Joren Claus Tim Vanden Schrieck

Transcriptie

1 i

2 Joren Claus Tim Vanden Schrieck 18 november 2008

3 Inhoudsopgave 1 Situatieschets Situatieschets Het onthaal De directie Admins (ICT) HowTo s First things first! Debian installeren Handige extra s Asterisk installeren Asterisk basis-configuratie Music on hold Mp3/ogg bestand omzetten naar een bruikbaar asterisk geluidsformaat(.wav.gsm) Asterisk-AGI Perl module voor asterisk installeren Openvpn Installatie van Openvpn Het aanmaken van certificaten bronnen en extra informatie over installatie en certificaten Configuratie openvpn Opstraten van de openvpn server Problemen bij het opstarten van de openvpn server Automatiseren van start up De client starten in linux Installeren en starten van openvpn client in windows Test connectie met server Open vpn en X-Lite A Asterisk: Configuratie files 25 A.1 SIP.conf A.2 Extensions.conf A.2.1 Basis Extensions.conf A.2.2 Probeersels in Extensions.conf i

4 Samenvatting Voor ons project van sip hebben we gekozen voor het opzetten van een Asterisk server. Het doel van onze opstelling was om enkele functionaliteiten van Asterisk te testen en aan de hand van onze bevindingen enkele HowTo te schrijven. Onderwerpen die aanbod komen in deze HowTo s zijn: Debian, Asterisk, OpenVPN, no-ip,... We hebben ervoor gekozen om deze paper in 3 grote delen op te splitsen. Hoofdstuk 1: geeft u een gedetailleerder beeld van het (fictief) bedrijf dat wij hebben gebruikt voor onze opstelling Hoofdstuk 2: Hier vindt u de effectieve HowTo s van nagenoeg alles wat we hebben geïnstalleerd Appendix: Hier kan u al onze configuratie bestanden en dergelijke terug vinden. We hopen dat u onze informatie kan gebruiken, wij hebben in elk geval veel geleerd van dit project!

5 Hoofdstuk 1 Situatieschets 1.1 Situatieschets Voor de configuratie van ons project zijn we uit gegaan van een fictief bedrijf. Om ervoor te zorgen dat u onze config files in de bijlage in de context kan bekijken schetsen we in dit hoofdstuk hoe ons fictief bedrijf eruit ziet Het onthaal Op het onthaal werken 2 wedewerkers. Één van deze medewerkers houd zich bezig met alles omtrend betalingen. vragen die binnekomen zullen door 1 van beide opgenomen worden De directie Binnen de directie vinden we de directeur en de onderdirecteur. Omdat telefoongesprekken naar de directie mogelijk belangrijke informatie bevatten worden deze opgenomen. Om de directie zo beschikbaar mogelijk te hebben zal een vraag voor de directie eerst doorgeschakeld worden naar de directeur en tegelijk naar de gsm van de directeur. Als de directeur zijn gsm opneemt hoort hij een boodschap dat iemand hem beld voor het werk. Opnemen kan hij door op 1 te drukken, anders kan hij gewoon afleggen. Als de directeur niet opneemt op zijn gsm en ook niet op zijn vast toestel, dan wordt de beller doorgeschakeld naar het vast toestel van de onderdirecteur. Al dit doorschakelen gebeurd transparant voor de beller Admins (ICT) Deze mensen moete de server(s) onderhouden binnen het bedrij. Daarom hebben we voor enkele (systeem) taken uit te voeren het admin menu gemaakt. Dit is een verborgen menu. Het wordt niet gelezen als een optie in het hoofdmenu. Omdat in dit menu belangerijke acties ondernomen kunnen worden is dit ook beveiligd met een wachtwoord. 1

6 In dit menu kunnen enkele systeem taken uitgevoerd worden zoals een echo test (alles wat u zegt wordt terug gelezen naar u, om te vertraging tussen u en de server te testen), motd horen & instellen en nog enkele andere dingen. 2

