Pular para o conteúdo principal

Descomplicando OpenVPN/Wireguard com Firewall UFW




 Descomplicando OpenVPN/Wireguard com Firewall UFW


Esse tutorial tem intuito de utilizar VPN com a ferramenta Openvpn ou Wireguard no debian 12.

Primeira parte: Construir uma vpn com Openvpn, entre um servidor e cliente, utilizando chaves para autenticação:

Segunda parte: Montar uma vpn com uma sede e duas filiais.

Obs: Esse tutorial é somente para montar uma VPN simples e rápida, outra dica foi necessário liberar meu ip público no modem adsl ou firewall, para as portas 1194 e 51820, guarde somente essa informação, durante o decorrer essa informação será assimilada.


O Que é VPN?


VPN (Virtuap Private Network) é um meio no qual estalece uma conexão entre dispositivos por meio da internet, sendo o meio em uma rede privada e segura.

Tipos de vpn:


Gateway to Gateway --> Conectar 2 servidores diretamente. (Ex: Ligar 2 filiais)

Host to Host --> Conectar máquina para outra máquina (Ex: Hamachi)

Host to Gateway --> Utilizada para conectar máquina em um rede corporativa (Ex: Estação de trabalho ligada na empresa)


OpenVPN


Tutorial para criar uma vpn (Server to Client)

Criando primeiramente a estrutura do Openvpn Server, deve instalar o pacote openvpn e easy-rsa


root@vpnserver:~# hostnamectl set-hostname vpnserver

root@vpnserver:~# apt install openvpn easy-rsa -y

root@vpnserver:~# mkdir -p /var/log/openvpn/

root@vpnserver:~# chmod 755 /var/log/openvpn


Criando estrutura da pasta PKI e realizando ajuste nas váriaveis, Ca (Autoridade certificadora), Assinando certificado(Servidor e cliente), DH (Diffie-Hellman):

Obs: Em 'pass phrase' , recomenda-se utilizar um o máximo seguro possíve.


root@vpnserver:~# /usr/share/easy-rsa/easyrsa init-pki

root@vpnserver:~# cat << EOF >> /etc/openvpn/server/pki/vars

set_var EASYRSA_REQ_COUNTRY    "BR"

set_var EASYRSA_REQ_PROVINCE   "DISTRITO FEDERAL"

set_var EASYRSA_REQ_CITY       "BRASILIA"

set_var EASYRSA_REQ_ORG        "Spinal Corp"

set_var EASYRSA_REQ_EMAIL      "spinal@spinal.com"

set_var EASYRSA_REQ_OU         "Community"

set_var EASYRSA_ALGO           "ec"

set_var EASYRSA_DIGEST         "sha512"

EOF

root@vpnserver:~# /usr/share/easy-rsa/easyrsa build-ca

root@vpnserver:~# /usr/share/easy-rsa/easyrsa gen-req server nopass

root@vpnserver:~# /usr/share/easy-rsa/easyrsa sign-req server server

root@vpnserver:~# /usr/share/easy-rsa/easyrsa gen-dh

root@vpnserver:~# /usr/share/easy-rsa/easyrsa gen-req client nopass

root@vpnserver:~# /usr/share/easy-rsa/easyrsa sign-req client client

root@vpnserver:~# openvpn --genkey secret /etc/openvpn/server/pki/static.key


Mode de arquivo  Servidor (server.conf)

dev tun

ifconfig 10.100.0.1 10.100.0.2

port 1194

verb 4

keepalive 10 120

persist-key

persist-tun

float

proto udp

cipher AES-256-GCM

auth SHA256

ca /etc/openvpn/server/pki/ca.crt

cert /etc/openvpn/server/pki/issued/server.crt

key /etc/openvpn/server/pki/private/server.key

tls-server

tls-auth /etc/openvpn/server/pki/static.key 0

dh /etc/openvpn/server/pki/dh.pem

log-append /var/log/openvpn/openvpn.log


Inicializar o serviço e habilita-lo


root@vpnserver:/etc/openvpn# systemctl enable openvpn@server --now


No outro servidor cliente ou estação de trabalho, configurar o cliente:

Obs: Copie os arquivos do servidor para o cliente na seguinte pasta /etc/openvpn/client/:

Resultado do seguinte comando (gen-req client nopass e sign-req client client) no qual foi gerado no servidor, exemplo de cópia com o comando scp.


