DEEL 2: Maak van je Raspberry NAS een VPN server

Transcriptie

1 Inhoud 1 Inleiding Voorbereidingen Voor het instellen van de router Met een Linux PC: Met een Windows PC: Router instellen Raspberry-NAS een vast IP adres Instellen router OMV Set-up Update OMV software Toevoegen van VPN service aan OMV Inrichten VPN server In OMV VPN aanzetten: Back-up maken Inrichten van een VPN client VPN Certificaten aanmaken en downloaden Maak van je Linux laptop een VPN cliënt Maak van je Windows laptop een VPN cliënt BIJLAGE Instructie instellingen KPN ZTE H220 router (Experiabox) voor VPN: Aan je Raspberry-NAS een vast IP adres toekennen: Port forwarding PHCC/az pag. 1 versie

2 WAARSCHUWING: SOMMIGE ONDERDELEN VAN DEZE INSTRUCTIE VRAGEN VEEL VERWERKINGSTIJD. ADVIES IS OM DE HANDLEIDING EERST RUSTIG DOOR TE LEZEN EN VOOR HET UITVOEREN VAN DE HANDLEIDING RUIM EEN UUR TE RESERVEREN 1 Inleiding In het voorgaande deel van dit paper hebben we van onze Raspberry Pi een z.g. NAS (Network Attached Server) gemaakt. Met zo n NAS kan je verschillende functies uitvoeren. In dit deel van het paper gaan we ons richten op het inrichten van je Raspberry NAS als VPN server, VPN staat voor Virtual Private Network. Eerst nog even wat achtergrondinformatie over VPN. Het schema van een VPN-netwerk ziet er als volgt uit: In bovenstaand schema is mijn laptop (links boven) de VPN cliënt in de locatie buitenshuis (bijv. je vakantieadres), van waaruit je een veilige tunnel (groen/geel) opzet via je eigen modem/router (LAN) met je VPN server (Raspberry-NAS thuis). De rode pijl geeft de route die je zou volgen als je niet van de VPN tunnel gebruik maakt, rood omdat deze kwetsbaar is voor misbruik. Wil je vanuit je locatie buitenshuis veilig internetten, zoals internetbankieren, of Netflix kijken, dan zet je VPN aan en typt het inlog adres van je bank of Netflix in de webbrowser, waardoor je via je de beveiligde tunnel en je lokale thuisnetwerk (waar je Raspberry-NAS inhangt) contact maakt over de door je bank aangeboden https beveiligde verbinding (geel) resp. met Netflix, die niet ziet dat je vanuit een andere dan je thuislocatie inlogt en daarmee de verbinding zou blokkeren; het is dus alsof je vanuit huis met je bank of Netflix over internet communiceert. Om VPN in te richten moet je je dus op 3 onderdelen richten: 1. Het instellen van je router thuis om VPN te faciliteren 2. Het inrichten van je Raspberry NAS als VPN server PHCC/az pag. 2 versie

3 3. Het inrichten van je VPN client, de laptop of telefoon waarmee je buitenshuis veilig wilt internetten via VPN 2 Voorbereidingen 2.1 Voor het instellen van de router Met een Linux PC: a. de benodigde sw installeren we tijdens het configureren van een VPN cliënt in Linux Met een Windows PC: a. Om netwerk- en MAC adressen in ons LAN te tonen het gratis SW pakket Netwerk watcher: Win Network Watcher b. Om een VPN client aan te maken die onder Windows draait: Windows OpenVPN client SW 2.2 Router instellen Voordat we de Raspberry-NAS als VPN server gaan configureren m.b.v. OMV moeten we de eerst 1. De Raspberry-NAS van een vast IP adres voorzien in de router 2. De router voorzien van de juiste poortnummers om van buiten ons thuisnetwerk (LAN) de VPN client te kunnen bereiken. Een waarschuwing is wel op z n plaats, niet experimenteren met de instellingen van je router, alleen datgene wijzigen dat hieronder wordt beschreven aan de hand van de handleiding van je router Raspberry-NAS een vast IP adres Eerst ga je op zoek naar het IP adres en het MAC adres van je Raspberry-NAS In Linux Open het terminalvenster en type in de commandline, die eindigt met $, het volgende commando: arp -a en druk op de [Enter] toets. Het resultaat zou er ongeveer als volgt uit kunnen zien: Je ziet 2 IP adressen, het onderste herkennen we als de aangesloten Raspberry-NAS (zie hoofdstuk 4.2 van het paper) en de bovenste kennen we nog niet. Voer het bovenste ip-adres in de adresregel (zonder verdere toevoegingen als www. e.d.) van je webbrowser (bijv. Firefox of Internet Explorer) en tik de [Enter] toets in. Wat blijkt, er wordt verbinding met de router gemaakt, dus is dit kennelijk het IP adres van je router. PHCC/az pag. 3 versie

