Configuratie van VPN met OpenVPN Met pfsense als Firewall/Router

Transcriptie

1 Cnfiguratie van VPN met OpenVPN Met pfsense als Firewall/Ruter Vrbereiding (Windws 7 p lkale netwerk) Bekijk eerst f de machine crrecte netwerkgegevens heeft verkregen van de pfsense ruter: Open cmd en typ ipcnfig /all Indien deze gegevens niet vereenkmen zals verwacht, meten de (virtuele) netwerkaansluitingen gecntrleerd wrden en een nieuw IP adres aangevraagd: In Windws 7 cmd: ipcnfig /release & ipcnfig /renew Indien alles in rde is, prbeer dan even f de lkale webserver naar behren werkt: Open een brwser (bijv. Firefx) en surf naar het IP adres van de Windws 7 machine -> Ok zu meten werken

2 Cnfiguratie pfsense (vanaf de Windws 7 machine p lkale netwerk) We wensen van buitenaf een VPN te leggen naar het interne netwerk zdat elk testel p dit netwerk bereikbaar is. Als vrbeeld nemen we de website p de Windws 7 machine. Het del is m dr middel van OpenVPN client sftware een z veilig mgelijke VPN verbinding te kunnen pzetten. Open een brwser (bijv. Firefx) en surf naar het IP adres van de ruter m deze te kunnen cnfigureren. klik p I Understand the Risks, Add Exceptin en Cnfirm Security Exceptin. Lg in met de standaard gegevens Username: admin en Passwrd: pfsense Aangekmen p de hfdpagina het Dashbard kan wrden geklikt p de link Interfaces m een verzicht te verkrijgen van alle IP-gegevens p elke netwerk interface. -> Het WAN IP zal later ndig zijn m de VPN te gebruiken.

3 X509 Certificaten Vr de authenticatie van de clients die de OpenVPN tunnel zullen gebruiken meten certificaten gecreëerd wrden. Deze certificaten meten ndertekend zijn dr een Certificate Autrity (CA). Certificaten kunnen aangekcht f zelf pgesteld wrden (selfsigned). Pfsense heeft de mgelijkheid m zelf CA s en certificaten p te stellen. Creatie Certificate Authrity Onder System -> Cert Manager kan een eigen CA aangemaakt wrden via Kies vr Create an internal Certificate Authrity en vul alle velden in. Belangrijk zijn de Key length, Lifetime en Digest algritme (welke encryptie er gebruikt wrdt). Creatie Certificates De ndige certificaten kunnen gecreëerd wrden via het tabblad Certificates p te klikken Kies vr Create an Internal Certificate en selecteer de CA die de certificaten met ndertekenen Er is minstens 1 server certificaat en 1 user certificaat ndig (1 user certificaat per cncurrent client)

4 Kies een lgische cmmn name, bvb: Cert_Naam De andere velden mgen ingevuld wrden met m het even welke inf Save telkens de certificaten alvrens een nieuw aan te maken OpenVPN server cnfigureren Ga bvenaan via VPN naar OpenVPN en veg een nieuwe server te dr p de crrespnderende knp te klikken: General infrmatin Kies vr Remte access (SSL/TLS). Op die manier wrdt er gekzen m gebruik te maken van certificaten m de remte clients te authenticeren. De andere velden mgen standaard blijven Cryptgraphic Settings Kies de gewenste CA die de OpenVPN server zal gebruiken vr het valideren van de client certificaten en stel het certificaat in die de server zelf met gebruiken Andere settings mgen blijven staan, maar meten wel vereenkmen met de mgelijkheden van de clients Tunnel setting Een tunnel hudt in dat een apart netwerk gecreëerd wrdt tussen twee punten, er met dus een nieuw netwerk verznnen wrden. Hier wrdt gekzen vr /24 als netwerk vr de tunnel. Het eerste IP wrdt gereserveerd als adres vr de OpenVPN Server binnen de tunnel (dus vr de pfsense ruter zelf). OpenVPN clients kunnen ptineel een ander IP adres binnen dit subnet tegewezen krijgen. Dit netwerk met een uniek zijn, het mag ng nergens anders in het bestaande netwerk f in de ruting tabellen bestaan.

5 Er met k ng gedefinieerd wrden welk lkaal netwerk bereikbaar met zijn dr de tunnel. Indien dit blanc blijft kan er dr de tunnel enkel gecmmuniceerd wrden met de ruter en niet met zijn nderliggend netwerk. Alle IPv6 instellingen mgen vergelaten wrden want IPv6 wrdt uitgeschakeld via de laatste parameter Redirect Gateway niet aanvinken m ervr te zrgen dat enkel verkeer vr het lkale netwerk via de tunnel gaat. Aanvinken zrgt ervr dat alle verkeer van de clients via de tunnel gaat (zie LL2P IPsec) Het maximum aantal gelijktijdige client cnnecties invullen Andere instellingen mgen blijven Client settings Dynamic IP laat te dat de VPN cnnectie behuden blijft (autmatisch pnieuw pgesteld wrdt), indien het publiek IP adres van de client verandert. Dit kan nuttig zijn vr mbile clients die verschakelen naar 3G/4G indien hun wifi signaal wegvalt. Address Pl aanvinken m ervr te zrgen dat de clients een IP adres vr binnen de tunnel tegewezen krijgen van de OpenVPN server. De adres range wrdt bepaald uit de Tunnel Netwrk instelling Smmige (udere) clients vereisen een geïsleerd subnet binnen een tunnel, ze verwachten hierbij een /30 netwerk waarbij de server het 1 ste en de client het 2 de IP krijgt. Clients zitten dan telkens in een aparte tunnel en kunnen elkaar nderling niet zien. Bij de subnet