7 Hoofdstuk 2 HowTo s 2.1 First things first! Eerst moeten we een computer of server hebben om alles op te draaien. Wij hebben voor ons project gebruik gemaakt van een Pentium 4, 3Ghz met 1Gb RAM. Deze zou meer dan krachtig genoeg moeten zijn om onze testopstelling te draaien. Voor we iets kunnen beginnen te installeren en/of configureren op ons systeem moeten we een OS installeren. Wij hebben gekozen voor de laatste stable release van debian. 2.2 Debian installeren In tegenstelling tot Windows is het zeer eenvoudig en beduidend sneller om een debian distro te installeren. De stappen die u hiervoor moet ondernemen zijn de volgende: 1. Download de debian release die u wil gebruiken van de website ( en brand deze op een CD. 2. Steek u pas gebrande CD in uw computer en boot van de CD 3. Wanneer het Debian logo tevoorschijn komt, druk op ENTER 4. Choose Language: selecteer English - English 5. Choose Language: selecteer other, selecteer Belgium in deze lijst 6. Select a keyboard layout: selecteer Belgian 7. Even geduld Configure the network: Geef hier de hostname van uw computer in 9. Configure the network: Continue Partition disks: selecteer Guided - use entire disk 11. Partition disks: selecteer de disk (normaal maar 1 mogelijkheid) 3

8 12. Partition disks: Partitioning scheme Create seperate partitions for all folders 13. Partition disks: selecteer Finish partitioning and write changes to disk 14. Partition disks: selecteer Yes 15. Set up users and passwords: Stel een VEILG root wachtwoord in 16. Set up users and passwords: Maak een gebruiker aan, zorg ervoor dat het wachtwoord veilig en niet hetzelfde is als dat van root 17. Even geduld Use a network mirror? -> Yes 19. Configuring the package manager: Debian archive mirror country: Belgium 20. Configuring the package manager: Debian archive mirror: ftp.kulnet. kuleuven.ac.be 21. Configuring the package manager: HTTP proxy information ENTER 22. Configuring popularity-contest: Participate in the package usage survey? No 23. Software selection: Selecteer Standard System met spatiebalk 24. Even geduld Install the GRUB boot loader on a hard disk: Yes 26. Haal CD uit CD-ROM en druk op Continue 27. Uw pas geïnstalleerde debian systeem zou nu moeten booten Handige extra s SSH - installatie en beveiliging Nu hebben we een systeem waarmee we kunnen beginnen te werken. Omdat de server van op afstand toegankelijk moest zijn om eraan te kunnen werken op school hebben we ssh geïnstalleerd. We maken gebruik van ssh omdat dit ons een veilige verbinding kan garanderen in tegenstelling tot bv. telenet. We hebben er ook voor gekozen om de root gebruiker geen login rechten te geven via ssh om het brute forcen van het root wachtwoord tegen te gaan. We gaan ook de poort waarop ssh verbinding maakt veranderen voor de buitenwereld uit veiligheidsoverwegingen. SSH installatie stappen: 1. Zorg ervoor dat u root bent, dit kan door ofwel als root in te loggen ofwel door het commando su uit te voeren en vervolgens het root wachtwoord in te geven. 4