root@vpnclient:/etc/openvpn# hostnamectl set-hostname vpnclient

root@vpnclient:/etc/openvpn# apt install openvpn easy-rsa -y

root@vpnclient:/etc/openvpn/client# scp root@192.168.15.126:/etc/openvpn/* /etc/openvpn/client

root@vpnclient:/etc/openvpn/client# ls

ca.crt client.crt  client.key static.key

root@vpnclient:/etc/openvpn# cat client.conf 

dev tun

proto udp

ifconfig 10.100.0.2 10.100.0.1

remote 192.168.15.126

resolv-retry infinite

nobind

persist-key

persist-tun

cipher AES-256-CBC

auth SHA256

ca /etc/openvpn/client/ca.crt

cert /etc/openvpn/client/client.crt

key /etc/openvpn/client/client.key

tls-client

tls-auth /etc/openvpn/client/static.key 1

verb 3

keepalive 10 120

remote-cert-tls server

root@vpnclient:/etc/openvpn# systemctl enable openvpn@client --now


Realizar o teste de conexão e fechar o tunel:


root@vpnclient:/etc/openvpn# ping 10.100.0.1 -c1

PING 10.100.0.1 (10.100.0.1) 56(84) bytes of data.

64 bytes from 10.100.0.1: icmp_seq=1 ttl=64 time=1.26 ms


Dicas: Criando um Arquivo ovpn:

Altere os campos ca, cert,key e tls-auth para o seguinte configuração:

<Tag></tag>

Adicione esse argumento key-direction 1


dev tun

proto udp

ifconfig 10.100.0.2 10.100.0.1

remote 177.41.135.74

;remote 192.168.15.126

resolv-retry infinite

nobind

persist-key

persist-tun

cipher AES-256-CBC

auth SHA256

tls-client

verb 3

keepalive 10 120

remote-cert-tls server

key-direction 1

<ca>

-----BEGIN CERTIFICATE-----

Insira os valores do arquivo aqui

-----END CERTIFICATE-----

</ca>

<cert>

-----BEGIN CERTIFICATE-----

Insira os valores do arquivo aqui

-----END CERTIFICATE-----

</cert>

<key>

-----BEGIN PRIVATE KEY-----

Insira os valores do arquivo aqui

-----END PRIVATE KEY-----

</key>

<tls-auth>

-----BEGIN OpenVPN Static key V1-----

Insira os valores do arquivo aqui

-----END OpenVPN Static key V1-----

</tls-auth>


Testando a configuração ovpn


root@vpnclient:/etc/openvpn# systemctl stop openvpn@client

root@vpnclient:/etc/openvpn# /usr/sbin/openvpn client_full_mod.ovpn


Aplicar segurança no Servidor do Openvpn (Recomendação que seja feita tambem no cliente), mas para fins de documentação será implatada somente no servidor:

Neste tutorial estaremos utilizando o ufw para liberar a porta 22 tcp e 1194 udp e bloquear o ping.


root@vpnserver:/etc/openvpn# apt-get install ufw -y

root@vpnserver:/etc/openvpn# echo 'export PATH=$PATH:/usr/sbin' >> /root/.bashrc

root@vpnserver:/etc/openvpn# echo "y" | ufw enable

root@vpnserver:/etc/openvpn# ufw allow 22/tcp

root@vpnserver:/etc/openvpn# ufw allow 1194/udp

root@vpnserver:/etc/openvpn# ufw deny proto icmp


Wireguard:

Conforme a figura abaixo, será configurada uma vpn com a sede e duas filiais.



Deve-se instalar o wireguard e configurar a chave pública e privada no servidor, será habilitado o serviço e liberada a porta 51820 com protocolo udp.


root@vpnserver:/etc/openvpn# apt install wireguard -y

root@vpnserver:/etc/openvpn# wg genkey >> /etc/wireguard/sede-privatekey

root@vpnserver:/etc/openvpn# wg pubkey < /etc/wireguard/sede-privatekey > /etc/wireguard/sede-publickey

root@vpnserver:/etc/openvpn# chmod 600 /etc/wireguard/sede-privatekey

root@vpnserver:/etc/wireguard# cat sede-privatekey 

4DzdIrHcAKybELErqTK93qys5twNPSmX5+lzZ1xD8Uk=

root@vpnserver:/etc/openvpn# cat << EOF > /etc/wireguard/sede-server.conf

[Interface]

