Modification de Parametrage Serveur VPN

<p><strong>Theorie : </strong></p>

<p>Les utilisateurs se connectent via un logiciel specilis&eacute; (openvpn) sur la machine vpn.dr13.cnrs.fr <br />
Il ont besoin : </p>
<ol>
  <li>Openvpn</li>
  <li>d'un certificat CNRS-Standard export&eacute;  depuis firefox ou les AC CNRS et CNRS-Standard sont install&eacute;es </li>
   <li>de la cle secrete du serveur <a href="vpn/keys/ta.key">ta.key</a></li>

  <li>du fichier de configuration : <a href="#client">client.ovpn</a></li>
</ol>
<p>Une fois connecte, une nouvelle interface reseau est cr&eacute;&eacute;e et tous les paquets vers 193.49.133.0/24 sont achemein&eacute;s via cette interface. On a donc acces au reseau de la delegation.</p>
<p>Une fois connecter on peut soit regarder ses mails via graal, faire du http (pour les cartes 3G) ou se connecter via RDP a un PC de  la delegation.</p>
<p>Le serveur fonctionne sous openvpn, voici le fichier de config : </p>
 
 ######################
 # OpenVPN configuration. #
 ######################
 
 # Which local IP address should OpenVPN
 # listen on? (optional)
 local 193.49.133.234 
 
 # Port d'écoute. Identique entre le serveur et le client
 port 4500
 
 # TCP or UDP server?
 ;proto tcp
 proto udp
 
 # "dev tun" = routed IP tunnel, "dev tap" = ethernet tunnel.
 ;dev tap
 dev tun
 
 # Utilisation de certificat serveur CNRS
 ca keys/CNRS.crt
 cert keys/vpn.dr13.cnrs.fr.crt
 key keys/vpn.dr13.cnrs.fr.key # This file should be kept secret
 
 #ca ca.crt
 #cert server.crt
 #key server.key
 
 # Diffie hellman parameters.
 dh "keys/dh1024.pem" 
 
 # Route par défaut du tunnel
 server 10.8.0.0 255.255.255.0
 
 # Fichier d'enregistrement des couples client <-> @IP virtuelle
 ifconfig-pool-persist ipp.txt
 
 # Repertoire client des fichiers de paramètres par défaut à envoyer aux clients
 # identifiés demandant une connection
 client-config-dir "/etc/openvpn/clients"
 
 # push de la route vers DR13
 push "route 193.49.133.0 255.255.255.0"
 
 # Route pour les utilisateurs (push ds le fichier client)
 route 10.8.1.0 255.255.255.0
 # Route pour les administrateurs (push ds le fichier client)
 route 10.8.18.0 255.255.255.0
 
 # Puis on rajoute une ligne pour chaque client dans son fichier conf
 # avec l'adresse IP client fixe ainsi que celle du serveur
 # ifconfig-push @IP-proche @IP-distante
 # ifconfig-push 10.8.18.6 10.8.18.5
 
 # The keepalive directive causes ping-like
 # messages to be sent back and forth over
 # the link so that each side knows when
 # the other side has gone down.
 # Ping every 10 seconds, assume that remote
 # peer is down if no ping received during
 # a 120 second time period.
 keepalive 10 120
 
 # Clé partagée entre le serveur et chaque client. 0=serveur, 1=client.
 tls-auth keys/ta.key 0 # This file is secret 
 
 # Select a cryptographic cipher.
 # This config item must be copied to
 # the client config file as well.
 ;cipher BF-CBC # Blowfish (default)
 ;cipher AES-128-CBC # AES
 ;cipher DES-EDE3-CBC # Triple-DES
 
 # Utilisation de la compression. À indiquer aussi pour le client
 comp-lzo 
 
 # The maximum number of concurrently connected
 # clients we want to allow.
 ;max-clients 100
 
 # It's a good idea to reduce the OpenVPN
 # daemon's privileges after initialization.
 #user root
 #group root
 
 # Modifie la racine pour le serveur OpenVPN
 #chroot /etc/openvpn
 
 # The persist options will try to avoid
 # accessing certain resources on restart
 # that may no longer be accessible because
 # of the privilege downgrade.
 persist-key
 persist-tun
 
 # Output a short status file showing
 # current connections, truncated
 # and rewritten every minute.
 status openvpn-status.log
 
