OpenVPN - Teil 1 - Installation, Konfiguration und erstellung der Zertifikate

Was ist VPN?

Virtual Private Network (VPN) ist eine Technologie zum verbinden mehrerer privater Netzwerkgeräte oder ganzer Netzwerke über unsichere Netzwerke wie zb. das Internet. Die dabei übertragenen Daten werden je nach Einsatz verschlüsselt, gegen Veränderung geschützt oder beides.

Was ist OpenVPN?

OpenVPN ist eine VPN-Software zur Herstellung verschlüsselter Verbindungen zwischen mehreren Netzwerkgeräten. Das Prinzip basiert auf einer Client/Server Architektur. Es ist im Quellcode verfügbar, lizenzsiert unter der GPLv2 und wurde bereits auf die wichtigsten Platformen portiert.

Wie funktioniert es?

Das Prinzip ist ziemlich einfach. Der Server wartet auf einem TCP oder UDP Port auf Verbindungsanfragen der Clients. Wollen sich diese Verbinden, authentifiziert sich der Client am Server mit einem Schlüssel. Dieser kann ein Zertifikat oder eine Zeichenfolge sein. nach erfolgreicher Authentifizierung handeln Server/Client einen geheimen Schlüssel aus und initiieren die Verbindung unter Verwendung der konfigurierten Verschlüsselung. Da kein Schlüsselaustausch wie zb. bei IPSec stattfindet, ist die Initialisierung in wenigen Sekunden abgeschlossen. Genauere Informationen zum OpenVPN Protokoll finden Sie auf der Website des Projekts. Nach herstellen der Verbindung

Hinweis: Ich gehe hier davon aus, das OpenVPN unter Windows in der Version 2.x verwendet wird.

Installation

Die Installation ist ziemlich schnell erledigt. Zuerst laden sie die aktuelle Version von der Openvpn-Projektseite. Anschließend starten Sie den Installer und installieren OpenVPN mit den Standarteinstellungen. Dabei ist zu beachten das der Virtual TUN/TAP Treiber nicht von Microsoft signiert wurde. Falls es ihre Sicherheitskonfiguration nicht zuläßt unsignierte Treiber zu installieren, verwenden Sie einen dezidierten, eigenständigen Computer oder setzen die Treibersignatur Optionen auf "Warnen, aber installation zulassen" für den Zeitraum der Installation.

Vorüberlegungen

Damit OpenVPN Packete Routen kann, muss ein Subnetz für das Virtuelle Netzwerk definiert werden. Dieses Netz wird vom Server verwendet, um den IP-Adressen an die TUN/TAP Netzwerkschnitstellen zu vergeben. dieses Netz sollte nirgends im LAN vorhanden sein. In der Beispielkonfiguration werde ich 192.168.254.0/24 verwenden.

Ebenfalls wichtig ist der Name der Zertifizierungsstelle (Certificate Authority, kurz, CA) sowie Standort, Admin-EMail und Bereitstellungspunkt der Certificate Revocation List (CRL). Das Zertifizierungsstellen-Zertifikat (CA-Cert) und die CRL können im Netzwerk abgelegt werden, um eine CA für mehrere OpenVPN Server verwenden zu können.

Basisinformationen für die Beispiele

Name der Firma:	administrator-de
Land:	Deutschland
Bundesland:	Thüringen
Stadt:	Erfurt
Allgemeiner name der CA (zb. Hostname):	adm-de-ROOT-CA
Admin-EMail:	admin[at]administrator-de.de
VPN-Server Name:	ovpn-adm-de.dyndns.org
VPN-Netz:	192.168.254.0/24
LAN-Netz:	10.0.0.0/24
VPN-Server IP (VPN):	192.168.254.1
VPN-Server IP (LAN):	10.0.0.1

Konfiguration der Zertifizierungsstelle

Nach Abschluss der Standartinstallation befindet sich die CA im Ordner c:\Programme\openVPN\easy-RSA. Zur Sicherheit sollte eine Kopie des Originalordners erstellt werden. Dieser kann zb. nach c:\Programme\openVPN\easy-RSA-ORIG kopiert werden (falls Sie später eine 2. CA einrichten möchten, sind die Originaldateien noch vorhanden).