9 2. Geef dan het commando: apt-get install ssh 3. Als er een wachtwoord gevraagd wordt geef dan terug het root wachtwoord in 4. Nu zal uw systeem vragen of hij de gegeven pakketjes mag installeren, antwoord yes op deze vraag 5. Dan zullen alle nodige pakketjes geïnstalleerd worden en de ssh-deamon zal gestart worden. Als alles goed gegaan is zou ssh nu operationeel moeten zijn. Het is echter geen goed idee om deze standaard configuratie te gebruiken. We gaan er nu voor zorgen dat de root gebruiker niet rechtstreeks kan inloggen via ssh. Dit doen we door de volgende stappen uit te voeren: 1. Zorg ervoor dat u root bent, dit kan door ofwel als root in te loggen ofwel door het commando su uit te voeren en vervolgens het root wachtwoord in te geven. 2. Geef in: cd /etc/ssh om naar de map van ssh te gaan 3. Typ in deze map: vim ssh config om de file aan te passen 4. Uncomment in deze file de lijn die zegt: PermitRootLogin no 5. Sla vervolgens de file op door het commando :wq 6. Herstart tot slot de ssh-deamon met het commando restart ssh Vanaf nu kan de root niet meer inloggen via ssh waardoor het niet meer mogelijk is om het wachtwoord van de root te brute forcen via ssh. Tot slot nog 1 belangrijke aanpassing, die ook voornamelijk te maken heeft met veiligheid. Het aanpassen van de ssh-poort voor de buitenwereld. Standaard maakt ssh gebruik van poort 22. Om dit te veranderen kan u in de file /etc/ssh/sshd config de poort aanpassen of u kan een poort forwarden naar poort 22 van de server. Hoe dit in zijn werk gaat is afhankelijk van welke router u heeft. Daarom raden wij aan om even te googelen op de term portforwarding. Als u alles heeft geïnstalleerd dan kan u nu zonder probleem het toetsenbord, de muis en het scherm verwijderen van de computer die u gaat gebruiken als server. U kan hem nu van overal binnen uw netwerk of via het internet bereiken. No-ip installatie en automatisch updaten Waarom no-ip, wat is no-ip? Onze server was geconnecteerd met het internet d.m.v. ADSL. Belgacom gaf ons een dynamisch IP. Hierdoor was het zonder maatregelen onmogelijk om altijd ssh toegang te krijgen tot de server. 5

10 Door middel van no-ip kunnen we gewoon connecteren naar een URL. Deze zal de waarde van het dynamisch IP altijd kennen. De client die we hier gaan installeren zal om het half uur ons ip updaten op de server van no-ip zodat we altijd de mogelijkheid hebben om te connecteren via ssh. Stap 1: maak verbinding via ssh Zoals u in de afbeelding hierboven kan zien moeten we op dit moment nog geen root zijn. Dit is omwille van beveiligingsredenen, downloaden wordt best niet gedaan door de root. Zorg ervoor dat uw terminal begint met een $-teken. Stap 2: maak een map en download de client Het eerste commando zal ervoor zorgen dat u een map aanmaakt om de no-ip client in te downloaden en vervolgens zal u direct in deze nieuwe map terechtkomen. Dan kan u beginnen met het downloaden, dit gebeurd in debian met het commando wget. Als dit allemaal gedaan is kunnen we beginnen met het installeren van de client. Stap 3: Code uitpakken en in de directory gaan 6

11 Deze commando s zullen de code uitpakken in de huidige folder. Nu hebben we de code en kunnen we beginnen met het installeren. Stap 4: word root Om de broncode te compileren moet u root zijn. Dit bekomt u door het commando su in te geven. Dan zal het systeem uw root wachtwoord vragen. LET OP: U zal het wachtwoord niet zien verschijnen. Stap 5: Broncode compileren Nu bent u root, het eerste dat u nu moet doen is de broncode compileren. Typ hiervoor het commando make zoals u ziet in de afbeelding. Uw systeem zal dan een hele hoop gegevens tonen op het scherm, even pauzeren en terug verdergaan. Laat het systeem gewoon doen tot u terug uw #-teken krijgt. Als dit gebeurd is, typt u make install. HELP! een error... Het kan zijn dat u op dit moment een error krijgt die eruit ziet als de onderstaande afbeelding. 7

12 Als u deze error krijgt heeft uw systeem mogelijk niet de nodige bibliotheken om de broncode te compileren. Dit is eenvoudig op te lossen door de commando s in de afbeelding in te geven. Deze commando s zullen de binaries (voor gecompileerde bestanden) kopiëren, deze kan u wel installeren met behulp van make install. Stap 6: Configureren Hier moet u gewoon antwoorden op de vragen die u gesteld worden door het script. U moet de username en het wachtwoord ingeven waarmee u geregistreerd bent op de no-ip website. Een account aanmaken kan u via deze link: Het tijdsinterval mag u laten staan op 30 minuten. Dit heeft ons geen noemenswaardige problemen opgeleverd. Dan heeft u de keuze om een actie te ondernemen als de update succesvol was. Wij hebben dit niet gedaan. Als dit allemaal zonder problemen verlopen is moet u enkel stap 7 nog doorlopen en dan is no-ip klaar om volledig autonoom te werken. HELP! een error... 8