Address = 10.10.0.1/24

SaveConfig = true

ListenPort = 51820

PrivateKey = 4DzdIrHcAKybELErqTK93qys5twNPSmX5+lzZ1xD8Uk=

root@vpnserver:/etc/openvpn# systemctl enable wg-quick@wg0 --now

root@vpnserver:/etc/wireguard# ufw allow 51820/udp


Criando configuração do cliente 1: (Mesmo procedimento para o cliente 2 - No futuro do tutorial, volte aqui)


root@vpnclient:~# echo 'export PATH=$PATH:/usr/sbin' >> /root/.bashrc

root@vpnclient:~# apt-get install resolvconf wireguard -y

root@vpnclient:~# cd /etc/wireguard/

root@vpnserver:/etc/openvpn# wg genkey >> /etc/wireguard/filial01-privatekey

root@vpnserver:/etc/openvpn# wg pubkey < /etc/wireguard/filial01-privatekey > /etc/wireguard/filial01-publickey

root@vpnserver:/etc/openvpn# chmod 600 /etc/wireguard/filial01-privatekey

root@vpnclient:/etc/wireguard# cat filial01-publickey 

5pYcSEdAl2luanDXeQqftvRtwPjUtUL+zjnrmINPxwk=

root@vpnclient:/etc/wireguard# cat << EOF > /etc/wireguard/filial01.conf

[Interface]

Address = 10.10.0.2/24

PrivateKey = OJzd3XXqfVfTciBfi2HRUMVmCy7QJ0O9hAoN1XVJVlg=

DNS = 8.8.8.8


[Peer]

PublicKey = UM/0dh6kXqgyzdLKYNNe4hyhk/c5Rf0UZMuOmWm+/Ew=

AllowedIPs = 10.10.0.1/32, 10.10.0.2/32, 10.10.0.3/32

Endpoint = 192.168.15.126:51820

# Endpoint = 177.41.135.74:51820

EOF

root@vpnclient:/etc/wireguard# wg-quick up /etc/wireguard/wg0-client.conf

root@vpnclient:/etc/wireguard# wg-quick down /etc/wireguard/wg0-client.conf

Teste de conexão, pode ser utilizado o comando ping entre os mesmos.


Habilitar o cliente via systemd


root@vpnclient:/etc/wireguard# systemctl enable wg-quick@wg0-client --now


No lado do servidor libere a chave pública e seu respectivo ip para realizar a conexão:


root@vpnserver:/etc/wireguard# wg set sede-server peer 5pYcSEdAl2luanDXeQqftvRtwPjUtUL+zjnrmINPxwk= allowed-ips 10.10.0.2


Repetir os comandos anterior da filial 01 para filial 02, deve ser inserir as informações da nova chave pública e privada e inserir o ip desejado e liberar novamente a nova chave e o ip configurado conforme modelo abaixo:

Obs: A configuração é a mesma, somente lembre que a chave privada é a nova criada pela servidor e a chave pública é a mesma do servidor:


root@vpnserver:/etc/wireguard# wg set sede-server peer 1jka2gimya9dCs4fLbYFC8e5kMEE1OtMdRL0QJ/bH0U= allowed-ips 10.10.0.3


No servidor podemos verificar que há conexão com 2 filiais com ips 10.10.0.2 e 10.10.0.3


root@vpnserver:/etc/wireguard# wg show

interface: sede-server

  public key: UM/0dh6kXqgyzdLKYNNe4hyhk/c5Rf0UZMuOmWm+/Ew=

  private key: (hidden)

  listening port: 51820


peer: 1jka2gimya9dCs4fLbYFC8e5kMEE1OtMdRL0QJ/bH0U=

  endpoint: 192.168.15.129:46887

  allowed ips: 10.10.0.3/32

  latest handshake: 4 seconds ago

  transfer: 532 B received, 476 B sent


peer: 5pYcSEdAl2luanDXeQqftvRtwPjUtUL+zjnrmINPxwk=

  endpoint: 192.168.15.125:54432

  allowed ips: 10.10.0.2/32

  latest handshake: 13 minutes, 30 seconds ago

  transfer: 308 B received, 220 B sent


Observações finais, caso montou sua vpn com wireguard ou openvpn internamente com ip interno, somente como mencionado liberar no seu modem adsl ou firewall corporativo, liberar a porta configurada para que realize o tunelamento das conexões com ip público e interligando redes distintas
Qualquer dúvida veja a configuração com o seguinte ip: 177.41.135.74.

Ass: Luiz Guilherme Nunes Fernandes
Email: narutospinal@gmail.com
Informativo: Entusiasta e colaborador em Software Livre.



Labels:

Comentários

Postar um comentário

Postagens mais visitadas deste blog

Feliz 2013!!!

Gostaria de agradecer a todos que este ano acompanharam as matérias postadas e as mais de  7000 visitas ao blog , muito obrigado. Este ano tivemos grandes conquistas e inúmeras novidades como por exemplo o fim do MSN no início de 2013, a criação da União Livre e o desenvolvimento do Kaiana que será lançada em 2013, distro nacional , a descontinução do BigLinux do DreanLinux entre outr as distro, o lançamento do liv ro da S B P - Software Publico Brasileiro, os dois anos do LibreOffice, o prime iro Hackday do LibreOffice , o IX Latinoware, a Microsoft boicotando o Linux (como sempre), o lançamento do Windows 8 e a sua baixa taxa de adesão pelos usuários, entre out ros. Gostaria de desejar a todos Boas Festas e que em 2013 possamos estar juntos novamente. Feliz Natal!!!! F eli z 2013 a todos!!!
Postar um comentário
Leia mais

Como Instalar a Fonte ttf-mscorefonts (Times New Roman, Arial, etc) no Ubuntu, Linux Mint e Derivados

Quando instalamos uma distribuição GNU/Linuxmsabemos que vem o LibreOffice por padrão porém geralmente não vem instalado a fonte ttf-mscorefonts que contém as fontes Times New Roman, Arial, etc, como essas fontes são muito útil para os universitários, pelo mundo corporativo e a Associação Brasileira de Normas Técnicas (ABNT), exige que os trabalhos sejam entregues nas fontes Times New Roman e Arial, por meio desta postagem espero pode ajudar a todos com a instalação da fonte ttf-mscorefonts que contém essas fontes. Ao instalar o GNU/Linux abra o terminal e execute o comando: $ sudo apt-get install ttf-mscorefonts-installer Leia os termos de uso e avance clicando em “Ok” Agora aceite os termos de uso clicando em “Sim” Pronto agora abra o LibreOffice e veja se as fontes Times New Roman, Arial estão instaladas. Caso ocorra algum erro ou precisa reinstalar, execute: $ sudo apt-get install --reinstall ttf-mscorefonts-installer
Postar um comentário
Leia mais

Comandos Úteis para o Linux Mint, Ubuntu e Derivados

Alguns dias sugeriram que eu postasse alguns comandos uteis  utilizados no Linux Mint e para o Ubuntu, mas com tantas distros baseadas no Ubuntu esses comandos também podem ser utilizados nas distros como: Ubuntu 15.04, Ubuntu 14.10, Ubuntu 14.04 , Linux Mint 17.2, Linux Mint 17.1, Linux Mint 17, Pinguy OS 14.04, Elementary OS 0.3, Deepin 2014, Peppermint Five, LXLE 14.04 and Linux Lite 2 2 , DuZeru, Kaiana e derivados . Segue alguns comandos importantes para manutenção do sistema, principalmente para usuários iniciantes... 1- Atualizar a lista de pacotes:  $ sudo apt-get update 2- Atualizar toda a distro:  $ sudo apt-get -f dist-upgrade ou update-manager -d -c 3- Instalar pacotes:  $ sudo apt-get install [nome do pacote] 4- Procurar arquivos corrompidos:  $ sudo apt-get check 5- Corrigir problemas de dependências, concluir instalação de pacotes pendentes e outros erros: $ sudo apt-get -f install 6- Se o comando sudo apt-get -f install nã...
9 comentários
Leia mais

O MSN tem Data Marcada para seu Fim

Imagem Retirado do Google 15 de Março Agora sim, o Windows Live Messenger está com os dias contatos, a Microsoft anunciou que o MSN deixará de funcionar no dia 15 de Março deste ano, menos na China. A empresa aconselha a todos os usuários a usarem o Skype que foi integrado com o serviço do MSN, segundo a empresa, os usuários estão sendo notificados por e-mail sobre como proceder para fazer esta mudança de plataforma (eu não recebi até agora tal notificação). Acho o Skype melhor que o Windows Live (assim como muitos profissionais de TI) , mesmo na versão para Linux, claro, sempre existem outras opções e o Pidgin, que se mostra como opção.
Postar um comentário
Leia mais

Feliz Dia das Mães!!!!

Postar um comentário
Leia mais

Como Instalar a Fonte ttf-mscorefonts (Times New Roman, Arial, etc) no Ubuntu, Linux Mint e Derivados

Quando instalamos uma distribuição GNU/Linuxmsabemos que vem o LibreOffice por padrão porém geralmente não vem instalado a fonte ttf-mscorefonts que contém as fontes Times New Roman, Arial, etc, como essas fontes são muito útil para os universitários, pelo mundo corporativo e a Associação Brasileira de Normas Técnicas (ABNT), exige que os trabalhos sejam entregues nas fontes Times New Roman e Arial, por meio desta postagem espero pode ajudar a todos com a instalação da fonte ttf-mscorefonts que contém essas fontes. Ao instalar o GNU/Linux abra o terminal e execute o comando: $ sudo apt-get install ttf-mscorefonts-installer Leia os termos de uso e avance clicando em “Ok” Agora aceite os termos de uso clicando em “Sim” Pronto agora abra o LibreOffice e veja se as fontes Times New Roman, Arial estão instaladas. Caso ocorra algum erro ou precisa reinstalar, execute: $ sudo apt-get install --reinstall ttf-mscorefonts-installer
9 comentários
Leia mais

QElectroTech (Software Livre para Criar Diagramas Elétricos)

ElectroTech, ou QET, abreviadamente, é um software livre para criar diagramas elétricos industriais complexos. Mas você também pode criar diagramas de encanamento, geotermia, ar condicionado, layout, hidráulica, pneumática, domótica, PID, fotovoltaica, encanamento de piscinas, etc.! Na última versão 0.100, a coleção contém mais de 8.000 símbolos... Mais informações clique aqui . Para baixar clique no link: https://qelectrotech.org/download.php  
Postar um comentário
Leia mais

Famelix/BRLix

Continuando falando dos Sistemas Operacionais Linux apresento a vocês o Falemix/BRLix. O Famelix, foi criado em 2003 em um projeto da Faculdade Metropolitana de Guaramirim (FAMEG) de Santa Catarina. Famelix GNU/Linux é uma distribuição criada com a finalidade de oferecer um ambiente similar ao Windows XP e Vista, de tal maneira que facilite a migração de usuários do sistema operacional proprietário a um sistema livre, e que se possa aproveitar os conhecimentos já adquiridos pelos usuários. As versões até a 2.0 utilizam elementos presentes em outras distribuições como Debian, Knoppix e Kurumin. Segundo as pesquisas feitas a versão 2.1, utiliza em seu todo apenas a base do Sistema Operacional Debian GNU/Linux, e é suportado por uma empresa que assumiu o desenvolvimento e mudo o nome para BRLix. O BRLix é mantido pela Epidemus ltda, em Jaraguá do Sul - Santa Catarina.   C reio que as telas abaixo da uma ideia de como o sistema é, imagens essas retiradas do go...
Postar um comentário
Leia mais

Como Instalar o Kodi 19.5 "Matrix"

Kodi (anteriormente denominado XBMC) é um famoso hub de mídia de código aberto e home theater PC, sendo traduzido em mais de 30 idiomas. Além disso, suas características podem ser altamente estendido através de plugins de terceiros e extensões e tem suporte para PVR (personal video recorder).   A versão final do Kodi 19.5 “Matrix” foi lançado, chegando com alterações que podem ser vistas clicando aqui . Para instalar no Ubuntu,  Linux Mint, Elementary OS e derivados, execute:   $ sudo add-apt-repository ppa:team-xbmc/ppa $ sudo apt-get update $ sudo apt-get install kodi     Use o comando a seguir para instalar codecs de áudio e outros complementos, executando:     $ sudo apt-get install --install-suggests kodi     Para remover, execute:   $ sudo apt-get remove kodi*
Postar um comentário
Leia mais

AnduinOS 1.3.0

O AnduinOS é uma distribuição baseada no Ubuntu que oferece um ambiente de trabalho NOME com tema e estilo semelhantes aos do Windows 11. A versão mais recente do projeto, o AnduinOS 1.3.0, é baseada no Ubuntu 25.04 e vem com o GNOME 48.  "O AnduinOS 1.3 foi lançado. Esta versão é altamente recomendada porque adicionamos uma loja de aplicativos (baseada em Flatpak) a ela. Sistema básico atualizado - o sistema fundamental foi atualizado do Oracular (Ubuntu 24.10) para o Plucky (Ubuntu 25.04). Adicionado um novo atalho Super + V para alternar o histórico da área de transferência. Software GNOME pré-instalado para oferecer suporte à instalação de software da loja de software. Flatpak pré-instalado para oferecer suporte à instalação de software da loja de software. Problema de localização do Firefox corrigido. O GNOME foi atualizado para a versão 48 e o suporte a HDR adicionado. Agora está disponível para download para todos." Paraler a nota de lançamento clique aqui . Para baixa...
Postar um comentário
Leia mais