WikiTeki /  Modifications de « ZAP/Hanoi/BAP/OpenVPN »

Cette page décrit (sommairement) la configuration OpenVPN au BAP.

• le service OpenVPN a été installé dans le CT "vpn" (102) sous Debian/Lenny

• tous les logs sont redirigés vers le service de logs commun dans le CT "log" (100)
• la version du logiciel OpenVPN utilisée est celle du paquet livré avec Debian

• contenu du /etc/openvpn/server.conf :

  local 192.168.0.102
  port 1194
  proto udp
  dev tun
  # Note : la topologie P2P ne fonctionne pas avec Windows
  topology p2p
  
  tls-server
  # à récupérer sur https://igc.auf.org/
  ca keys/CA-AUF.pem
  cert keys/rpv-hanoi.vn.auf.org-cert.pem
  key keys/rpv-hanoi.vn.auf.org-key.pem
  persist-key
  # à générer avec : openssl dhparam -out dh1024.pem 1024
  dh keys/dh1024.pem
  
  # configuration finale :
  # - 10.230.8.0/21 pour les accès RPV distants
  #server 10.230.8.0 255.255.248.0
  # configuration temporaire :
  # - 10.230.6.0/24 pour les accès RPV distants inconnus dans le DNS
  # - 10.230.7.0/24 pour les accès RPV distants enregistrés dans le DNS
  server 10.230.6.0 255.255.255.0
  ifconfig-pool-persist ipp.txt
  
  client-config-dir ccd
  route 10.230.7.0 255.255.255.0
  route 224.0.0.0 240.0.0.0
  
  ;learn-address ./script
  
  # tentative d'optimisation du routage
  # (également pour éviter les coupures Jabber / courriel à la connexion RPV)
  # => échec pour cause de mauvaise gestion du "net_gateway" (bogue ?)
  ;push "route 210.245.61.192 255.255.255.240 net_gateway"
  ;push "route 199.84.140.0 255.255.255.0 net_gateway"
  ;push "route 81.80.122.0 255.255.254.0 net_gateway"
  push "route 10.0.0.0 255.0.0.0"
  # Note : l'astuce "def1" ne fonctionne pas avec Windows
  push "redirect-gateway def1"
  push "dhcp-option DOMAIN vn.auf"
  push "dhcp-option DNS 10.230.0.9"
  ;push "dhcp-option WINS 10.8.0.1"
  push "dhcp-option NTP 10.230.0.50"
  push "dhcp-option DISABLE-NBT"
  # Note : NetworkManager ne prend pas cette option en compte
  # => il faut toujours l'activer manuellement côté client (stupid dog...)
  push "comp-lzo yes"
  
  ;client-to-client
  
  persist-tun
  persist-key
  keepalive 10 120
  comp-lzo
  ;max-clients 64
  user nobody
  group nogroup
  status /var/run/openvpn-status
  # les logs vont vers rsyslog par défaut
  ;log         openvpn.log
  ;log-append  openvpn.log
  # 0 is silent, except for fatal errors
  # 4 is reasonable for general usage
  # 5 and 6 can help to debug connection problems
  # 9 is extremely verbose
  verb 3
  ;mute 20

• l'accès au sous-dossier /etc/openvpn/keys est restreint en 600 pour root

• le sous-dossier /etc/openvpn/keys contient les certificats générés depuis l'infrastructure de gestion de certificats AuF