13 Voer deze stap ENKEL uit als u deze error krijgt! Het probleem is dat de installer een bestand probeert te plaatsen op een plaats die niet bestaat. De logische oplossing, deze map aanmaken. Geef hiervoor het commando mkdir /usr/local/etc zorg ervoor dat u nog steeds root bent als u dit uitvoert. Als dit gedaan is, geeft u terug het commando make install en ga terug naar stap 6. Stap 7: No-ip starten bij boot Deze stappen zullen ervoor zorgen dat elke keer u het systeem boot dat de no-ip client ook zal geladen en uitgevoerd worden. 2.3 Asterisk installeren Nu hebben we een werkend systeem dat toegankelijk is van op afstand. Nu is het de moment om met het echte werk te beginnen: de installatie van asterisk! Er zijn verschillende manieren om dit aan te pakken. Wij hebben ervoor gekozen om de broncode te compileren en asterisk zo te installeren. Broncode downloaden Eerst en vooral hebben we de broncode nodig van asterisk om asterisk te kunnen installeren. Via de download knop op de homepage van asterisk kan u te weten komen wat de meest recente versie is. Er is een link opgenomen naar hun FTP-server, waar alle tarballs tevinden zijn. We hebben deze bestanden nodig: 9

14 asterisk-1.4-current.tar.gz asterisk-addons-1.4-current.tar.gz asterisk-sounds tar.gz Nu gaan we deze files downloaden. Het is best om deze in de map /usr/src te zetten. Dit is de map waar u best alle broncodes die u download bewaart om het geheel overzichtelijk te houden. Om de broncode te downloaden naar deze map geef u onderstaande commando s in. root@lucy :/home/root # cd /usr/ s r c root@lucy :/ usr/ s r c # wget f t p :// f t p. digium. com/pub/ a s t e r i s k / a s t e r i s k 1.4 current. t a r. gz root@lucy :/ usr/ s r c # wget f t p :// f t p. digium. com/pub/ a s t e r i s k / a s t e r i s k addons 1.4 current. t a r. gz root@lucy :/ usr/ s r c # wget f t p :// f t p. digium. com/pub/ a s t e r i s k / a s t e r i s k sounds t a r. gz Wanneer deze bestanden binnengehaald zijn, moeten we ze uitpakken. Dat doen we in dezelfde map door middel van de volgende commando s root@lucy :/ usr/ s r c # t a r zxvf a s t e r i s k 1.4 current. t a r. gz root@lucy :/ usr/ s r c # t a r zxvf a s t e r i s k addons 1.4 current. t a r. gz root@lucy :/ usr/ s r c # t a r zxvf a s t e r i s k sounds t a r. gz De broncode van Asterisk, Asterisk-sounds en Asterisk-addons staat nu in /usr/src/. Broncode compileren en installeren Al onze broncodes zijn nu gedownload en uitgepakt in de map /etc/src. Nu gaan we de code compileren. Asterisk-core We gaan beginnen met asterisk zelf te installeren. Om dit te doen gebruikt u volgende commando s. root@lucy :/ usr/ s r c # cd a s t e r i s k 1.4 current root@lucy : usr/ s r c / a s t e r i s k 1.4 current # make root@lucy : usr/ s r c / a s t e r i s k 1.4 current # make i n s t a l l root@lucy : usr/ s r c / a s t e r i s k 1.4 current # make samples root@lucy : usr/ s r c / a s t e r i s k 1.4 current # make clean 10