6 tplgie wrdt 1 netwerk pgebuwd binnen de tunnel en krijgen de clients een IP in dit subnet waardr ze elkaar wel kunnen zien. De verige instelling mgen standaard blijven, deze dienen m DNS en andere gegevens te pushen naar de client. OpenVPN server klaar Save de cnfiguratie en de OpenVPN server wrdt tegevegd Cnfiguratie van de Firewall De pfsense Firewall met ingesteld wrden vr een aantal interfaces waarnder, WAN, LAN en OpenVPN. De laatste is de virtuele interface die dus enkel bestaat bij een OpenVPN verbinding. Flating regels zijn regels die niet rechtstreeks p een specifieke interface van tepassing zijn. Eerst met tegelaten wrden dat de OpenVPN clients p UDP prt 1194 tegang krijgen tt de OpenVPN server p de WAN interface Selecteer het tabblad WAN en klik p de plus knp Prtcl: wijzig het prtcl naar UDP Surce mag standaard blijven (any) Destinatin mag standaard blijven (any) f mag veranderd wrden naar het WAN adres van de ruter

7 Destinatin prt range wrdt tweemaal 1194 (ftewel OpenVPN uit de lijst) Klik nderaan p Save en vervlgens p Apply changes Daarna cnfigureren we de regels vr het verkeer in de tunnel, in dit vrbeeld wrdt dit helemaal pen gezet, zdat elk type verkeer naar binnen tegelaten wrdt (bijv. een ping naar de ruter p zijn interne interface) Selecteer het tabblad OpenVPN en klik p de plus knp. Het enige dat hier gewijzigd dient te wrden is het prtcl: Prtcl: Any (dus én TCP én UDP én ICMP etc ) Klik nderaan p Save en vervlgens p Apply changes Client Certificaten exprteren De certificaten die in pfsense gecreëerd zijn kunnen eenvudig geëxprteerd wrden m te gebruiken in de OpenVPN clients. De mgelijkheid bestaat zelfs m naast de certificaten k vlledige cnfiguratiefiles en installers vr bekende clients te exprteren. Op die manier met de OpenVPN client niet meer gecnfigureerd wrden. Onder System -> packages -> available packages kan de exprt functie geïnstalleerd wrden dr deze te te vegen via de knp Onder VPN -> OpenVPN zullen nu 2 tabbladen tegevegd zijn. Bij de client exprt kunnen de certificaten f cnfiguraties geëxprteerd wrden. Kies de betreffende OpenVPN server Hst Name Reslutin: Interface IP Verify Server CN: een extra verificatie in de client van de server certificaat naam. Dit is niet mgelijk vr udere clients Use Randm lcal prt is ndzakelijk indien het gewenst is m 2 f meerdere clients p 1 testel tegelijk te laten cnnecteren

8 Al de bvenstaande instellingen zijn eigenlijk de cnfiguratie van de client. Indien gekzen wrdt m enkele de certificaten te exprteren (exprt als archive) den deze er niet te. In de cnfiguratie file van de client kunnen deze eigenschappen en andere k ng achteraf aangepast wrden. Alle certificaten die met de ingestelde cnfiguratie kunnen geëxprteerd wrden, zijn weergegeven nderaan. Dr de p de gewenste exprt te klikken wrden de bestanden gedwnlad naar de PC. Deze meten dan naar het gewenste testel gekpieerd wrden m daar te gebruiken. Kies hier vr de 32 bit windws installer (x86-win6) VPN instellen p Windws De installer uitveren als administratr m de client met crrecte cnfiguratie te installeren (virtuele TAP adapter k installeren). De geïnstalleerde OpenVPN client starten als administratr m de OpenVPN tunnel p te zetten. Er kmt nu een icntje bij in de taakbalk die de status van de tunnel weergeeft en waarmee de cnnectie gestart en gestpt kan wrden. Indien meerdere cnfiguraties gedefinieerd zijn, met de gewenste tunnel gekzen wrden dr rechts te klikken p het icntje. Uittesten Opmerking: indien gebruik wrdt gemaakt van een niet-virtuele Windws machine die de hst is van de pfsense en Windws 7 virtuele machines, zal internet tegang niet langer werken.

9 Dit kmt dr de aanwezigheid van een vicieuze cirkel: internet verkeer van de hst wrdt dr de tunnel gestuurd, pfsense stuurt dit verkeer dr naar VMware die het via de NAT ruter drstuurt naar de hst die het p zijn beurt terug dr de tunnel stuurt. Een lgischer scenari is eventueel het pnieuw aanmaken (klnen) van de Windws 7 machine en deze p zijn beurt p het NAT netwerk te plaatsen. Na een succesvlle cnnectie kan een willekeurige brwser wrden gestart en bij wijze van test gesurft wrden naar het IP (IP van de Windws7 machine) Prbeer k eens uit Bekijk even het eigen IP van de VPN client, let p het IP adres en subnetmasker dat is gebruikt m de tunnel p te buwen. Bekijk eventueel k de rute tabel (rute print -4). Een grt vrdeel van OpenVPN ten pzichte van L2TP IPsec VPN is dat enkel het verkeer bedeld vr het interne netwerk van de VPN ruter (hier pfsense) dr de tunnel gaat. Ander verkeer zal via het lkale netwerk van de client gaan, en niet dr de tunnel. Er zijn extra regels tegevegd aan de rute tabel vr verkeer bedeld vr het interne netwerk van de VPN ruter. Terug in de pfsense interface kan genavigeerd wrden naar Status -> OpenVPN. Daar zijn de actieve client cnnecties terug te vinden.