From 9c2cbc84f81504dcd124f4deaa9cbea8fd477f27 Mon Sep 17 00:00:00 2001 From: =?UTF-8?q?J=C3=A9r=C3=A9my=20Lecour?= Date: Sat, 11 Nov 2017 13:41:45 +0100 Subject: [PATCH] mise en forme + section iOS --- HowtoOpenVPN.md | 52 +++++++++++++++++++++++++++---------------------- 1 file changed, 29 insertions(+), 23 deletions(-) diff --git a/HowtoOpenVPN.md b/HowtoOpenVPN.md index d89c43df..678b8e2d 100644 --- a/HowtoOpenVPN.md +++ b/HowtoOpenVPN.md @@ -5,7 +5,7 @@ title: Howto OpenVPN * Documentation : -[OpenVPN](https://openvpn.net/) permet de monter des tunnels VPN en utilisant [SSL/TLS](https://fr.wikipedia.org/wiki/Transport_Layer_Security). Bien qu'OpenVPN sache utiliser aussi une clé partagé (*PSK*) ou des couples *utilisateur*:*mot de passe*, nous préférons utiliser des certificats avec une [PKI](https://fr.wikipedia.org/wiki/Infrastructure_%C3%A0_cl%C3%A9s_publiques). +[OpenVPN](https://openvpn.net/) permet de monter des tunnels [VPN](https://fr.wikipedia.org/wiki/Réseau_privé_virtuel) en utilisant [SSL/TLS](https://fr.wikipedia.org/wiki/Transport_Layer_Security) pour le chiffrement. Bien qu'OpenVPN sache utiliser aussi une clé partagé (*PSK* — Pre-Shared Key) ou des couples *utilisateur*/*mot de passe*, nous préférons utiliser des certificats avec une [PKI](https://fr.wikipedia.org/wiki/Infrastructure_%C3%A0_cl%C3%A9s_publiques). ## Installation @@ -46,9 +46,9 @@ On crée clé/certificat pour le serveur VPN avec la commande suivante : # sh shellpki.sh create ~~~ -Note : le CN sera par exemple de la forme `fw.vpn.example.com` (il sera demandé de le saisir deux fois). +Note : le CN (*Common Name*) sera par exemple de la forme `fw.vpn.example.com` (il sera demandé de le saisir deux fois). -La configuration se fera via un fichier `/etc/openvpn/server.conf` avec les paramètres suivants à adapter : +La configuration se fait via un fichier `/etc/openvpn/server.conf` avec les paramètres suivants à adapter : * `server` : réseau privé sur lequel le serveur VPN et les clients communiqueront * `local` : adresse IP du serveur, sur laquelle les clients se connecteront (adresse IP publique généralement) @@ -57,8 +57,6 @@ La configuration se fera via un fichier `/etc/openvpn/server.conf` avec les para * `key` : clé du serveur VPN (créée précédemment) * `ifconfig-pool-persist` : permet aux clients de conserver la même IP en cas de redémarrage -La configuration se fera via un fichier `/etc/openvpn/server.conf` : - ### Serveur, sous OpenBSD ~~~ @@ -122,7 +120,7 @@ Pour lancer manuellement OpenVPN sans redémarrer la machine : # /usr/local/sbin/openvpn --daemon --config /etc/openvpn/server.conf ~~~ -Pour que les logs générés par OpenVPN soient rotatés, il faut rajouter la ligne en question dans le fichier `/etc/newsyslog.conf` : +Pour que les logs générés par OpenVPN soient "rotatés", il faut rajouter la ligne en question dans le fichier `/etc/newsyslog.conf` : ~~~ /var/log/openvpn.log 600 52 * $W6D4 Z @@ -260,7 +258,7 @@ On utilisera [shellPKI](https://forge.evolix.org/projects/shellpki) permettant d # git clone https://forge.evolix.org/shellpki.git . ~~~ -* Créer le répertoire _/var/www/htdocs/vpn/ssl_ (OpenBSD) ou _/var/www/vpn/ssl_ (Debian) dans lequel les certificats seront copiés par défaut pour être distribués. Cet emplacement est configurable dans `shellpki.sh` +* Créer le répertoire `/var/www/htdocs/vpn/ssl` (OpenBSD) ou `/var/www/vpn/ssl` (Debian) dans lequel les certificats seront copiés par défaut pour être distribués. Cet emplacement est configurable dans `shellpki.sh` * Editer les paramètres de la section `[ req_distinguished_name ]` du fichier `openssl.cnf`, notamment : * `countryName_default` @@ -288,7 +286,7 @@ On utilisera [shellPKI](https://forge.evolix.org/projects/shellpki) permettant d * Récupérer le certificat et la clé dans `/var/www/htdocs/vpn/ssl` -* Dans la conf client, rajouter la directive _nobind_. Par défaut le client se bind sur l'ip locale et le port 1194, _nobind_ force l'utilisation d'un port aléatoire. +* Dans la conf client, rajouter la directive `nobind`. Par défaut le client se bind sur l'ip locale et le port 1194, `nobind` force l'utilisation d'un port aléatoire. ### Renouveller un certificat @@ -301,12 +299,12 @@ Il faut le révoquer, puis en recréer un : # cp /etc/openvpn/ssl/crl.pem /var/empty/ ~~~ -Si c'est le certificat, du serveur OpenVPN, il faut en plus modifier +Si c'est le certificat du serveur OpenVPN, il faut en plus modifier la configuration puis relancer le démon. ## Permettre aux clients de conserver la même IP au fil de connexions -Le fichier ipp.txt contient une liste des clients et de leur adresse IP afin qu'en cas de redémarrage du serveur, +Le fichier `ipp.txt` contient une liste des clients et de leur adresse IP afin qu'en cas de redémarrage du serveur, ils conservent la même adresse. Dans le `server.conf` ou `server.ovpn` : @@ -315,10 +313,10 @@ Dans le `server.conf` ou `server.ovpn` : ifconfig-pool-persist /etc/openvpn/ipp.txt 0 ~~~ -Cela rend le fichier _ipp.txt_ en lecture seule pour OpenVPN. -Il faudra donc ajouter une nouvelle ligne de la forme *CN*,IP à chaque ajout d'un nouveau client. +Cela rend le fichier `ipp.txt` en lecture seule pour OpenVPN. +Il faudra donc ajouter une nouvelle ligne de la forme `CN,IP` à chaque ajout d'un nouveau client. -## Howto configuration du client +## Configuration du client ### Template systemd pour démarrer le client OpenVPN @@ -335,13 +333,13 @@ Télécharger la dernière version stable de Tunnelblick sur . ### Erreur "no more TUN/TAP adapter" (client OpenVPN – Windows) -En cas d'erreur `no more TUN/TAP adapter` aller dans _menu démarrer_> _OpenVPN_> _Add new TUN/TAP Adapter_ +En cas d'erreur `no more TUN/TAP adapter` aller dans "menu démarrer" > "OpenVPN" > "Add new TUN/TAP Adapter" ### Erreur "cipher final failed" (client OpenVPN – Android)