 # By default, log messages will go to the syslog (or
 # on Windows, if running as a service, they will go to
 # the "\Program Files\OpenVPN\log" directory).
 # Use log or log-append to override this default.
 # "log" will truncate the log file on OpenVPN startup,
 # while "log-append" will append to it. Use one
 # or the other (but not both).
 ;log openvpn.log
 log-append /var/log/openvpn/openvpn.log
 
 # Set the appropriate level of log
 # file verbosity.
 #
 # 0 is silent, except for fatal errors
 # 4 is reasonable for general usage
 # 5 and 6 can help to debug connection problems
 # 9 is extremely verbose
 verb 5
 
 # Silence repeating messages. At most 20
 # sequential messages of the same message
 # category will be output to the log.
 ;mute 20

<p>Il existe 2 types de comptes sur VPN: les clients nomades qui ont tres peut de droits et les administrateurs qui peuvent tout faire sur le reseau.</p>
<p>Clients nomades : classe 10.8.<strong>1</strong>.0 <br />
  Administarateurs : 
classe 10.8.<strong>18</strong>.0</p>
<p>Les droits sont g&eacute;r&eacute;s par iptables voici les regles actuelement en vigueur : </p>

<p>#<span class="Style4">iptables -L </span></p>
<p class="Style3">Chain INPUT (policy DROP)<br />
  target     prot opt source               destination<br />
  ACCEPT     all  --  anywhere             anywhere<br />
  ACCEPT     all  --  localnet/24          anywhere<br />
  ACCEPT     icmp --  anywhere             anywhere<br />

  ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh<br />
  ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:www<br />
  ACCEPT     udp  --  anywhere             anywhere            state RELATED,ESTABLISHED udp spt:domain<br />
  ACCEPT     tcp  --  anywhere             anywhere            state RELATED,ESTABLISHED tcp spt:domain<br />
  ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED<br />
  ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:10000<br />

ACCEPT     udp  --  anywhere             anywhere            udp dpt:10000</p>
<p class="Style3">Chain FORWARD (policy DROP)<br />
  target     prot opt source               destination<br />
  ACCEPT     all  --  localnet/24          anywhere<br />
  ACCEPT     udp  --  anywhere             anywhere            state RELATED,ESTABLISHED udp spt:domain<br />
  ACCEPT     tcp  --  anywhere             anywhere            state RELATED,ESTABLISHED tcp spt:domain<br />
  ACCEPT     tcp  --  10.8.1.0/24          graal.dr13.cnrs.fr  tcp multiport dports smtp,www,pop3,imap2,https,ldap,imaps : <strong>Utilisateurs </strong><br />

  ACCEPT     all  --  10.8.18.0/24         localnet/24 : <strong>administrateurs</strong> </p>
<p><span class="Style3">Chain OUTPUT (policy ACCEPT)<br />
  target     prot opt source               destination<br />
  ACCEPT     all  --  anywhere             anywhere</span><br />
</p>
<p><strong>Creation de compte : </strong></p>
<p>Pour creer un compte, il faut simplement creer un fichiers Prenom_Nom dans /etc/openvpn/clients</p>

<p>Y copier le texte ci dessous</p>
<p>Adminsistrateurs :<br />
  # Ajout de la route sp&eacute;cifique du groupe<br />
  iroute 10.8.18.0 255.255.255.0 <br />
  # Attribution du couple adresse locale (client) / adresse distante (serveur) pour l'utilisation du pont<br />
ifconfig-push 10.8.18.10 10.8.18.9</p>
<p>Utilisateurs : <br />

# Ajout de la route sp&eacute;cifique du groupe<br />
iroute 10.8.1.0 255.255.255.0 <br />
# Attribution du couple adresse locale (client) / adresse distante (serveur) pour l'utilisation du pont<br />
ifconfig-push 10.8.1.Y10.8.1.9</p>
<p>On ne peut affecter que des couples X - Y d'adresses bien precis pour faire les tunnels : (en rouge les couples utilis&eacute;s) </p>
<table width="100%" border="1" cellpadding="0" cellspacing="0">
  <tr>
    <td bgcolor="#FF0000"><div align="center" class="Style1">1 - 2 </div></td>

