TP_OpenVPN

OpenVPN est un logiciel libre permettant de créer facilement une liaison VPN site à site.
OpenVPN permet à des pairs de s'authentifier entre eux à l'aide d'une clé privée partagée à
l'avance ou de certificats. Il fonctionne sur un mode client/serveur, ce qui implique son installation
sur les deux sites distants, l'un côté client, l'autre côté serveur.

I. Qu'est-ce qu'un VPN ?▲

Un VPN (Virtual Private Network) ou Réseau Privé Virtuel en français est connexion interréseau
permettant de relier deux réseaux locaux différents de façon sécurisée par un protocole de
tunnelisation.
La tunnelisation est un protocole permettant aux données passant d'une extrémité à l'autre du VPN
d'être sécurisées par des algorithmes de cryptographie.

Le terme tunnel est utilisé pour symboliser le fait qu'entre l'entrée et la sortie du VPN les données
sont chiffrées et donc normalement incompréhensibles pour toute personne située entre les deux
extrémités du VPN, comme si les données passaient dans un tunnel. De plus, créer un tunnel
signifie aussi encapsuler un protocole dans un protocole de même niveau du modèle OSI (IP dans
IPSec par exemple). Dans le cas d'un VPN établi entre deux machines, on appelle client VPN
l'élément permettant de chiffrer les données à l'entrée et serveur VPN (ou plus généralement
serveur d'accès distant) l'élément déchiffrant les données en sortie. (Wikipedia).

Installation d'OpenVPN▲

Remarque : la méthode d'installation proposée dans cet article repose sur le fonctionnement de la
distribution Debian et ses dérivés. Pour les autres distributions, veuillez vous reporter aux
commandes de gestion des paquets implantées pour la distribution choisie.

Installation d'OpenVPN proprement dite :

Installation d'OpenVPN
> apt-get install openvpn

Installation d'OpenSSL pour la sécurisation des données :

Remarque : généralement, OpenSSL est installé par défaut sur les machines et ne nécessite donc
pas d'être réinstallé.

Installation d'OpenSSL
> apt-get install openssl

III. Génération des certificats et clés d'authentification▲

L'installation d'OpenVPN crée un dossier dans /usr/share/doc/openvpn/easy-rsa/ contenant

tous les scripts permettant de générer facilement tous les certificats et clés d'authentification
nécessaires au fonctionnement d'OpenVPN.

Avant toute chose, créez un dossier easy-rsa dans le répertoire d'OpenVPN et copiez les scripts
originaux dedans afin de centraliser applications et scripts :
Création du répertoire easy-rsa
> mkdir /etc/openvpn/easy-rsa/

Copie des scripts

> cp /usr/share/doc/openvpn/examples/easy-rsa/2.0/* /etc/openvpn/easy-rsa/

On crée ensuite un dossier keys destiné à contenir les différents certificats et clés générés :

Création du répertoire destiné à contenir les clés et certificats

> mkdir /etc/openvpn/easy-rsa/keys/

III-A. Initialisation des variables de génération▲

À partir du dossier /etc/openvpn/easy-rsa/, il faut dans un premier temps éditer le fichier vars

afin d'initialiser différentes variables servant à la génération des certificats :

Édition du fichier vars

> nano /etc/openvpn/easy-rsa/vars

On entre les informations personnelles comme suit :

Informations à renseigner dans le fichier vars

Export KEY_DIR=$D/keys
Export KEY_COUNTRY=FR
Export KEY_PROVINCE=FR
Export KEY_CITY=Lyon
Export KEY_ORG=example
Export KEY_EMAIL=example@[Link]

Enfin, on exécute enfin le script afin d'initialiser les variables :

Exécution du script vars

> . ./vars

Attention la commande est bien  : point - espace - point/vars !

III-B. Génération du certificat et de la clé d'autorité de certification▲

OpenVPN fonctionne sous un mode PKI (Public Key Infrastructure). Selon ce mode, le serveur et
chaque client possèdent un certificat (appelé également clé publique) et une clé privée qui leur
sont propres. Un certificat d'autorité de certification (master CA) et une clé privée sont utilisés pour
signer les certificats du serveur et de chaque client. Ce master CA permet une authentification
bidirectionnelle : chacun des clients et serveur authentifient donc l'autre réciproquement en
vérifiant dans un premier temps que le certificat qu'ils proposent a bien été signé par le master CA.

Pour générer ce master CA et la clé correspondante, il faut exécuter les scripts suivants à partir du
dossier /etc/openvpn/easy-rsa :

Exécution du script clean-all

> ./clean-all> ./build-ca

L'exécution du script build-ca entraîne la création du certificat [Link] et de la clé [Link] dans le
répertoire /etc/openvpn/easy-rsa/keys.

Génération du certificat et de clé pour le serveur

La génération du certificat et de la clé du serveur VPN se fait simplement, par l'exécution du script
build-key-server, toujours à partir du dossier /etc/openvpn/easy-rsa :

Génération du certificat et de clé pour le serveur

> ./build-key-server nom_choisi_pour_le_serveur

Attention  : la commande d'exécution du script build-key-server doit être suivie d'un nom donné au
serveur. Ce nom n'a pas d'importance en soi, il peut être ce que vous voulez. L'important est de
toujours utiliser le même nom quand celui-ci est demandé  !

Différentes informations sont demandées pendant l'exécution de ce script :

« Commun-name » : entrez le nom du serveur que vous avez pour lancer le script !!! ;

« Sign the certificate ? » : tapez « yes » ;
« 1 out of 1 certificate requests certificated, commit » : tapez « yes ».

Ce script conduit à la création des fichiers nom_choisi_du_serveur.crt et

nom_choisi_du_serveur.key dans le dossier /etc/openvpn/easy-rsa/keys.

III-D. Génération des certificats et clés pour les clients

De la même façon, ils sont générés par l'exécution du script build-key à partir du
dossier /etc/openvpn/easy-rsa/ :

Génération des certificats et clés pour le client1

> ./build-key nom_du_client1

Attention  : encore une fois, de même manière que pour le serveur, l'exécution du script build-key
demande d'entrer le nom du client.

Pour le paramètre « Commun-name », saisissez le même nom que nom_du_client1 que vous avez
utilisé dans la commande !

Répétez cette opération autant de fois que vous voulez pour générer plusieurs certficats et clés si
vous avez plusieurs clients. N'oubliez pas cependant de changer de nom_du_client à chaque fois !!!

Ce script entraine la création des fichiers nom_du_client1.crt et nom_du_client1.key dans le

dossier /etc/opnevpn/easy-rsa/keys.

III-E. Génération des paramètres de Diffie-Hellman

Le protocole Diffie-Hellman est un protocole de cryptographie utilisé dans les échanges de clés.
Pour plus d'information, je vous invite à vous rendre sur la page de Wikipedia traitant de ce
sujet.

Les paramètres de Diffie-Hellman sont générés par l'exécution du script build-dh à partir du
dossier /etc/openvpn/easy-rsa :

Génération des paramètres de Diffie-Hellman

> ./build-dh

Son exécution donne en sortie quelque chose de ce style :

Sortie de l'exécution de build-dh

Sélectionnez
Generating DH parameters, 1024 bit long safe prime, generator 2
This is going to take a long time
.................+...........................................
...................+.............+.................+.........
......................................

Il en résulte la création du fichier [Link] dans le dossier /etc/openvpn/easy-rsa/keys.

Configuration

Afin de configurer au mieux le serveur et les clients, il est nécessaire de préparer le terrain.

Des exemples de fichiers de configuration sont présents dans le

dossier /usr/share/doc/openvpn/examples/sample-config-files/. On place les différents
fichiers de configuration nécessaires dans /etc/openvpn/ :

Copie du fichier de conf [Link] dans le dossier openvpn

> cp /usr/share/doc/openvpn/examples/sample-config-files/[Link]
/etc/openvpn/

Copie du fichier de conf [Link] dans le dossier openvpn

> cp /usr/share/doc/openvpn/examples/sample-config-files/[Link]
/etc/openvpn/

Ensuite, on décompresse le fichier [Link] :

Extraction du fichier de conf server

> gunzip /etc/openvpn/[Link]

voilà, les exemples de fichiers de configuration sont prêts, il ne reste qu'à les paramétrer.

IV-B. Configuration du serveur

La mise en route du serveur entraine l'attribution automatique d'une adresse ip à l'interface tun0
du serveur. Cette adresse ip est toujours la première adresse (en .1) du réseau annoncé dans le
fichier de configuration.
Par exemple, si l'on se place dans l'exemple de configuration détaillée ci-dessous, on définit un
réseau vpn en [Link]. L'adresse ip du serveur vpn sera donc [Link].

Contrairement au serveur vpn, il est possible de définir une plage d'ip disponibles pour l'attribution
des ip clients (avec l'option --ifconfig-pool start-IP end-IP [netmask]), voire de définir
précisément chaque ip pour chaque client (en entrant ces informations dans un fichier et en
utilisant l'option --ifconfig-pool-persist file [seconds]). Ces options sont à définir dans le fichier
de configuration du serveur. De nombreuses autres options sont disponibles et consultables dans
la documentation d'OpenVPN.

Pour ce faire, il suffit de renseigner les bons paramètres au fichier /etc/openvpn/[Link] :

Explication du contenu du fichier de conf server

#numéro du port utilisé
port 1595
#protocole de communication
proto udp
#type d'interface
dev tun
#emplacement du master CA
ca /etc/openvpn/easy-rsa/keys/[Link]
#emplacement du certificat du serveur
cert /etc/openvpn/easy-rsa/keys/nom_choisi_pour_le_serveur.crt
#emplacement de la clé du serveur
key /etc/openvpn/easy-rsa/keys/nom_choisi_pour_le_serveur.key
#emplacement du fichier Diffie-Hellman
dh /etc/openvpn/easy-rsa/keys/[Link]
#quelle sera l'adresse du réseau virtuel créé par le VPN
#l'adresse du serveur VPN sera ici [Link]
server [Link] [Link]
#quelle est la route pour communiquer, ici le réseau 10.4.
push "route [Link] [Link]"
#
keepalive 10 120
#type d'encryptage des données
cipher AES-128-CBC
#activation de la compression
comp-lzo
#nombre maximum de clients autorisés
max-clients 10
#pas d'utilisateur et groupe particuliers pour l'utilisation du VPN
user nobody
group nobody
#pour rendre la connexion persistante
persist-key
persist-tun
#fichier de log
status [Link]
log [Link]
#niveau de verbosité
verb 5

Voilà, la configuration du côté serveur est terminée ! Facile, non ?

Pour démarrer le serveur, la commande est :

Démarrage du serveur OpenVPN

> /etc/init.d/openvpn start

Vous pouvez vérifier que tout s'est bien passé jusqu'à présent en vérifiant la création et la bonne
configuration de l'interface tun0 :

Affichage des interfaces réseau

> ifconfig

Vous devriez avoir quelque chose dans ce style :

Exemple d'informations pour une interface tun correctement configurée

tun0 Lien encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00
inet adr:[Link] P-t-P:[Link] Masque:[Link]
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 lg file transmission:100
RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)

IV-C. Configuration des clients▲

La connexion au serveur VPN est possible via des clients Linux ou Windowsiens.