Als erstes muss die Standartkonfiguration erzeugt werden. Dies erfolgt durch ausführen der Datei init-config.bat. Anschließend diese Datei löschen um ein versehentliches zurücksetzen der Konfiguration auf die Standartwerte zu verhindern. Als nächsten müssen die Vorgaben für die CA konfiguriert werden. Dies erfolgt in der Datei vars.bat

@echo offrem Basisordner der CAset HOME=%ProgramFiles%\OpenVPN\easy-rsarem openSSL Konfigurationset KEY_CONFIG=openssl.cnfrem Ordner für die geheimen Schlüsselset KEY_DIR=keysrem Schlüsselgrößeset KEY_SIZE=2048rem Landset KEY_COUNTRY=DErem Bundeslandset KEY_PROVINCE=THrem Stadtset KEY_CITY=erfurtrem Firmaset KEY_ORG=administrator-derem EMailset KEY_EMAIL=admin@administrator-de.de

Anschließend initialisieren Sie die CA. Öffnen Sie dazu cmd.exe, wechseln in das Easy-RSA Verzeichnis und geben zur Initialisierung die folgenden Befehle ein:

C:\Programme\OpenVPN\easy-rsa>varsC:\Programme\OpenVPN\easy-rsa>clean-allDas System kann die angegebene Datei nicht finden. 1 Datei(en) kopiert. 1 Datei(en) kopiert.

Der Ordner keys sollte nun vorhanden sein und 2 Dateien (index.txt und serial) enthalten. Löschen Sie sicherheitshalber die Datei clean-all.bat um eine spätere Katastrophe zu verhindern.

Optional: manuelle Konfiguration der openssl.cnf

Die können in der Datei openssl.cnf weitere, optionale Konfigurationsparameter für die CA hinterlegen. Gehen Sie dazu wie folgt vor:
notepad openssl.cnf

Die folgende Tabelle zeigt eine Übersicht der wichtigsten Parameter:

default_bits	2048
countryName_default	DE
stateOrProvinceName_default	Thueringen
localityName_default	Erfurt
0.organizationName_default	administrator-de
organizationalUnitName_default	CA-Administration
nsComment	OpenVPN Certificate
emailAddress_default	admin@administrator-de.de

Erstellen der Zertifikate

CA-Cert

Erstellung Sie zuerst das CA-Zertifikat. Prüfen Sie bitte vorher noch einmal alle Parameter in den Konfigurationsdateien auf korrektheit. Bitte achten Sie auf einen eindeutigen Namen für die CA (siehe Vorüberlegungen)!

Erstellung der CA

C:\Programme\OpenVPN\easy-rsa>build-caLoading 'screen' into random state - doneGenerating a 2048 bit RSA private key.....................................................+++....+++writing new private key to 'keys\ca.key'-----You are about to be asked to enter information that will be incorporatedinto your certificate request.What you are about to enter is what is called a Distinguished Name or a DN.There are quite a few fields but you can leave some blankFor some fields there will be a default value,If you enter '.', the field will be left blank.-----Country Name (2 letter code) [DE]:State or Province Name (full name) [Thueringen]:Locality Name (eg, city) [Erfurt]:Organization Name (eg, company) [administrator-de]:Organizational Unit Name (eg, section) [CA-Administration]:Common Name (eg, your name or your server's hostname) :adm-de-ROOT-CAEmail Address [admin@administrator-de.de]:

Haben Sie alle Standarteinstellungen in der vars.bat und der openvpn.cnf gesetzt, müssen Sie hier nur den Common Name der CA eingeben. Falls nicht, geben Sie die oben ermittelten Werte manuell ein. Fallls Sie während der Erstellung des CA-Certs Fehler bemerken, können Sie die Erstellung durch drücken von STRG+C abbrechen, die Konfiguration korrigieren und erneut starten. Sobald sie das ca-cert erstellt haben, sollten Sie die build-ca.bat löschen.

Server Zertifikat

Der Server selbst benötigt ein Zertifikat um sich gegenüber der Clients authentifizieren zu können. Dies wird ähnlich wie das ca-cert erstellt. Der einzige Unterschied besteht darin, das das Serverzertifikat von der CA signiert wird. Dies soll sicherstellen das es von der CA ausgestellt und genehmigt wurde. Selbst wenn jemand eine neue CA mit genau der selben Konfiguration aufbauen würde, hätte diese einen anderen Signaturschlüssel. Der Client (oder der Server) würden Zertifikate einer solchen CA verwerfen.

Erstellen Sie nun das Serverzertifikat.

