=yes with_mem_check=no with_plugindir='${prefix}/lib/openvpn' with_sysroot=no
Configuración del cliente
En este sistema se debe configurar OpenVPN en modo cliente, el cual se conectará al servidor OpenVPN para tener acceso a la red privada.
Cambiar al directorio de configuración de OpenVPN:
luser@ubuntu1604:~$ cd /etc/openvpn/
Crear el archivo de configuración a partir del ejemplo:
luser@ubuntu1604:/etc/openvpn$ sudo cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf . luser@ubuntu1604:/etc/openvpn$ sudo nano client.conf
Configurar el cliente para que se conecte a nuestro servidor de VPN accesible a través del nonmbre de host "vpn.linuxito.com":
proto tcp ;proto udp remote vpn.linuxito.com 1194
Copiar el certificado de la CA y el certificado y clave del cliente desde el servidor de VPN, por ejemplo utilizando scp:
luser@ubuntu1604:/etc/openvpn$ sudo scp -P 2222 root@vpn.linuxito.com:/etc/openvpn/easy-rsa/keys/ca.crt . luser@ubuntu1604:/etc/openvpn$ sudo scp -P 2222 root@vpn.linuxito.com:/etc/openvpn/easy-rsa/keys/cliente1* . luser@ubuntu1604:/etc/openvpn$ sudo mv cliente1.crt client.crt luser@ubuntu1604:/etc/openvpn$ sudo mv cliente1.key client.key
Verificación de la conexión y debugging
Configurado el cliente, es posible verificar la conexión con el servidor y acceso a la VPN:
luser@ubuntu1604:/etc/openvpn$ sudo openvpn client.conf
Tener en cuenta que la configuración de cifrado del cliente debe coincidir con la del servidor, de lo contrario no se podrán comunicar con éxito. Por ejemplo, es común que ocurra la siguiente advertencia, seguida de error en la comunicación:
Wed Jun 20 14:44:24 2018 WARNING: 'cipher' is used inconsistently, local='cipher BF-CBC', remote='cipher AES-256-CBC'
Se observa que el cliente (local=) y servidor (remote=) utilizan diferentes suites de cifrado.
Configurar al cliente para que use la misma suite de cifrado que el servidor:
luser@ubuntu1604:/etc/openvpn$ sudo nano client.conf
En este caso se debe agregar la siguiente línea:
cipher AES-256-CBC
En Ubuntu 16.04 la versión de OpenVPN 2.3.10 incluye un archivo de configuración de ejemplo de cliente con compresión LZO habilitada:
comp-lzo
Por lo tanto es necesario asegurarse de que el servidor tenga habilitada la compresión LZO:
root@vpn:/etc/openvpn# nano server.conf
Agregar o eliminar el comentario en la misma línea que en el cliente:
# For compression compatible with older clients use comp-lzo # If you enable it here, you must also # enable it in the client config file. comp-lzo
Si no es posible habilitar la compresión LZO en el servidor, deshabilitarla en el cliente comentando dicha línea.
Solucionando todos los inconvenientes es posible conectarse con éxito al servidor de VPN:
luser@ubuntu1604:/etc/openvpn$ sudo su root@ubuntu1604:/etc/openvpn# openvpn client.conf Wed Jun 20 14:51:08 2018 OpenVPN 2.3.10 arm-unknown-linux-gnueabihf [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [MH] [IPv6] built on Jun 22 2017 Wed Jun 20 14:51:08 2018 library versions: OpenSSL 1.0.2g 1 Mar 2016, LZO 2.08 Wed Jun 20 14:51:08 2018 Socket Buffers: R=[87380->87380] S=[16384->16384] Wed Jun 20 14:51:08 2018 Attempting to establish TCP connection with [AF_INET]192.168.1.1:1194 [nonblock] Wed Jun 20 14:51:09 2018 TCP connection established with [AF_INET]192.168.1.1:1194 Wed Jun 20 14:51:09 2018 TCPv4_CLIENT link local: [undef] Wed Jun 20 14:51:09 2018 TCPv4_CLIENT link remote: [AF_INET]192.168.1.1:1194 Wed Jun 20 14:51:09 2018 TLS: Initial packet from [AF_INET]192.168.1.1:1194, sid=4b7edfd1 b4fd0139 Wed Jun 20 14:51:10 2018 VERIFY OK: depth=1, C=AR, ST=Buenos Aires, L=BahÃa Blanca, O=Linuxito.com, OU=VPN, CN=Linuxito.com CA, name=EasyRSA, emailAddress=emiliano@linuxito.com Wed Jun 20 14:51:10 2018 Validating certificate key usage Wed Jun 20 14:51:10 2018 ++ Certificate has key usage 00a0, expects 00a0 Wed Jun 20 14:51:10 2018 VERIFY KU OK Wed Jun 20 14:51:10 2018 Validating certificate extended key usage Wed Jun 20 14:51:10 2018 