4 Noteer het IP adres + MAC adres van je Raspberry-NAS en het IP adres van je router In Windows Installeer het gedownloade programma Wireless Network Watcher en voer het uit. Je LAN wordt gescand en na enige tijd wordt onderstaand scherm getoond: Hierin tref je dezelfde gegevens aan als we in Linux zagen, zij het iets uitgebreider: Noteer het IP adres en het MAC adres van de Raspberry-NAS (Raspberry Pi Foundation) evenals het IP adres van de router (zte corporation) om je router in te stellen Instellen router Omdat er vele routers zijn is het onmogelijk voor iedere router de geëigende instructies te beschrijven. Daarom hier de belangrijkste uitgangspunten en als bijlage de instructies voor de KPN router ZTE 220N (experiabox) Vast IP adres toekennen aan een in je thuisnetwerk aangeslote apparaat (hier dus de Raspberry-NAS) Het DHPC (= dynamic host configuration protocol) bepaalt binnen je router de bij de aangesloten apparaten behorende IP adressen, maar op een dynamische wijze, dus dat IP adres kan wijzigen. Zoek naar het menu waarin je het IP adres van je Raspberry-NAS en het MAC adres van je Raspberry-NAS kan invoeren. Zoek bijvoorbeeld naar LAN of Internet en daarbinnen naar DHCP of DHCP-binding. Omdat het MAC adres van je Raspberry-NAS nooit verandert leidt het koppelen van het IP adres van je Raspberry-NAS aan het MAC adres van je Raspberry-NAS er toe dat ook het IP adres van je Raspberry- NAS altijd hetzelfde blijft en dat wil je in geval van VPN. Test of je het apparaat op jouw lokale netwerk voor de gewenste functionaliteit goed kunt benaderen. Zolang dat niet 100% goed werkt heeft het ook geen zin om met de port-forwardings te beginnen. Noteer het IP adres van je Raspberry-NAS en de poort(en) die gebruikt worden, ook of het TCP of UDP poorten betreft. (Raadpleeg eventueel de handleiding van het apparaat voor het uitvoeren van portforwarding in je eigen router). PHCC/az pag. 4 versie