Clients Linux

Le client Linux nécessite la même installation que le serveur :

Installation d'OpenVPN côté client

> apt-get install openvpn

Pour garder une certaine cohérence entre le serveur et les clients, j'utilise la même hiérarchie de
dossiers sur les clients que sur le serveur. Ainsi, on crée un dossier config et un dossier /easy-
rsa/keys dans /etc/openvpn :

 
> mkdir /etc/openvpn/config && mkdir /etc/openvpn/easy-rsa && mkdir
/etc/openvpn/easy-rsa/keys

Pour fonctionner, les clients ont besoin de quatre fichiers provenant du serveur :

 1. [Link] ;
 2. nom_du_client1.crt ;
 3. nom_du_client1.key ;
 4. le fichier de configuration [Link].

Voici le contenu du fichier [Link] permettant de se connecter au serveur défini précédemment :

Explication du contenu du fichier de conf client

#pour signaler que c'est un client !
client
#type d'interface
dev tun
#protocole de communication
proto udp
#adresse ip publique du réseau dans lequel le serveur est installé + port
identique au serveur
remote [Link] 1595
#tentative de connexion infinie
resolv-retry infinite
nobind
#pour rendre la connexion persistante
persist-key
persist-tun
#pour cacher les avertissements
mute-replay-warnings
#emplacement du master CA
ca /etc/openvpn/easy-rsa/keys/[Link]
#emplacement du certificat client
cert /etc/openvpn/easy-rsa/keys/nom_du_client1.crt
#emplacement de la clé privée du client
key /etc/openvpn/easy-rsa/keys/nom_du_client1.key
#type d'encryptage des données
cipher AES-128-CBC
#activation de la compression
comp-lzo
#niveau de verbosité
verb 5

IV-C-2. Clients Windows▲

Pour les clients windowsiens, il est nécessaire d'installer une application spécifique, OpenVPN GUI
for Windows, qui se trouve ici :
[Link]

Une fois téléchargée, lancez l'installation d'OpenVPN. Une fenêtre vous demandera si vous acceptez
d'installer une nouvelle interface « TAP-Win32 Adapter V8 ». Acceptez.

L'installation finie, deux petits ordinateurs avec un globe font leur apparition dans la barre des
tâches. Cela correspond à l'interface virtuelle nouvellement créée « TAP-Win32 Adapter V8 »
permettant la connexion au VPN.

Icône de l'interface TAP Win32 pour OpenVPN dans la barre des tâches de Windows.

Copiez les quatre fichiers suivants dans le dossier C:\Program Files\OpenVPN\config :

 1. [Link] ;
 2. nom_du_client1.crt ;
 3. nom_du_client1.key ;
 4. [Link].
Attention  : petite subtilité, il faut renommer le fichier [Link] en [Link]  !!!

La configuration du fichier de configuration [Link] est la même que pour un client Linux,
excepté pour les chemins de fichiers. Si les certificats et clés sont bien placés dans le dossier
config, le contenu du fichier [Link] doit être :

Explication du contenu du fichier de conf client

#pour signaler que c'est un client !
client
#type d'interface
dev tun
#protocole de communication
proto udp
#adresse ip publique du réseau dans lequel le serveur est installé + port
#identique au serveur
remote [Link] 1595
#tentative de connexion infinie
resolv-retry infinite
nobind
#pour rendre la connexion persistante
persist-key
persist-tun
#pour cacher les avertissements
mute-replay-warnings
#emplacement du master CA
ca [Link]
#emplacement du certificat client
cert nom_du_client1.crt
#emplacement de la clé privée du client
key nom_du_client1.key
#type d'encryptage des données
cipher AES-128-CBC
#activation de la compression
comp-lzo
#niveau de verbosité
verb 5

Pour se connecter au VPN, un clic droit sur l'icône d'interface « TAP-Win32 Adaptater V8 » et
« connect »…

Connexion au VPN.
Si la connexion au VPN est un succès, les écrans de l'icône de l'interface « TAP-Win32 Adaptater
V8 » deviennent verts.

Lorsque la connexion est effectuée, l'icône de

l'interface devient verte.