15 Asterisk-addons Nu we het core systeem van asterisk hebben geïnstalleerd kunnen we de addons installeren. Dit doen we op nagenoeg dezelfde manier. :/ usr/ s r c # cd a s t e r i s k addons 1.4 current root@lucy : usr/ s r c / a s t e r i s k addons 1.4 current # make root@lucy : usr/ s r c / a s t e r i s k addons 1.4 current # make i n s t a l l root@lucy : usr/ s r c / a s t e r i s k addons 1.4 current # make clean Asterisk-sounds Tot slot gaan we nog wat extra geluiden installeren. Voor de extra geluiden is geen compilatie vereist: er moeten enkel bestanden op de juiste locatie komen te staan. Enkel een make install volstaat dus. root@lucy :/ usr/ s r c # cd a s t e r i s k sounds root@lucy : usr/ s r c / a s t e r i s k sounds 1.2.1# make i n s t a l l 2.4 Asterisk basis-configuratie Om de configuratie van asterisk duidelijk te maken gaan we een kort voorbeeld geven van wat u moet configureren om te kunnen bellen tussen 2 telefoontoestellen. Eerst en vooral moet u per telefoon een soort van account aanmaken voor deze telefoon. Via de gegevens die u hier ingeeft zal uw telefoon zich registreren met de server en bepaalde eigenschappen krijgen. Waar u deze account moet aanmaken hangt af van het protocol dat u toestel gebruikt. Zo zijn er aparte configuratiebestanden voor: SIP IAX... Wij hebben gebruik gemaakt van X-lite ( deze softphone gebruikt het SIP protocol. Voor het gebruik van dit toestel gaan we een account maken in de sip.conf file. Deze kunnen we vinden onder /etc/asterisk. Voor onze standaard configuratie willen we het mogelijk maken om te bellen tussen 2 toestellen. Dus moeten we logischerwijs ook 2 accounts aanmaken. Om dit allemaal in orde te krijgen, zetten we de volgende configuratie in sip.conf : 11

16 [ general ] [ ] type= f r i e n d context=default host=dynamic [ ] type= f r i e n d context=default host=dynamic LET OP! Dit is niet mooi, niet veilig, niet flexibel, maar het werkt wel. Gebruik deze configuratie daarom enkel voor testdoeleinden. Even snel overlopen wat deze instructies juist doen. [100] en [101] zijn de nummers van de toestellen. Door het type op friend te zetten, zeggen we tegen ons systeem dat dit toestel mag bellen alsook gebeld worden. host=dynamic geeft weer dat het toestel een dynamisch ip heeft. host= zou bijvoorbeeld een statisch ip toewijzen aan dit toestel. Tot zover de sip.conf file. Nu hebben onze toestellen een identiteit. Nu moeten we er nog voor zorgen dat ze met elkaar kunnen communiceren door middel van de server. Hoe de toestellen met elkaar moeten communiceren of wat er juist moet gebeuren bij bepaalde acties configureren we in de file extensions.conf. Deze file vinden we ook terug in /etc/asterisk. Om het mogelijk te maken om te kunnen bellen naar elkaar met deze 2 toestellen is het voldoende om het volgende in de extensions.conf file te zetten: [ g l o b a l s ] [ general ] [ d e f a u l t ] exten => 10X, 1, Dial ( SIP/${EXTEN}, 2 0 ) exten => 10X, n, Hangup ( ) Ook hier geldt weer dat dit niet veilig is en best enkel gebruikt wordt voor testopstellingen. Even kort een verklaring: Deze regels worden binnen asterisk extensions genoemd, vandaar de afkorting exten. 12