5 Als je in jouw LAN via je webbrowser je Raspberry-NAS kan bereiken, dan kan port-forwarding ingesteld worden. Ga op zoek in de handleiding van je router naar vast ip adres instellen Port Forwarding Waarom portforwarding? Wil jij een apparaat op jouw eigen netwerk vanaf het Internet kunnen benaderen, dan moet de "bewegwijzering" goed ingesteld zijn. UPnP en port-forwarding spelen een essentiële rol in deze "bewegwijzering". Op Internet draait alles om IP adressen en poorten. Zo heeft jouw router één publiek IP adres (in de consumenten markt) en zijn al jouw apparaten dus op dat ene IP adres te benaderen. De poorten zijn onderverdeeld in twee groepen (TCP en UDP) en staan eigenlijk voor protocollen of functionaliteit. Zo is TCP poort 80 het HTTP protocol, TCP poort 443 het HTTPS protocol en UDP 5060 het SIP (telefonie) protocol. Elk datapakketje dat op Internet verstuurd wordt is voorzien van een afzender (IP-adres en poortnummer) en een geadresseerde (IP-adres en poortnummer). Tik je bijvoorbeeld in je browser dan wordt eerst via de DNS server bepaald wat het IP adres van is ( ) en vervolgens wordt een bericht naar dat IP adres en TCP poort 80 gestuurd. Probeer maar, brengt je ook op de site van KPN. Tik je in een browser " publieke IP adres" (Bijvoorbeeld: dan wordt het bericht dus naar jouw router gestuurd op TCP poort 80. Maar ja, dan moet het dus nog door naar het apparaat op jouw lokale netwerk die het antwoord moet gaan geven. Dit is waar de NAT (Network Address Translation) functionaliteit van jouw router in actie komt. Op basis van de gedefinieerde port-forwardings wordt het LAN IP adres bepaald waar het bericht naar doorgestuurd moet worden. Als je bijvoorbeeld een port-forwarding voor TCP poort 80 naar het LAN IP adres hebt gedefinieerd, dan wordt het bericht daar naar doorgestuurd. Vergelijk het maar met een telefooncentrale, bereikbaar met een publiek telefoonnummer. Als je iemand wilt spreken toets je een toestelnr. in, dat is vergelijkbaar met het portnummer Hoe stel je Port Forwarding in Het bestaat uit 3 stappen: 1. Voer een nieuwe toepassing naam in (bijv. Raspberry VPN) en voorzie die van de juiste poortnummers, bijv. Start Port=1194, End Port=1194, Start Mapping Port=1194, End Mapping Port=1194. In de meeste routers zijn al een heleboel toepassingsnamen standaard beschikbaar, zoals voor allerlei games en server functies, maar niet voor deze specifieke VPN toepassing dus die moeten we maken PHCC/az pag. 5 versie

6 2. Kies het juiste verbindingsprotocol, in geval VAN VPN dmv OMV is dat UDP 3. Koppel de zojuist aangemaakte naam (Raspberry VPN) aan het IP adres van het apparaat waarmee moet worden verbonden (Raspberry NAS) Ga dus op zoek naar een scherm in je router waar je 1) een naam voor een toepassing kan invoeren ({Application Name}, bijv. Raspberry VPN en de betreffende poortnummers kan invoeren ({Start Port}, {End Port}, {Start Mapping Port} en {End Mapping Port}, 2) een protocol kan kiezen ({Protocol}) en 3) de in stap 1 ingevoerde naam kan koppelen aan het IP adres van je Raspberry-NAS. Het verschil tussen Start Port en Start Mapping Port aan de hand van volgend voorbeeld: Stel dat je het als volgt invult: Start Port: 4080 End Port: 4080 Start Mapping Port: 80 End Mapping Port: 80 Daarna een apparaat toevoegen, bijv. je Raspberry-NAS met ip-adres en de applicatie met naam Raspberry-NAS eraan koppelen. Start Port en End Port bepalen hoe je vanaf buiten je thuisnetwerk bij je Raspberry-NAS kan komen, door in de adresregel van je webbrowser ip-adres van je router>:4080 in te voeren. Start Mapping Port en End Mapping Port bepalen hoe je binnen je LAN (thuisnetwerk) bij je Raspberry- NAS kan komen met ip-adres van je Raspberry-NAS>:80 3 OMV Set-up 3.1 Update OMV software Nadat je je thuisrouter aldus hebt ingesteld gaan we onze Raspberry-NAS zo instellen dat die als VPN server kan functioneren. Open OMV in je webbrowser met het IP adres van je Raspberry-NAS, voer naam Admin in en het door jou eerder gewijzigde wachtwoord in en klik op [Aanmelden]. Omdat we al enige tijd geen updates hebben geladen doen we dat eerst door in het Set-up menu links Update Management te selecteren, waardoor onderstaand scherm wordt getoond (geduld): PHCC/az pag. 6 versie