C:\Programme\OpenVPN\easy-rsa>build-key-server ovpn-adm-de Loading 'screen' into random state - doneGenerating a 2048 bit RSA private key............+++......................................+++writing new private key to 'keys\ovpn-adm-de.key'-----You are about to be asked to enter information that will be incorporatedinto your certificate request.What you are about to enter is what is called a Distinguished Name or a DN.There are quite a few fields but you can leave some blankFor some fields there will be a default value,If you enter '.', the field will be left blank.-----Country Name (2 letter code) [DE]:State or Province Name (full name) [Thueringen]:Locality Name (eg, city) [Erfurt]:Organization Name (eg, company) [administrator-de]:Organizational Unit Name (eg, section) [CA-Administration]:Common Name (eg, your name or your server's hostname) :ovpn-adm-de.dyndns.orgEmail Address [admin@administrator-de.de]:Please enter the following 'extra' attributesto be sent with your certificate requestA challenge password :.An optional company name :.Using configuration from openssl.cnfLoading 'screen' into random state - doneCheck that the request matches the signatureSignature okThe Subject's Distinguished Name is as followscountryName :PRINTABLE:'DE'stateOrProvinceName :PRINTABLE:'Thueringen'localityName :PRINTABLE:'Erfurt'organizationName :PRINTABLE:'administrator-de'organizationalUnitName:PRINTABLE:'CA-Administration'commonName :PRINTABLE:'ovpn-adm-de.dyndns.org'emailAddress :IA5STRING:'admin@administrator-de.de'Certificate is to be certified until Nov 16 21:36:18 2017 GMT (3650 days)Sign the certificate? [y/n]:y1 out of 1 certificate requests certified, commit? [y/n]yWrite out database with 1 new entriesData Base Updated

Benutzerzertifikat

Die Benutzer (Clients) benötigen ebenfalls Zertifikate um sich gegenüber dem Server Authentifizieren zu können. Im Idealfall sollte jedem Benutzer ein Zertifikat ausgestellt werden. Der private Schlüssel des Benutzerzertifikats sollte mit einem zufälligem Password geschützt werden, das nur dem Benutzer selbst bekannt ist. Dieses kann später geändert werden.

Zum erstellen eines Benutzerzertifikates verwenden Sie den folgenden Befehl:

C:\Programme\OpenVPN\easy-rsa>build-key.bat client1Loading 'screen' into random state - doneGenerating a 2048 bit RSA private key.....................................................+++....+++writing new private key to 'keys\client1.key'-----You are about to be asked to enter information that will be incorporatedinto your certificate request.What you are about to enter is what is called a Distinguished Name or a DN.There are quite a few fields but you can leave some blankFor some fields there will be a default value,If you enter '.', the field will be left blank.-----Country Name (2 letter code) [DE]:State or Province Name (full name) [Thueringen]:Locality Name (eg, city) [Erfurt]:Organization Name (eg, company) [administrator-de]:Organizational Unit Name (eg, section) [CA-Administration]:Common Name (eg, your name or your server's hostname) :client1Email Address [admin@administrator-de.de]:client1@administrator-de.dePlease enter the following 'extra' attributesto be sent with your certificate requestA challenge password :Pas$wo1dAn optional company name :.Using configuration from openssl.cnfLoading 'screen' into random state - doneDEBUG[load_index]: unique_subject = "yes"Check that the request matches the signatureSignature okThe Subject's Distinguished Name is as followscountryName :PRINTABLE:'DE'stateOrProvinceName :PRINTABLE:'Thueringen'localityName :PRINTABLE:'Erfurt'organizationName :PRINTABLE:'administrator-de'organizationalUnitName:PRINTABLE:'CA-Administration'commonName :PRINTABLE:'client1'emailAddress :IA5STRING:'client1@administrator-de.de'Certificate is to be certified until Nov 16 21:53:24 2017 GMT (3650 days)Sign the certificate? [y/n]:y1 out of 1 certificate requests certified, commit? [y/n]yWrite out database with 1 new entriesData Base Updated

DH-Parameter

Die DH-Parameter werden zum erstellen des Schlüsselmaterials verwendet. Je nachdem welche Schlüsselgröße gewählt wurde, kann das erstellen sehr lange dauern.
verwenden Sie zum erstellen der DH-Parameter den Befehl build-dh.bat

C:\Programme\OpenVPN\easy-rsa>build-dhLoading 'screen' into random state - doneGenerating DH parameters, 2048 bit long safe prime, generator 2This is going to take a long time...........................................................+...................++*++*

Weiter in Teil 2 - Server/Client Konfiguration

C:\Program Files\OpenVPN\easy-rsa>build-ca
req: Error on line 143 of config file "openssl.cnf"  
Generating a RSA private key
........+++++
.................................................................................................................+++++
writing new private key to 'keys\ca.key'  
-----
unable to find 'distinguished_name' in config  
problems making Certificate Request
22908:error:0E06D06A:configuration file routines:NCONF_get_string:no conf or environment variable:crypto\conf\conf_lib.c:270: