Настройка OpenVPN в Ubuntu

Опубликовано автором

На сервере Openvpn

sudo apt install openvpn -y

1	sudo apt install openvpn -y

На сервере CA

wget https://github.com/OpenVPN/easy-rsa/releases/download/v3.2.1/EasyRSA-3.2.1.tgz
tar -xvzf EasyRSA-3.2.1.tgz &amp;&amp; rm EasyRSA-3.2.1.tgz
chmod 700 EasyRSA-3.2.1
cd EasyRSA-3.2.1

wget https://github.com/OpenVPN/easy-rsa/releases/download/v3.2.1/EasyRSA-3.2.1.tgz

tar -xvzf EasyRSA-3.2.1.tgz && rm EasyRSA-3.2.1.tgz

chmod 700 EasyRSA-3.2.1

cd EasyRSA-3.2.1

В каталоге EasyRSA Создать файл «vars»

set_var EASYRSA_REQ_COUNTRY    "RUS"
set_var EASYRSA_REQ_PROVINCE   "Moscow"
set_var EASYRSA_REQ_CITY       "Moscow City"
set_var EASYRSA_REQ_ORG        "Our Company Name"
set_var EASYRSA_REQ_EMAIL      "sysadmin@company.ru"
set_var EASYRSA_REQ_OU         "LLC"
set_var EASYRSA_ALGO           "ec"
set_var EASYRSA_DIGEST         "sha512"

set_var EASYRSA_REQ_COUNTRY "RUS"

set_var EASYRSA_REQ_PROVINCE "Moscow"

set_var EASYRSA_REQ_CITY "Moscow City"

set_var EASYRSA_REQ_ORG "Our Company Name"

set_var EASYRSA_REQ_EMAIL "sysadmin@company.ru"

set_var EASYRSA_REQ_OU "LLC"

set_var EASYRSA_ALGO "ec"

set_var EASYRSA_DIGEST "sha512"

Создать корневой сертификат и сертификат для OpenVPN:
(Для второго понадобится passphrase от первого)

./easyrsa init-pki &amp;&amp; ./easyrsa build-ca nopass
./easyrsa build-server-full server nopass

1 2	./easyrsa init-pki && ./easyrsa build-ca nopass ./easyrsa build-server-full server nopass

dh.pem сертификат нужно создать, даже если он не будет использоваться:

openssl dhparam -out /etc/openvpn/dh.pem 2048

1	openssl dhparam -out /etc/openvpn/dh.pem 2048

На сервере OpenVPN

Скопировать файлы сертификатов в каталог Openvpn:

sudo scp -P 22 user@CA:/home/user/EasyRSA-3.2.1/{pki/ca.crt,pki/issued/server.crt,pki/private/server.key} /etc/openvpn/server/

1	sudo scp -P 22 user@CA:/home/user/EasyRSA-3.2.1/{pki/ca.crt,pki/issued/server.crt,pki/private/server.key} /etc/openvpn/server/

Создать /etc/openvpn/server.conf:

port 1194
#proto tcp
proto udp
dev tun
ca ca.crt
dh dh.pem
cert server.crt
key server.key
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
cipher AES-256-CBC
;client-to-client
keepalive 10 120
persist-key
persist-tun
user nobody
group nogroup
verb 3

port 1194

#proto tcp

proto udp

dev tun

ca ca.crt

dh dh.pem

cert server.crt

key server.key

server 10.8.0.0 255.255.255.0

push "redirect-gateway def1 bypass-dhcp"

push "dhcp-option DNS 8.8.8.8"

cipher AES-256-CBC

;client-to-client

keepalive 10 120

persist-key

persist-tun

user nobody

group nogroup

verb 3

Настраиваем IP форвардинг и iptables:

 echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
 sysctl -p
iptables -t nat -A POSTROUTING --src 10.8.0.0/8 -o enp0s3 -j MASQUERADE
iptables -A FORWARD -s 10.8.0.0/8 -j ACCEPT
iptables -A INPUT -p tcp --dport 1194 -j ACCEPT

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf

sysctl -p

iptables -t nat -A POSTROUTING --src 10.8.0.0/8 -o enp0s3 -j MASQUERADE

iptables -A FORWARD -s 10.8.0.0/8 -j ACCEPT

iptables -A INPUT -p tcp --dport 1194 -j ACCEPT

Проверка:

sudo systemctl start openvpn@server
sudo systemctl status openvpn@server
nc -zv -u 192.168.0.100 1194

sudo systemctl start openvpn@server

sudo systemctl status openvpn@server

nc -zv -u 192.168.0.100 1194

Создание клиентов на сервере Openvpn

На сервере CA
Создать ключ клиента и скопировать его на сервер OpenVPN (команда ниже):

./easyrsa build-client-full client1 nopass

1	./easyrsa build-client-full client1 nopass

На сервере OpenVPN:

mkdir -p ~/client-configs/keys # Каталог для ключей клиентов
mkdir -p ~/client-configs/files # Каталог для конфигов

1 2	mkdir -p ~/client-configs/keys # Каталог для ключей клиентов mkdir -p ~/client-configs/files # Каталог для конфигов

Создать шаблон конфига ~/client-configs/base.conf:

client
dev tun
#proto tcp
proto udp
remote YOUR_SERVER_IP 1194
resolv-retry infinite
nobind
persist-key
persist-tun
cipher AES-256-CBC
auth-nocache
verb 3

client

dev tun

#proto tcp

proto udp

remote YOUR_SERVER_IP 1194

resolv-retry infinite

nobind

persist-key

persist-tun

cipher AES-256-CBC

auth-nocache

verb 3

Скопировать ключи клиента и ca:

scp -P 22 user@CA:/home/user/EasyRSA-3.2.1/{pki/issued/client1.crt,pki/private/client1.key} /home/user/client-configs/keys/
sudo cp /etc/openvpn/server/ /home/user/client-configs/keys/
sudo chmod -R 700 ~/client-configs
sudo chown user:user -R ~/client-configs

scp -P 22 user@CA:/home/user/EasyRSA-3.2.1/{pki/issued/client1.crt,pki/private/client1.key} /home/user/client-configs/keys/

sudo cp /etc/openvpn/server/ /home/user/client-configs/keys/

sudo chmod -R 700 ~/client-configs

sudo chown user:user -R ~/client-configs

Создать скрипт создания конфига ~/client-configs/make_config.sh:
(добавление tls закоментировано)

#!/bin/bash
 
# First argument: Client identifier
 
KEY_DIR=~/client-configs/keys
OUTPUT_DIR=~/client-configs/files
BASE_CONFIG=~/client-configs/base.conf
 
cat ${BASE_CONFIG} \
    <(echo -e '<ca>') \
    ${KEY_DIR}/ca.crt \
    <(echo -e '</ca>\n<cert>') \
    ${KEY_DIR}/${1}.crt \
    <(echo -e '</cert>\n<key>') \
    ${KEY_DIR}/${1}.key \
#    <(echo -e '</key>\n<tls-crypt>') \ # строка заменена на следующую
    <(echo -e '</key>') \
#    ${KEY_DIR}/ta.key \
#    <(echo -e '</tls-crypt>') \
    > ${OUTPUT_DIR}/${1}.ovpn

#!/bin/bash

# First argument: Client identifier

KEY_DIR=~/client-configs/keys

OUTPUT_DIR=~/client-configs/files

BASE_CONFIG=~/client-configs/base.conf

cat ${BASE_CONFIG} \

<(echo -e '<ca>') \

${KEY_DIR}/ca.crt \

<(echo -e '</ca>\n<cert>') \

${KEY_DIR}/${1}.crt \

<(echo -e '</cert>\n<key>') \

${KEY_DIR}/${1}.key \

# <(echo -e '</key>\n<tls-crypt>') \ # строка заменена на следующую

<(echo -e '</key>') \

# ${KEY_DIR}/ta.key \

# <(echo -e '</tls-crypt>') \

> ${OUTPUT_DIR}/${1}.ovpn

Сделать файл исполняемым, созданный client.ovpn использовать на клиенте:

 sudo chmod 700 ~/client-configs/make_config.sh
 ~/client-configs/make_config.sh client1

1 2	sudo chmod 700 ~/client-configs/make_config.sh ~/client-configs/make_config.sh client1

systemd script для запуска\остановки службы

Опубликовано автором

Создаём исполняемый файл, например в /etc/init.d/testscript


#!/bin/bash
### BEGIN INIT INFO
# Provides: test
# Required-Start: $all
# Required-Stop:
# Default-Start: 2 3 4 5
# Default-Stop:
# Short-Description: testcript
### END INIT INFO

if [ $1 == start ]
then
  echo "start"
elif [ $1 == stop ]
then
  echo "stop"
else
  echo "Wrong key, usage: testcript start, or testcript stop"
fi

#!/bin/bash

### BEGIN INIT INFO

# Provides: test

# Required-Start: $all

# Required-Stop:

# Default-Start: 2 3 4 5

# Default-Stop:

# Short-Description: testcript

### END INIT INFO

if [ $1 == start ]

then

echo "start"

elif [ $1 == stop ]

then

echo "stop"

else

echo "Wrong key, usage: testcript start, or testcript stop"

Для запуска (execstart): /etc/init.d/testscript start

Для остановки (execstop): /etc/init.d/testscript stop

Создание хэша пароля sha512

Опубликовано автором

С помощью python или python3:

python3 -c 'import crypt,getpass; print(crypt.crypt(getpass.getpass(), crypt.mksalt(crypt.METHOD_SHA512)))'

1	python3 -c 'import crypt,getpass; print(crypt.crypt(getpass.getpass(), crypt.mksalt(crypt.METHOD_SHA512)))'

С помощью openssl:

openssl passwd -6 -salt blabla123

1	openssl passwd -6 -salt blabla123

Автоматизация обновления времени с помощью ntpdate

Опубликовано автором

Созать файл и сделать исполняемым /etc/init.d/timeupdate:

#!/bin/bash
function timeupdate {
 ping -c 1 192.168.1.30 > /dev/null
 if [ $? -eq 0 ]; then
   systemctl stop ntp
   ntpdate -q 192.168.1.30
   systemctl start ntp
 else
   ping -c 1 192.168.1.31 > /dev/null
   if [ $? -eq 0 ]; then
     systemctl stop ntp
     ntpdate -q 192.168.1.31
     systemctl start ntp
   else
     echo "wait 5sec"
     sleep 5
     timeupdate
   fi
 fi
}
timeupdate

#!/bin/bash

function timeupdate {

ping -c 1 192.168.1.30 > /dev/null

if [ $? -eq 0 ]; then

systemctl stop ntp

ntpdate -q 192.168.1.30

systemctl start ntp

else

ping -c 1 192.168.1.31 > /dev/null

if [ $? -eq 0 ]; then

systemctl stop ntp

ntpdate -q 192.168.1.31

systemctl start ntp

else

echo "wait 5sec"

sleep 5

timeupdate

}

timeupdate

chmod +x /etc/init.d/timeupdate

Создать ежедневное задание крон в 0 часов:
sudo crontab -e

0 0 * * * /etc/init.d/timeupdate

1	0 0 * * * /etc/init.d/timeupdate

Если пингуется первый хост, время обновится с него, иначе, если пингуется второй хост, обновить со второго, иначе перезапустить скрипт через 5 сек.
Перед и после обновления времени выключается и включается служба ntp.

Внешний Proxy сервер Squid в Ubuntu

Опубликовано автором

sudo apt install apache2-utils squid -y #apache2-utils если нужна авторизация

1	sudo apt install apache2-utils squid -y #apache2-utils если нужна авторизация

/etc/squid/squid.conf

http_port 4080
via off
forwarded_for off
cache deny all
request_header_access From deny all
request_header_access Referer deny all
request_header_access User-Agent deny all
request_header_replace User-Agent Nutscrape/1.0 (CP/M; 8-bit)

acl Safe_ports port 80 21 443 70 210 1025-65535 280 488 591 777
http_access deny !Safe_ports

auth_param digest program /usr/lib/squid/digest_file_auth -c /etc/squid/passwd_digest
auth_param digest children 2 # Одновременное кол-во авторизаций
auth_param digest realm Authentication
acl allowed_hosts src "/etc/squid/allowed_hosts"
acl allowed_users proxy_auth REQUIRED

http_access allow allowed_hosts
#http_access allow allowed_hosts allowed_users
http_access deny all

http_port 4080

via off

forwarded_for off

cache deny all

request_header_access From deny all

request_header_access Referer deny all

request_header_access User-Agent deny all

request_header_replace User-Agent Nutscrape/1.0 (CP/M; 8-bit)

acl Safe_ports port 80 21 443 70 210 1025-65535 280 488 591 777

http_access deny !Safe_ports

auth_param digest program /usr/lib/squid/digest_file_auth -c /etc/squid/passwd_digest

auth_param digest children 2 # Одновременное кол-во авторизаций

auth_param digest realm Authentication

acl allowed_hosts src "/etc/squid/allowed_hosts"

acl allowed_users proxy_auth REQUIRED

http_access allow allowed_hosts

#http_access allow allowed_hosts allowed_users

http_access deny all

Если нужен доступ по паролю, с разрешённых хостов закоментить «http_access allow allowed_hosts» и раскоментить «http_access allow allowed_hosts allowed_users»
Если нужен доступ по паролю с любых хостов, убрать «allowed_hosts» из этой строки

Создать файл паролей (при добавлении следующего пользователя без «-c»):
sudo htdigest -c /etc/squid/passwd_digest ‘Сообщение при подключении’ username
Список разрешённых хостов в файле /etc/squid/allowed_hosts
В сетевых правилах открыть tcp 4080

Если ip клиента меняется, но есть доменное имя, можно его обновлять на сервере:

Создать скрипт /etc/init.d/getallowedip.sh и сделать его исполняемым:

function getallowedip  {
 if [ "$(host hostname.domain.ru | grep address | awk '{ print $4 }')" != "$(cat /etc/squid/a$
 then
   if ping -c 1 hostname.domain.ru  &amp;> /etc/squid/ping_log
   then
     host  hostname.domain.ru  | grep address | awk '{ print $4 }' > /etc/squid/allowed_hosts
     systemctl restart squid
   else
     echo "wait 5sec"
     sleep 5
     ipsetup
   fi
 fi
 }
getallowedip

function getallowedip {

if [ "$(host hostname.domain.ru | grep address | awk '{ print $4 }')" != "$(cat /etc/squid/a$

then

if ping -c 1 hostname.domain.ru &> /etc/squid/ping_log

then

host hostname.domain.ru | grep address | awk '{ print $4 }' > /etc/squid/allowed_hosts

systemctl restart squid

else

echo "wait 5sec"

sleep 5

ipsetup

}

getallowedip

sudo chmod +x /etc/init.d/getallowedip.sh

Добавить в задания cron, например запускать каждую минуту:

sudo crontab -e

* * * * * /etc/init.d/ipsetup

1	* * * * * /etc/init.d/ipsetup

Virtualbox 6.1 в Ubuntu 22.04

Опубликовано автором

Добавить репозиторий и ключ:

deb [arch=amd64 signed-by=/usr/share/keyrings/oracle-virtualbox-2016.gpg] https://download.virtualbox.org/virtualbox/debian jammy contrib

1	deb [arch=amd64 signed-by=/usr/share/keyrings/oracle-virtualbox-2016.gpg] https://download.virtualbox.org/virtualbox/debian jammy contrib

wget -O- https://www.virtualbox.org/download/oracle_vbox_2016.asc | sudo gpg --dearmor --yes --output /usr/share/keyrings/oracle-virtualbox-2016.gpg

1	wget -O- https://www.virtualbox.org/download/oracle_vbox_2016.asc \| sudo gpg --dearmor --yes --output /usr/share/keyrings/oracle-virtualbox-2016.gpg

Установка:

sudo apt update
sudo apt install virtualbox-6.1 -y

1 2	sudo apt update sudo apt install virtualbox-6.1 -y

Установка из git репозитория

Опубликовано автором

Установка сборочного окружения:

sudo apt install git pkg-config autotools-dev libtool make gcc

1	sudo apt install git pkg-config autotools-dev libtool make gcc

Git clone:

git clone https://github.com/neutrinolabs/pipewire-module-xrdp.git --recursive

1	git clone https://github.com/neutrinolabs/pipewire-module-xrdp.git --recursive

Команды сборки и т.д:

./bootstrap
./configure
make
sudo make install

./bootstrap

./configure

make

sudo make install

Добавить старый .deb репозиторий

Опубликовано автором

Создать файл /etc/apt/sources.list.d/bionic.list с кодом:

deb http://ru.archive.ubuntu.com/ubuntu bionic main universe

1	deb http://ru.archive.ubuntu.com/ubuntu bionic main universe

Добавить файл ключа:

sudo gpg --no-default-keyring --keyring gnupg-ring:/etc/apt/trusted.gpg.d/bionic.gpg --keyserver keyserver.ubuntu.com --recv 3B4FE6ACC0B21F32
sudo chmod 644 /etc/apt/trusted.gpg.d/bionic.gpg
sudo apt update

sudo gpg --no-default-keyring --keyring gnupg-ring:/etc/apt/trusted.gpg.d/bionic.gpg --keyserver keyserver.ubuntu.com --recv 3B4FE6ACC0B21F32

sudo chmod 644 /etc/apt/trusted.gpg.d/bionic.gpg

sudo apt update

Архиватор tar

Опубликовано автором

Заархивировать в архив:

tar -czvf archive.tar.gz /directory1/directory2 /directory3/directory4/*.txt

1	tar -czvf archive.tar.gz /directory1/directory2 /directory3/directory4/*.txt

Распаковать архив:

tar -xvf archive.tar.gz -C /

1	tar -xvf archive.tar.gz -C /

Просмотреть архив:

tar -tf  archive.tar.gz

1	tar -tf archive.tar.gz

Ошибка добавления Centos9 в домен FreeIpa

Опубликовано автором

Centos 9 ipa-client install error:
Failed to obtain host TGT: Major (458752): No credentials were supplied, or the
credentials were unavailable or inaccessible, Minor (2529639122): Pre-authentication
failed: No key table entry found for host/ipaclient.dom.loc(a)DOM.LOC

Centos 9 ipa-client install error:

Failed to obtain host TGT: Major (458752): No credentials were supplied, or the

credentials were unavailable or inaccessible, Minor (2529639122): Pre-authentication

failed: No key table entry found for host/ipaclient.dom.loc(a)DOM.LOC

На 22.02.2024 Такой проблемы нет в Ubuntu, Fedora 39, Alt Linux, Rosa и Astra.
Одна из причин — недостаточные права пользователя добавляющего в домен:
Нужно либо их добавить, либо использовать admin. Должно быть исправлено патчем.
https://pagure.io/freeipa/issue/9496

Вторая причина — старая версия freeipa сервера, а именно используемая в нём политика шифрования. Нужно либо обновлять сервер, либо в клиенте включить поддержку старого шифрования:

update-crypto-policies --set DEFAULT:AD-SUPPORT-LEGACY
reboot

1 2	update-crypto-policies --set DEFAULT:AD-SUPPORT-LEGACY reboot

Glatos.RU

Записки Системного администратора

Архив рубрики: Linux

Настройка OpenVPN в Ubuntu

systemd script для запуска\остановки службы

Создание хэша пароля sha512

Автоматизация обновления времени с помощью ntpdate

Внешний Proxy сервер Squid в Ubuntu

Virtualbox 6.1 в Ubuntu 22.04

Установка из git репозитория

Добавить старый .deb репозиторий

Архиватор tar

Ошибка добавления Centos9 в домен FreeIpa