7 We vinken het vakje voor {Pakketinformatie} aan en klikken op [+ Bijwerken]. Reken hiervoor op 15 tot 30 minuten, niet onderbreken! Pas als onderin het witte venster, waarin de voortgang van het update proces wordt getoond de tekst Klaar verschijnt kan je op [Sluiten] klikken en vervolgens op [Herladen] om alles bij te werken. 3.2 Toevoegen van VPN service aan OMV Mocht je OMV Set-up menu (linker kolom) in de categorie Services nog geen {OpenVPN} bevatten dan moet OpenVPN worden toegevoegd. Dat doen we door in het set-up menu {Extensies} te selecteren, hetgeen een scherm opent. In het zoekveld rechtsboven (vergrootglaasje) voer je in vpn in, waarmee de VPN extensie in het scherm verschijnt. Vink het selectie vakje voor aan de regel aan en klik op [+ Installeer]. Zodra gereed volgt een pop-up schermpje met de mededeling dat de pagina wordt herladen om de gemaakte wijzigingen door te voeren, klik op [Ok] en wacht tot het OMV scherm opnieuw is geladen. PHCC/az pag. 7 versie

8 Na herladen is het onderdeel Services in het set-up scherm als volgt uitgebreid met OpenVPN: Hier gaan we in de volgende paragraaf mee aan de slag 3.3 Inrichten VPN server In OMV VPN aanzetten: Klik in het OMV set-up menu op OpenVPN. Het VPN configuratiescherm verschijnt: 1) Schakel VPN in 2) Zorg dat poort 1194 en UDP zijn ingesteld 3) Schakel PAM authentication in 4) Zet {Gateway interface} op eth0 mbv de pijltjestoets rechts 5) Zet {Standard Gateway} aan 6) Voer hier het WAN IP adres van je router in PHCC/az pag. 8 versie

9 Als je bovenstaande wijzigingen hebt ingevoerd klik je op [V Opslaan] bovenaan en vervolgens op [V Toepassen] rechtsboven. Hou er rekening mee dat je na deze instellingen te hebben opgeslagen het toepassen (in gele veld boven rechts) al gauw zo'n 30 tot 60 minuten in beslag kan nemen) Back-up maken Op Linux PC Onderstaande instructie eerst met een proefbestandje uitproberen, heb ikzelf nog niet gedaan! Gebruik DD met grote voorzichtigheid. De bijnaam is Destroy Disk, omdat het weliswaar een zeer krachtig commando is, maar ook je harddisk gemakkelijk kan beschadigen bij onzorgvuldig gebruik. Twijfel je probeer dan de back-up op een WIN PC te maken, zie volgende paragraaf. Het commando is dd if=/dev/sdb of=/path/to/backupfile.img Waarin sdb de locatie van de SD-kaartlezer in je PC is, /path/to/ de systeemmap waar je de back-up wilt opslaan en backupfile de naam die je het bestand wilt geven Dit zal de gehele inhoud van sdb kopiëren naar het bestand genaamd backupfile.img Als je niet zeker weet wat de stationsnaam van je micro-sd kaart (sdb, sdc enz.) is, dan kan je het tail commando gebruiken. Sluit de micro SD kaart nog niet aan en voer het volgende commando in: tail -f /var/log/messages. Steek dan uw USB-apparaat in en kijk in de nieuwe lijnen die verschijnen, maak een notitie van de ID - het zal iets zijn zoals sda1, sdb1, sda2, sdb2 etc. Tik op je toetsenbord [CTRL]+[C] in om the tail proces te stoppen. PHCC/az pag. 9 versie