    <td bgcolor="#FF0000"><div align="center" class="Style1">5 - 6 </div></td>
    <td bgcolor="#FF0000"><div align="center" class="Style1">9 - 10 </div></td>
    <td bgcolor="#FF0000"><div align="center" class="Style1">13 - 14 </div></td>
    <td bgcolor="#FF0000"><div align="center" class="Style1">17 - 18 </div></td>
    <td bgcolor="#FF0000"><div align="center" class="Style1">21 - 22 </div></td>
    <td bgcolor="#FF0000"><div align="center" class="Style1">25 - 26 </div></td>

    <td bgcolor="#FF0000"><div align="center" class="Style1">29 - 30 </div></td>
    <td bgcolor="#FF0000"><div align="center" class="Style1">33 - 34 </div></td>
    <td bgcolor="#FF0000"><div align="center" class="Style1">37 - 38 </div></td>
  </tr>
  <tr>
    <td bgcolor="#FF0000"><div align="center" class="Style1">41 - 42 </div></td>
    <td bgcolor="#FF0000"><div align="center" class="Style1">45 - 46 </div></td>

    <td><div align="center" class="Style1">49 - 50 </div></td>
    <td><div align="center" class="Style1">53 - 54 </div></td>
    <td><div align="center" class="Style1">57 - 58 </div></td>
    <td><div align="center" class="Style1">61 - 62 </div></td>
    <td><div align="center" class="Style1">65 - 66 </div></td>
    <td><div align="center" class="Style1">69 - 70 </div></td>

    <td><div align="center" class="Style1">73 - 74 </div></td>
    <td><div align="center" class="Style1">77 - 78 </div></td>
  </tr>
  <tr>
    <td><div align="center" class="Style1">81 - 82 </div></td>
    <td><div align="center" class="Style1">85 - 86 </div></td>
    <td><div align="center" class="Style1">89 - 90 </div></td>

    <td><div align="center" class="Style1">93 - 94 </div></td>
    <td><div align="center" class="Style1">97 -98 </div></td>
    <td><div align="center" class="Style1">101 - 102 </div></td>
    <td><div align="center" class="Style1">105 - 106 </div></td>
    <td><div align="center" class="Style1">109 - 110 </div></td>
    <td><div align="center" class="Style1">113 - 114 </div></td>

    <td><div align="center" class="Style1">117 - 118 </div></td>
  </tr>
  <tr>
    <td><div align="center" class="Style1">121 - 122 </div></td>
    <td><div align="center" class="Style1">125 - 126 </div></td>
    <td><div align="center" class="Style1">129 - 130 </div></td>
    <td><div align="center" class="Style1">133 - 134 </div></td>

    <td><div align="center" class="Style1">137 - 138 </div></td>
    <td><div align="center" class="Style1">141 - 142 </div></td>
    <td><div align="center" class="Style1">145 - 146 </div></td>
    <td><div align="center" class="Style1">149 - 150 </div></td>
    <td><div align="center" class="Style1">153 - 154 </div></td>
    <td><div align="center" class="Style1">157 - 158 </div></td>

  </tr>
  <tr>
    <td><div align="center" class="Style1">161 - 162 </div></td>
    <td><div align="center" class="Style1">165 -166 </div></td>
    <td><div align="center" class="Style1">169 - 170 </div></td>
    <td><div align="center" class="Style1">173 - 174 </div></td>
    <td><div align="center" class="Style1">177 - 178 </div></td>

    <td><div align="center" class="Style1">181 - 182 </div></td>
    <td><div align="center" class="Style1">185 - 186 </div></td>
    <td><div align="center" class="Style1">189 - 190 </div></td>
    <td><div align="center" class="Style1">193 - 194 </div></td>
    <td><div align="center" class="Style1">197 - 198 </div></td>
  </tr>

</table>
<h2>&nbsp;</h2>
<p class="Style6">Configuration d'un client Windows </p>
<p><strong>Droits d'utilisation de l'interface client OpenVPN </strong> !!! uniquement si utilisateur n'est pas root !!!
</p>
<p>L'installation par d&eacute;faut d'OpenVPN GUI ne donne pas le droit de  contr&ocirc;ler le service OpenVPN. Il existe cependant 2 mani&egrave;res d'y  rem&eacute;dier. Si on a les droits d'administrateur, et que l'on veut juste  une moyen facile de contr&ocirc;ler le service OpenVPN, on peut activer un  menu cach&eacute;. Pour cela, on positionne la cl&eacute; de registre suivante &agrave; &quot;1&quot;: </p>

<pre>HKEY_LOCAL_MACHINE\SOFTWARE\OpenVPN-GUI\allow_service &quot;1&quot;  </pre>
<p>Depuis OpenVPN GUI 1.0-rc2, il existe un mode sp&eacute;cial appel&eacute;  &quot;Service only&quot;, convenant aux utilisateurs ne disposant pas des  privil&egrave;ges administrateurs. Ce mode modifie le comportement des actions  &quot;Connection&quot; (&quot;Connect&quot;) et &quot;D&eacute;connection&quot; (&quot;Disconnect&quot;) pour d&eacute;marrer  et arr&ecirc;ter le service OpenVPN, au lieu de lancer OpenVPN.exe  directement, comme il le fait habituellement. Le menu de param&eacute;trage du  proxy (&quot;Proxy settings&quot;) est cach&eacute; puisqu'il n'a aucun effect sur le  service. Pour cela, on positionne la cl&eacute; de registre suivante &agrave; &quot;1&quot;: </p>

<pre>HKEY_LOCAL_MACHINE\SOFTWARE\OpenVPN-GUI\service_only &quot;1&quot;  </pre>
<p>Il faut aussi se souvenir qu'un utilisateur normal ne dispose pas  des droits d'&eacute;criture dans le fichier OpenVPN/config, il ne doit donc  pas acc&eacute;der au fichier de configuration, ni changer le mot de passe.  Pour cacher ces entr&eacute;es dans le menu de l'interface, on positionne les  cl&eacute; de registre suivantes &agrave; &quot;0&quot;: </p>
<pre>HKEY_LOCAL_MACHINE\SOFTWARE\OpenVPN-GUI\allow_edit &quot;0&quot;  

HKEY_LOCAL_MACHINE\SOFTWARE\OpenVPN-GUI\allow_password &quot;0&quot;  </pre>
<h3> <a name="client" id="client"></a>Le fichier de configuration client.ovpn</h3>
<pre class="Style8">#################################################  
# Fichier de configuration client pour OpenVPN  #
# Ce fichier est destin&eacute; &agrave; tous les clients, en #
# adaptant pour chacun la localisation du       # 
# certificat et de la cl&eacute; partag&eacute;e.             # 					
# Pour Windows, utiliser l'extension .ovpn      #
&quot;################################################ &nbsp;  
client  

&nbsp;  
# &quot;tun&quot; ou &quot;tap&quot;: param&egrave;tre identique au serveur  
dev tun  &nbsp;  

# Protocole pour le tunnel: param&egrave;tre identique au serveur  
proto tcp  &nbsp;  

pull  &nbsp;  

# @IP + port du serveur OpenVPN distant  
remote 193.49.133.234 4500

resolv-retry infinite  &nbsp;  
nobind  &nbsp;  

persist-key  
persist-tun  &nbsp;  

# Utilisation d'un certificat g&eacute;n&eacute;r&eacute; par le CNRS, sauvegard&eacute; sous forme PKCS12  
pkcs12 &quot;<span class="Style7">C:\\chemin_de_mon_cert\\nom_de_mon_cert.p12</span>&quot;  &nbsp;  

ns-cert-type server  &nbsp;  
# Utilisation d'une cl&eacute; commune, identique au serveur. 1=client  
tls-auth &quot;<span class="Style7">C:\\chemin_vers_la cl&eacute;_partag&eacute;e\\ta.key</span>&quot; 1  &nbsp; 


# Activation de la compression: param&egrave;tre identique au serveur  
comp-lzo  &nbsp;  

verb 3 &nbsp;  
;mute 20
#################################################

</pre>
<p>Probleme : le tunnel mis en place entre le PC utilisateur et le serveur ne peut pas passer par lui meme. Il faut donc ajouter manuellement une route sur le client : </p>
<p><span class="Style5"> route add 193.49.133.234 mask 255.255.255.255 XXX.XXX.XXX.XXX</span> ou XXX.XXX.XXX.XXX est votre passerelle par defaut actuelle (pour la connaitre : demarrer | executer | cmd et taper <span class="Style4">ipconfig /all </span></p>
<p>Ensuite, clic droit sur l'icone openvpnGUI et connecter. Attendre que le programme vous dise qu'il est conncter et ca fonctionne</p>