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication Wed Jun 20 14:51:10 2018 VERIFY EKU OK Wed Jun 20 14:51:10 2018 VERIFY OK: depth=0, C=AR, ST=Buenos Aires, L=BahÃa Blanca, O=Linuxito.com, OU=VPN, CN=server, name=EasyRSA, emailAddress=emiliano@linuxito.com Wed Jun 20 14:51:10 2018 Data Channel Encrypt: Cipher 'AES-256-CBC' initialized with 256 bit key Wed Jun 20 14:51:10 2018 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication Wed Jun 20 14:51:10 2018 Data Channel Decrypt: Cipher 'AES-256-CBC' initialized with 256 bit key Wed Jun 20 14:51:10 2018 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication Wed Jun 20 14:51:10 2018 Control Channel: TLSv1.2, cipher TLSv1/SSLv3 ECDHE-RSA-AES256-GCM-SHA384, 2048 bit RSA Wed Jun 20 14:51:10 2018 [server] Peer Connection Initiated with [AF_INET]192.168.1.1:1194 Wed Jun 20 14:51:13 2018 SENT CONTROL [server]: 'PUSH_REQUEST' (status=1) Wed Jun 20 14:51:13 2018 PUSH: Received control message: 'PUSH_REPLY,route 10.8.0.1,topology net30,ping 10,ping-restart 120,ifconfig 10.8.0.6 10.8.0.5,peer-id 0' Wed Jun 20 14:51:13 2018 OPTIONS IMPORT: timers and/or timeouts modified Wed Jun 20 14:51:13 2018 OPTIONS IMPORT: --ifconfig/up options modified Wed Jun 20 14:51:13 2018 OPTIONS IMPORT: route options modified Wed Jun 20 14:51:13 2018 OPTIONS IMPORT: peer-id set Wed Jun 20 14:51:13 2018 OPTIONS IMPORT: adjusting link_mtu to 1563 Wed Jun 20 14:51:13 2018 ROUTE_GATEWAY 192.168.0.1/255.255.255.0 IFACE=eth0 HWADDR=00:11:22:33:44:55 Wed Jun 20 14:51:13 2018 TUN/TAP device tun0 opened Wed Jun 20 14:51:13 2018 TUN/TAP TX queue length set to 100 Wed Jun 20 14:51:13 2018 do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0 Wed Jun 20 14:51:13 2018 /sbin/ip link set dev tun0 up mtu 1500 Wed Jun 20 14:51:13 2018 /sbin/ip addr add dev tun0 local 10.8.0.6 peer 10.8.0.5 Wed Jun 20 14:51:13 2018 /sbin/ip route add 10.8.0.1/32 via 10.8.0.5 Wed Jun 20 14:51:13 2018 Initialization Sequence Completed
Se observa que la conexión procede con éxito y el servidor de VPN asigna la direccion IP 10.8.0.6 al cliente.
Habilitar el servicio con systemd
Sólo resta habilitar el servicio para que systemd inicie el cliente automáticamente al iniciar el sistema (valga la redundancia).
Habilitar el servicio "openvpn" en el archivo /etc/default/openvpn:
root@ubuntu1604:/etc/openvpn# nano /etc/default/openvpn
Descomentar y configurar la variable AUTOSTART:
AUTOSTART="client"
Luego es necesario hacer que systemd regenere el árbol de dependencias del servicio:
root@ubuntu1604:/etc/openvpn# systemctl daemon-reload
Es posible comprobar que el servicio ha quedado habilitado recurriendo al siguiente comando:
luser@ubuntu1604:~$ systemctl list-unit-files | grep vpn openvpn.service enabled openvpn@.service disabled
Finalmente, iniciar el servicio y verificar que la interfaz TUN sea correctamente creada y configurada:
root@ubuntu1604:/etc/openvpn# systemctl start openvpn
root@ubuntu1604:/etc/openvpn# ifconfig tun0
tun0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
inet addr:10.8.0.6 P-t-P:10.8.0.5 Mask:255.255.255.255
inet6 addr: fe80::saraza/64 Scope:Link
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:4 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:0 (0.0 B) TX bytes:192 (192.0 B)
Prueba de funcionamiento
Por último se comprueba el funcionamiento de la VPN con ping u otra herramienta de diagnóstico desde el servidor:
root@vpn:/etc/openvpn# ping -c 3 10.8.0.6 PING 10.8.0.6 (10.8.0.6) 56(84) bytes of data. 64 bytes from 10.8.0.6: icmp_seq=1 ttl=64 time=171 ms 64 bytes from 10.8.0.6: icmp_seq=2 ttl=64 time=174 ms 64 bytes from 10.8.0.6: icmp_seq=3 ttl=64 time=172 ms --- 10.8.0.6 ping statistics --- 3 packets transmitted, 3 received, 0% packet loss, time 2002ms rtt min/avg/max/mdev = 171.175/172.765/174.614/1.494 ms
Esta prueba de funcionamiento se hace desde el servidor, pues (en este caso) el cliente está detrás de una red NAT, lo cual haría imposible el acceso desde el exterior (Internet) sin la VPN.