17 Na de exten vindt u een soort regex: 10X. Als het ingetoetste nummer voldoet aan deze regex wordt de extensie uitgevoerd. 10X wil zeggen elk nummer van 100 tot en met 109. Vervolgens hebben we een volgorde van stappen. We beginnen bij 1 en gaan verder met n. Deze mogen ook gewoon genummerd worden i.p.v. de n -notatie. Dan vinden we de applicatie die gebruikt moet worden. In dit geval is dat Dial(). Dial() krijgt 3 parameters mee. SIP is het protocol dat hij moet gebruiken om de verbinding te maken. ${EXTEN} is een variabele van asterisk zelf. Deze variabele bevat het nummer van het ingetoetste nummer. Tot slot het nummer 20. Dit is in seconden hoelang de telefoon zal rinkelen. Tot slot, als er binnen de 20 sec niemand opneemt zal er naar de volgende regel in de extentie gegaan worden. Die bevat de applicatie Hangup(). Deze doet wat u denkt, hij hangt op, daardoor wordt de connectie verbroken. Dit is een zeer eenvoudige configuratie. Wil u meer weten over meer geavanceerde mogelijkheden van asterisk verwijzen we u graag door naar deze website: Hier vindt u gedetaïlleerde informatie + voorbeelden i.v.m. de mogelijkheden van asterisk. U kan aan de hand van de situatiebeschrijving en onze configuratiefiles (zie bijlagen) wat experimenteren. 2.5 Music on hold Asterisk laat toe nieuwe muziek toe te voegen aan de standaardbibliotheek. Alle muziek die asterisk gebruikt bevindt zich in de map /var/lib/asterisk/sound. Asterisk ondersteund verschillende formaten:.wav.gsm,zijn de meest gebruikte. Om een bepaald muziek bestand( bv blabla.mp3) te gebruiken in asterisk moet u het muziekbestand omzetten naar een formaat dat asterisk kent(.wav,.gsm) Mp3/ogg bestand omzetten naar een bruikbaar asterisk geluidsformaat(.wav.gsm) Hiervoor maken we gebruik van het programma sox (the Sound exchange utility) Zorg dat u root bent en voer dit commando uit: apt-get install sox Ga naar de directory waar de muziekbestanden, die u wilt gebruiken in asterisk, zich bevinden. sox wiltura.ogg -r c 1 -s -w /var/lib/asterisk/sounds/wiltura.wav resample -q sox wiltura.mp3 -r c 1 -s -w /var/lib/asterisk/sounds/wiltura.wav resample -q 13

18 2.6 Asterisk-AGI Asterisk gateway interface is een extra functionaliteit in asterisk. Hiermee is het mogelijk om gebruik te maken van verschillende programmeertalen zoals Perl, PHP, C, Pascal. Met AGI is het bijvoorbeeld mogelijk een dialplan in perl te schrijven of bepaalde onderdelen ervan. De scripts geschreven in 1 van deze bovenstaande talen worden dan vanuit extensions.conf opgeroepen. Wij hebben bij ons project gebruik gemaakt van Perl, hiervoor moeten de nodige libraries geïnstalleerd worden Perl module voor asterisk installeren Download libasterisk-agi-perl van Untar het bestand Navigeer in de nieuwe directory Zorg ervoor dat u root bent zodat u voldoende rechten heeft. Om root te worden gebruikt u het commando su Geef het volgende commando: perl Makefile.pl Geef het volgende commando: make all Geef het volgende commando: make install Nu is het mogelijk om perl scripts te schrijven die in communiceren met het dialplan. Via extensions.conf wordt dit script dan opgeroepen. Een simpel voorbeeld is ons zelfgemaakte sprekende klok script. #!/usr/bin/perl -w use Asterisk::AGI; $AGI = new Asterisk::AGI; my %input = $AGI->ReadParse(); my ($sec,$min,$hour,$mday,$mon,$year,$wday,$yday) = localtime(time); $AGI->set_variable(UUR, $hour); # de variable UUR krijgt het uur toegekend $AGI->set_variable(MIN, $min); # de variabele MIN krijgt het aantal minuten toegekend Elk AGI script dat u maakt, moet in de directory /var/lib/asterisk/agi-bin opgeslagen worden. LET OP! Het script moet uitvoerbaar zijn. In extensions.conf moeten we aangeven dat het script moet worden uitgevoerd als men naar het nummer van de sprekende klok belt. 14

