{"id":2686,"date":"2025-10-21T15:52:15","date_gmt":"2025-10-21T13:52:15","guid":{"rendered":"http:\/\/clark.tipistrani.it\/?p=2686"},"modified":"2025-12-12T07:41:03","modified_gmt":"2025-12-12T06:41:03","slug":"un-altra-openvpn-su-devan-5","status":"publish","type":"post","link":"http:\/\/clark.tipistrani.it\/?p=2686","title":{"rendered":"Un altra Openvpn su Devan 5"},"content":{"rendered":"

Come dicevo in un altro articolo ho dovuto tirare su al volo una VPN ulteriore all’interno di una LAN.<\/p>\n

La solita Devuan stable al momento la 5 come base, in realt\u00e0 sulla macchina c’era gi\u00e0 una OpenVpn per\u00f2 o per configurazione o per generazione dei certificati o per qualche altro strano e misterioso motivo che in questo periodo abbondano pi\u00f9 del solito non ha mai girato come si deve quindi ho deciso di partire dal pulito lasciando solo il link simbolico a easy-rsa con un bel .\/easyrsa clean-all ho fatto tabula rasa.
\nI passi seguenti sono gli stessi della volta precedente o ben poco diversi:
\n1) .\/easyrsa init-pki
\n2) in \/etc\/openvpn\/easy-rsa\/pki ho editato vars e ho cambiato\/scommentato le seguenti voci:
\nset_var EASYRSA_REQ_COUNTRY “IT”
\nset_var EASYRSA_REQ_PROVINCE “Lombardia”
\nset_var EASYRSA_REQ_CITY “Milano”
\nset_var EASYRSA_REQ_ORG “Tipistrani”
\nset_var EASYRSA_REQ_EMAIL “miamail@dominio.com”
\nset_var EASYRSA_REQ_OU “Reti e Sistemi”
\nset_var EASYRSA_KEY_SIZE 4096
\nset_var EASYRSA_ALGO rsa
\nset_var EASYRSA_CERT_EXPIRE 3650
\nset_var EASYRSA_CRL_DAYS 3650
\nset_var EASYRSA_CERT_RENEW 3650
\nset_var EASYRSA_DIGEST \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0“sha256”
\n3) generazione del certificato di ca con .\/easyrsa build-ca nopass alla richiesta di common name ho messo CA ma si pu\u00f2 mettere qualsiasi cosa
\n4) generazione di certificato e chiave per il server con .\/easyrsa build-server-full server nopass
\nN.B. i certificati finiscono tutti in \/etc\/openvpn\/easy-rsa\/pki\/issued\u00a0 le chiavi in \/etc\/openvpn\/easy-rsa\/pki\/private
\n5) generazione dell’elenco di revoca dei certificati con .\/easyrsa gen-crl
\n6) generazione dei parametri\u00a0 Diffie Helman con .\/easyrsa gen-dh<\/p>\n

7) generazioni chiavi e certificati dei client .\/easyrsa build-client-full client1 nopass<\/p>\n

8) generazione della chiave precondivisa “ta” openvpn –(2meno)genkey secret \/etc\/openvpn\/easy-rsa\/pki\/ta.key<\/p>\n

N.B. per mia comodit\u00e0 pur essendo client linux ho optato per l’unified format<\/a> ma con estensione .conf quindi il client ha questo aspetto
\nclient
\ndev tun
\nproto tcp
\nremote ip_pubblico_1 7299
\nremote ip_pubblico_2 7299
\nresolv-retry 60
\nnobind
\npersist-key
\npersist-tun
\nremote-cert-tls server
\nauth SHA256
\ncipher AES-256-CBC
\ndata-ciphers-fallback AES-256-CBC
\nkey-direction 1
\nping 10
\nverb 3
\nlog-append \/var\/log\/openvpn\/client.log
\nstatus \/var\/log\/openvpn\/status.log<\/p>\n

<ca>
\n….
\n<\/ca><\/p>\n

<tls-auth>
\n….
\n<\/tls-auth><\/p>\n

<cert>
\n….
\n<\/cert><\/p>\n

<key>
\n….
\n<\/key><\/p>\n

La configurazione del server che in questo caso \u00e8 estremamente semplice risulta in questo modo server.conf
\nport 7299
\nproto tcp
\ndev tun
\nca \/etc\/openvpn\/easy-rsa\/pki\/ca.crt
\ncert \/etc\/openvpn\/easy-rsa\/pki\/issued\/server.crt
\nkey \/etc\/openvpn\/easy-rsa\/pki\/private\/server.key
\ndh \/etc\/openvpn\/easy-rsa\/pki\/dh.pem
\ncrl-verify \/etc\/openvpn\/easy-rsa\/pki\/crl.pem
\nauth SHA256
\ntls-auth \/etc\/openvpn\/easy-rsa\/pki\/ta.key 0
\ncipher AES-256-CBC
\nserver \u00a0192.168.150.0 255.255.255.0
\nifconfig-pool-persist ipp.txt
\nclient-config-dir \/etc\/openvpn\/ccd
\nkeepalive 10 120
\npersist-key
\npersist-tun
\nstatus \/var\/log\/openvpn\/openvpn-status-linux.log
\nlog-append \/var\/log\/openvpn\/server.log
\nverb 3
\nexplicit-exit-notify 1<\/p>\n

Ricordiamoci di:<\/p>\n

a) in \/etc\/sysctl.conf abilitare il routing dei pacchetti scommentando net.ipv4.ip_forward=1 e un successivo sysctl –(2 meno)system<\/p>\n

e di aggiungere in \/etc\/rc.local queste istruzioni:
\n\/usr\/sbin\/iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
\n\/usr\/sbin\/iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE<\/p>\n

al fine di poter raggiungere le macchie della LAN<\/p>\n

ADDEDUM:
\nil server \u00e8 dietro NAT quindi sul firewall perimetrale bisogna aggiungere:
\nadd rule inet fw-nat PREROUTING iif $EXTIF ip daddr $EXTIP tcp dport 7299 counter dnat to $SERVERVPN
\nadd rule inet firewall FORWARD iif $EXTIF oif $INTIF ip daddr $SERVERVPN tcp dport 7299 ct state { new, established, related } counter accept<\/p>\n

 <\/p>\n

 <\/p>\n","protected":false},"excerpt":{"rendered":"

Come dicevo in un altro articolo ho dovuto tirare su al volo una VPN ulteriore all’interno di una LAN. La solita Devuan stable al momento la 5 come base, in realt\u00e0 sulla macchina c’era gi\u00e0 una OpenVpn per\u00f2 o per configurazione o per generazione dei certificati o per qualche altro strano e misterioso motivo che […]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[8,14,284,6],"tags":[294,78],"class_list":["post-2686","post","type-post","status-publish","format-standard","hentry","category-linux","category-networking","category-openvpn","category-work","tag-devuan-5","tag-openvpn"],"_links":{"self":[{"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/posts\/2686","targetHints":{"allow":["GET"]}}],"collection":[{"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=2686"}],"version-history":[{"count":7,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/posts\/2686\/revisions"}],"predecessor-version":[{"id":2698,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/posts\/2686\/revisions\/2698"}],"wp:attachment":[{"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=2686"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=2686"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=2686"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}