10 Op Windows PC Nu je OMV hebben ingesteld om je Raspberry-NAS als VPN server te kunnen laten werken maken we eerst een Back-up van het micro-sd kaartje in je Raspberry-NAS. Schakel de Raspberry-NAS uit door op de pijltjesknop naast de 3 puntjes rechtsboven te klikken en klik op Uitschakelen. Als de Raspberry is uitgeschakeld kan je veilig (d.w.z. zonder SW beschadigingen) het sd micro kaartje uit je Raspberry-NAS verwijderen nadat je de stroom eraf hebt gehaald. Stop het micro SD kaartje vervolgens, al of niet m.b.v. een card adapter, in de cardreader van je PC en gebruik de WIN32 Disk Imager in Windows om een back-up te maken van je OMV met basisinstellingen tot dusverre. Als je WIN32 Disk Imager hebt geopend geeft het veld Device de letter van de drive waar je micro SD card inzit. Nu klik je op het map icoontje daarnaast, zodat je in het pop-up scherm de plaats kan selecteren op je PC waar je de back-up wilt plaatsen. Onderin typ je de naam die je aan je back-up wilt geven, omv3backup2, vervolgens klik je nu op [Read] en het schrijfproces begint, dit neemt ongeveer 30 minuten in beslag. Haal, nadat het back-up proces gereed is het micro-sd kaartje uit je PC, stop het weer in je Raspberry Pi, sluit de voeding aan en laat hem rustig opstarten. 4 Inrichten van een VPN client De laatste stap is het inrichten van je Laptop als VPN client, ma.w. je laptop waarmee je buitenshuis via VPN wilt internetten. PHCC/az pag. 10 versie

11 4.1 VPN Certificaten aanmaken en downloaden 1. Open een webbrowser op je laptop en voer het IP adres van je Raspberry-NAS in, OMV wordt geopend, log in met admin en het door jou gewijzigde wachtwoord. 2. Selecteer in het set-up menu links {OpenVPN}: 3. Klik op [Certificaten] en op [+ Toevoegen]: 4. In het veld {Gebruiker} selecteer je mbv het pijltje rechts de gebruikersnaam die je in OMV hebt aangemaakt. 5. In het veld {Standaardnaam} voer je de naam die je aan je VPN client wilt geven in, bijv. laptop. 6. Klik op [Opslaan] PHCC/az pag. 11 versie

12 7. Downloadt vervolgens het certificaat naar je Linux laptop door het certificaat eerst te selecteren en dan op de knop [Download certificaat te klikken]: 8. Bevestig dat je het certificaat genaamd openvpn-laptop.zip wilt opslaan door op [OK] te klikken. 9. Het certificaat is in de map Downloads opgeslagen als zip bestand. 4.2 Maak van je Linux laptop een VPN cliënt 1. Open een Terminal venster 2. Voer na de opdrachtprompt $ het commando sudo apt-get install openvpn in en klik op [Enter], zonodig gevolgd door het invoeren van het Linux wachtwoord waarmee je op je laptop inlogt. 3. Check na installatie of ovpn-versie 2.1 of hoger is geïnstalleerd mbv commando sudo openvpn --version 4. Pak dit bestand uit door met rechtermuisknop er op te klikken en openen met Archiefbeheer aan te klikken. 5. Het bestand wordt nu uitgepakt in de download map en bestaat uit de volgende 5 bestandjes 1. laptop-client.ovpn 2. laptop-client.key 3. laptop-client.crt 4. laptop-client.conf 5. laptop-ca.crt PHCC/az pag. 12 versie