19 [klok] exten => 15,1,Answer() exten => 15,n,Set(UUR=00) exten => 15,n,Set(MIN=00) exten => 15,n,Festival(Lucy talking watch) ;Festival zorgt ervoor dat deze tekst uitgeproken wordt exten => 15,n,Festival(The time now is) exten => 15,n,Wait(1) exten => 15,n,AGI(tim.pl) ;het perl script wordt opgeroepen en uitgevoerd, ;hierna gaat men gewoon voort met het dial plan ;het perl script zal de variabelen uur en min ;met de juiste waarde invullen. exten => 15,n,SayNumber(${UUR}) ;Het uur wordt gezegd exten => 15,n,Festival(hour and) exten => 15,n,SayNumber(${MIN}) ;de minuten worden gezegd exten => 15,n,Festival(minutes) exten => 15,n,Hangup() 2.7 Openvpn We hebben gebruik gemaakt van openvpn om een vpn op te zetten tussen verschillende computers buiten ons LAN. Dit laat ons toe om vanaf overal te kunnen bellen. De computers binnen ons vpn gedragen zich als gewone LAN computers. Dit laat toe dat er communicatie kan plaatsvinden tussen onze clients en onze server(=openvpn server + asterisk server) Het idee om meer dan enkel lokaal te kunnen bellen, speelde al lang in ons hoofd. In het begin dachten we dat het bijna onmogelijk zou zijn, omwille van de firewall en het dynamisch ip adres. Maar dan dachten we aan VPN s. In het begin hebben we gebruik gemaakt van hamachi. Een programma dat gratis op het internet te downloaden en te gebruiken is om een VPN op te zetten. Dit programma werkte goed maar had een paar grote nadelen: De VPN server was niet van ons, er kon dus niet veel geconfigureerd worden (bv het ip adres kiezen,...) Indien men Hamachi zou gebruiken voor een bedrijf, zou men een licentie moeten aankopen, deze zijn zeer duur Omwille van deze nadelen zijn we overgeschakeld naar openvpn, een opensource programma met veel configuratiemogelijkheden. Openvpn is makkelijk op te zetten, en met een paar wijzigingen aan de configuratie hebt u al snel een werkende vpn. 15

20 2.7.1 Installatie van Openvpn We hebben ons hiervoor gebaseerd op een reeds bestaand HowTo, die te vinden is op de site van openvpn: Openvpn is beschikbaar voor Windows, Linux en Mac. Deze HowTo is geschreven voor ons debian systeem (een gekende linux distributie). Downloaden van de installatie bestanden: Untar: tar -xfz openvpn-[version].tar.gz Navigeer in de nieuwe directorycd: openvpn Zorg ervoor dat u root bent. U wordt root door het commando su Geef het volgende commando:./configure Geef het volgende commando: make Geef het volgende commando: make install Indien alles goed verlopen is, hebt u openvpn succesvol geïnstalleerd! Foutmeldingen bij de installatie van Openvpn Indien u errors krijgt bij de installatie of de compilatie, kijk dan altijd na of u root bent en of de nodige libraries geïnstalleerd zijn. Door de error code te lezen en te googelen is het probleem meestal snel verholpen. Op de site van openvpn is er ook voldoende informatie aanwezig om de problemen makkelijk op te lossen( Het aanmaken van certificaten OPGELET!: voor het aanmaken van certificaten dient openssl geïnstalleerd te zijn. Het aanmaken van certificaten is aangeraden omwille van beveiliging. Nodige certificaten : cd CA certificaat & key Server certificaat & key Client certificaten & keys Definiren van de nodige variabelen /home/root/openvpn 2.0.9/ easy rsa In deze map vindt u de nodig scripts om de certificaten aan te maken. We gaan eerst de globale variabelen definiëren met het script vars. 16

