Creando un servicio personal de OpenVPN
He decidido, por fin, crear mi propio servicio VPN. Los motivos principales son poder asegurar navegación privada y cercionarme que uso un servicio de confianza 100% auditado… por mi.
Requisitos
- servicio OpenVPN
- usando docker
- servidor Centos 7
- reutilizando alguna configuración existente
- pero sin reutilizar imágenes publicadas en el Docker Hub, por celo en la seguridad
- poder conectar desde máquinas Linux y teléfonos Android
La configuración elegida es una creada por Kyle Manna: https://github.com/kylemanna/docker-openvpn/ ¡Gracias Kyle!
Procedimiento de instalación y configuración del servidor
En este caso usamos CentOS 7, pero como no está disponible docker-compose he tenido que retro-portarlo y lo tenéis disponible en un repositorio específico.
Preparación:
cd /etc/yum.repos.d ; wget https://copr.fedorainfracloud.org/coprs/olea/docker-compose/repo/epel-7/olea-docker-compose-epel-7.repo
yum install -y docker docker-compose
yum install -y docker-lvm-plugin.x86_64 docker-latest.x86_64
yum upgrade -y
groupadd docker
usermod -G docker -a USUARIO
echo "VG=sys" > /etc/sysconfig/docker-storage-setup
docker-storage-setup
systemctl enable docker
systemctl start docker
Si docker ha podido arrancar entonces probablemente está listo para empezar a trabajar.
Obviamente también hay que configurar el DNS del servicio VPN.MISERVIDOR.COM en el servidor correspondiente.
Entrando en materia:
mkdir servicio-VPN.MISERVIDOR.COM
cd servicio-VPN.MISERVIDOR.COM
git clone https://github.com/kylemanna/docker-openvpn
cat <<EOF > docker-compose.yml
version: '2'
services:
openvpn:
build:
context: docker-openvpn/
cap_add:
- NET_ADMIN
image: Mi-ID/openvpn
ports:
- "1194:1194/udp"
restart: always
volumes:
- ./openvpn/conf:/etc/openvpn
EOF
Y continuando con las instrucciones indicadas:
- construimos localmente la imagen docker desde cero de una sola vez:
docker-compose run --rm openvpn ovpn_genconfig -u udp://VPN.MISERVIDOR.COM
- iniciamos la AC local propia (se nos pedirá la contraseña de la clave privada):
docker-compose run --rm openvpn ovpn_initpki
- finalmente lanzamos el contenedor:
docker-compose up -d openvpn
Procedimiento de altas de usuarios
- Alta del usuario:
docker-compose run --rm openvpn easyrsa build-client-full USUARIO nopass
- generación de la configuración local de OpenVPN para el mismo usuario:
docker-compose run --rm openvpn ovpn_getclient USUARIO > USUARIO.ovpn
- Este fichero lo copiaremos a nuestra máquina porque es el que nos habilitará el acceso VPN.
Problema importando configuraciones de OpenVPN y NetworkManager
Personalmente me he encontrado el problema varias veces de que el GUI de configuración de NetworkManager no es capaz de importar los certificados criptográficos al configurar una conexión VPN importando ficheros ovpn. Tras investigarlo varias veces he concluido que se debe a un bug documentado que en mi caso no está resuelto en NetworkManager-openvpn-gnome-1.0.8-2.fc23 pero sí en NetworkManager-openvpn-gnome-1.2.4-2.fc24.
Si aún os encontráis con ese problema habría dos alternativas: o actualizar a una versión reciente de NM o conectarse manualmente desde el CLI:
sudo /usr/sbin/openvpn --config USUARIO.ovpn