13 6. Omdat deze bestanden in de map openvpn moeten komen moeten de rechten voor deze map eerst worden aangepast 7. Ga met commando cd /etc naar de map /etc 2. Voer commando sudo chmod 777 openvpn in 8. Open de map /Downloads en copieer alle 5 bestandjes uit pt. 5 en plak deze in de map /etc/openvpn 9. Zet de rechten van de map openvpn weer terug naar 755 mbv commando sudo chmod 755 /etc/openvpn 10. Ga via de commandline Ga naar de map /openvpn met commando cd /etc/openvp 11. Nu kunnen we de OpenVPN client opstarten mbv. commando sudo openvpn --config laptop-client.ovpn, LET OP de naam laptop-client.ovpn is de naam van het uit OMV gedownloade certificaat, dus dit dien je zelf aan te passen, mocht je het een andere naam hebben gegeven! 12. Voer eerst je Linux wachtwoord in 13. Dan wordt een naam en opnieuw een wachtwoord gevraagd, dat zijn naam en wachtwoord van de gebruiker die je in OMV hebt aangemaakt, voer eerst naam in gevolgd door [Enter] op je toetsenbord, dan wordt wachtwoord gevraagd, voer dit in gevolgd door [Enter] op je toetsenbord 14. Nu wordt de tunnel opgezet en die is gereed als de laatste regel luidt: <Datum en tijd> Initialization Sequence Completed 15. Minimaliseer het terminalvenster, maar sluit het niet 16. Check of de tunnel werkt in een nieuw geopend Terminalvenster (je hebt nu dus twee terminalvensters openstaan) met commando ifconfig: De VPN tunnel werkt als in de output die verschijnt de 3 e positie Tun0 00 de VPN-tunnel laat zien met o.a. het IP adres van je VPN server ( ) 17. Indien je de VPN-sessie wilt beeindigen vergroot je het eerder geminimaliseerde terminalvenster, waarin je de vpn tunnel startte tik je [CTRL]+[C] op je toetsenbord. 4.3 Maak van je Windows laptop een VPN cliënt Hiertoe downloadt je openvpn van de website en volg je de instructies voor installatie en gebruik op PHCC/az pag. 13 versie

14 5 BIJLAGE Instructie instellingen KPN ZTE H220 router (Experiabox) voor VPN: 5.1 Aan je Raspberry-NAS een vast IP adres toekennen: In de KPN router ZTE H220N klik je op de tab {Network} waarmee een menuutje links wordt geopend, selecteer {LAN} en vervolgens {DHCP Binding}. Er wordt een nieuw scherm geopend: Hierin kunnen we een IP adres koppelen aan een MAC adres en dat is wat we willen. In bovenstaande schermafdruk is die koppeling reeds gemaakt. Zodoende heeft je Raspberry-NAS altijd hetzelfde IP adres. Test of je het apparaat op jouw lokale netwerk voor de gewenste functionaliteit goed kunt benaderen. Zolang dat niet 100% goed werkt heeft het ook geen zin om met de port-forwardings te beginnen. Noteer het IP adres van je Raspberry-NAS en de poort(en) die gebruikt worden, ook of het TCP of UDP poorten betreft. (Raadpleeg eventueel de handleiding van het apparaat voor het uitvoeren van portforwarding in je eigen router). Als je in jouw LAN via je webbrowser je Raspberry-NAS kan bereiken, dan kan port-forwarding ingesteld worden. 5.2 Port forwarding Nu gaan je ervoor zorgen dat poort 1194, welke door de VPN server (=je Raspberry-NAS) wordt gebruikt om verbinding te maken met je LAN, verbonden wordt met je VPN server, dus met je Raspberry-NAS. Dit gebeurt in je router d.m.v. portforwarding. In de hier als voorbeeld gegeven router van KPN klik je daarvoor bovenin op de tab {Application} waarmee in het linkermenu {Port Forwarding} kan selecteren: PHCC/az pag. 14 versie

15 In dit voorbeeld klik je op Click here to ad an application waarmee onderstaand scherm wordt geopend: PHCC/az pag. 15 versie

16 Voer in veld {Aplication Name} Raspberry VPN in, wijzig {Protocol} in UDP en vooer in de volgende 4 velden het poortnummer 1194 in en klik op [Add]. Het resultaat is onderstaand scherm: Je ziet dat Raspberry VPN nu voorzien is van het UDP protocol met poortnummers Nu klikken we op [Back] rechtsonder, waardoor we in onderstaand scherm terecht komen: PHCC/az pag. 16 versie

17 Hier voer je in het veld {LAN Host IP Address} het IP adres van je Raspberry-NAS in en in het veld {AppName} selecteer je de naam die je hiervoor hebt ingevoerd, n.l. Raspberry VPN. Dan klik je op [Add] en de Raspberry-NAS-VPN is ingesteld mbv Portforwarding op poort 1194: PHCC/az pag. 17 versie

18 Nu hebben we ons netwerk thuis juist ingesteld om de Raspberry-NAS z n werk te laten doen als VPN server. PHCC/az pag. 18 versie