21 vim vars Dit zijn de nodige variabelen die u dient aan te passen : export KEY COUNTRY=BELGIUM export KEY PROVINCE=VLAAMS BRABANT export KEY CITY=LEUVEN export KEY ORG= ASTERISK TEST export KEY = asterisksip@gmail. com U kunt nog meer variabelen aanpassen, om te zeggen waar de keys zullen worden opgeslagen. Nadat u de nodige aanpassingen hebt aangebracht en deze ook heeft opgeslagen, moet u het script uitvoeren../vars./clean-all Het script clean-all zal de nodige key map aanmaken, als deze nog niet zou bestaan. Als deze reeds zou bestaan zal het script deze map leegmaken. Het CA certificaat aanmaken./build-ca Met dit commando wordt het script build-ca opgeroepen, dit script zal op zijn beurt openssl oproepen met de nodige parameters en variabelen om het certificaat aan te maken. Indien er zich geen fouten voordoen worden er verschillende vragen gesteld voor het opstellen van het certificaat. Indien er zich wel fouten voordoen zoals bv geef KEY DIR in is er hoogstwaarschijnlijk iets foutgelopen met het invullen van de variabelen in het script vars. Kijk na of het script de nodige rechten heeft Kijk na of de variabelen die u definieerde juist zijn Kijk na of in de map /home/root/openvpn-2.0.9/easy-rsa de nodige bestanden aanwezig zijn zoals openssl.cnf. Lees de read me die aanwezig is de easy-rsa directory. Indien u echt alles juist heeft gedaan en geen fout kan terugvinden, kan u altijd eigenhandig de certificaten aanmaken. Hierbij dient u eigenhandig de variabelen in openssl.cnf aan te passen en de juiste directories te definiren. root@lucy :/home/root/openvpn 2.0.9/ easy rsa # openssl req days 3650 nodes new x509 keyout ca. key out ca. c r t config openssl. cnf 17

22 Nadat u succesvol het CA certificaat heeft aangemaakt moet u de andere certificaten nog aanmaken./ build key server server./ build key c l i e n t 1./ build key c l i e n t 2./ build key c l i e n t 3 Verdeling van de certificaten bronnen en extra informatie over installatie en certificaten Voor verdere informatie over de installatie en de certificaten zie: Configuratie openvpn Nadat openvpn geïnstalleerd is en de nodige certificaten zijn aangemaakt kunnen we overgaan naar de configuratie van de server en clients. Deze configuratie is vrij simpel. Met deze HowTo is het mogelijk om een (normale) vpn werkend te krijgen. root@lucy :/home/root/openvpn 2.0.9/ sample config f i l e s # c l i e n t. conf server. conf De belangrijkste bestanden in deze directory zijn server.conf en client.conf en de readme. l s Routed or bridged VPN dev tun : z a l een gerouteerde ip tunnel opzetten dev tap : z a l een e t h e r n e t tunnel opzetten Het grote verschil is dat met dev tap ethernet pakketjes worden uitgewisseld en met dev tun ip pakketjes worden uitgewisseld. Wanneer u aan bridging wenst te doen, moet u gebruik maken van dev tap, deze hebben een ethernet hoofding nodig. Dev tun wordt gebruikt voor routing. Routed vpn is in het algemeen makkelijker op te zetten dan bridged vpn. Gemakkelijkheidshalve maken wij gebruik van dev tun. Meer informatie hierover: 18

23 Server configuratie vim server. conf Dit zijn de belangrijkste aspecten van de server.conf file: port 1194 # de poort d i e openvpn z a l gebruiken deze # dient in de f i r e w a l l geforward t e worden proto udp # het protocol dat gebruikt wordt dev tun # h i e r heb j e de keuze om t e kiezen tussen dev tun of dev tap # Hier moet u de j u i s t e verwijzing opgeven naar uw key map. ca /home/root/keys/ca. c r t c e r t /home/root/keys/server. c r t key /home/root/keys/server. key # This f i l e should be kept s e c r e t # welke i p range ga i k gebruiken voor mijn vpn #de server z a l automatisch z i j n server # Met deze o p t i e l a a t u toe dat de c l i e n t s met e l k aar kunnen communiceren #en n i e t a l l e e n met de server c l i e n t to c l i e n t # met deze o p t i e g e e f t u aan hoeveel c l i e n t s # er maximum met de server mogen verbonden z i j n max c l i e n t s 100 Met deze basis configuratie zou het voldoende moeten zijn om de openvpn server te laten werken en een simpel vpn netwerk op te starten. Met openvpn is er veel meer mogelijk dan hier beschreven wordt, het is namelijk mogelijk om bijvoorbeeld routes te pushen naar een client, zodat deze andere private netwerken achter de server kan bereiken en omgekeerd! En dat bijvoorbeeld de router van een LAN gezien wordt als een openvpn client en de clienten op dat LAN netwerk via de router ook toegang krijgen op de vpn. Meer informatie :