http://ca.wiki.guifi.net/w/api.php?action=feedcontributions&feedformat=atom&user=SollericGuifi.net - Wiki Català - Contribucions de l'usuari [ca]2026-07-29T09:23:40ZContribucions de l'usuariMediaWiki 1.22.0http://ca.wiki.guifi.net/wiki/Accedir_a_Internet_amb_proxyAccedir a Internet amb proxy2015-07-09T19:23:37Z<p>Solleric: /* Safari */</p>
<hr />
<div>Guifi.net, en moltes zones, no està connectada directament a la Internet convencional. Això vol dir que si no hi ha algú que comparteix amb nosaltres la seva connexió ADSL no podem navegar per Internet. Per solventar això, alguns usuaris ens cedeixen part de la seva connexió ADSL mitjançant servidors "pont" o servidors proxy, que comuniquen Internet amb guifi.net perquè puguem navegar. Teniu en compte que alguns servidors pont ofereixen millor connexió que d'altres, per la qual cosa val la pena saber com emprar-los.<br />
<br />
Per poder emprar aquests servidors pont i navegar per Internet, heu indicar al vostre ordinador que faci servir-los. Això s'anomena "configurar un proxy" i per poder-lo emprar s'han d'activar algunes opcions al mateix navegador (Firefox, Chrome, Safari...).<br />
<br />
Si ja teniu un node i un usuari, podeu passar directament a l'apartat de Configurar un proxy.<br />
<br />
=Crear un usuari de guifi.net=<br />
Per poder accedir a Internet des de guifi.net necessitau un compte d'usuari i una contrasenya. Si algun administrador vos munta el node, demanau-li un usuari si encara no ho ha fet. Si el node el muntau vosaltres, haureu de tenir en compte que aquest '''usuari i contrasenya no són les mateixes amb què us registrau a la pàgina''', sinó que heu de sol·licitar-lo a la pestanya del vostre node. Això implica, per tant, que per poder-vos connectar als proxies de guifi.net necessitau haver creat vosaltres el node.<br />
<br />
Si el node el creau vosaltres, seguiu els passos següents :<br />
<br />
#Anau a un lloc on tengueu connexió a Internet.<br />
#Connectau-vos a la pàgina http://guifi.net/ca/user/register i creeu un compte d'usuari nou.<br />
#Creau el node seguint la guia de [[Unir-se_a_guifi.net,_en_tres_passos]].<br />
#Anau a la pàgina del vostre node, cercant-lo al camp "cerca" i pitjau sobre la pestanya "Usuaris". [[Fitxer:1Nouusuari.jpg|center]]<br />
#Pitjau sobre "Afegir usuari"[[Fitxer:2Nouusuari2.jpg|center]] i introduïu els camps. Posau nom i llinatges REALS i un correu REAL.<br />
#Esperau que l'administrador del sistema aprovi l'usuari. Insistiu-li si no ho fa.<br />
<br />
Una vegada l'usuari estigui aprovat, en activar serveis com el proxy haureu de posar aquestes credencials.<br />
<br />
=Configurar un proxy=<br />
<br />
Un servidor proxy és un "pont" entre guifi.net i Internet. Si volem poder accedir a les pàgines habituals, com ara Google o Youtube des de guifi.net, haurem<br />
de configurar el nostre navegador perquè es connecti mitjançant un servidor proxy.<br />
<br />
==Amb Firefox fent servir guifi-proxy==<br />
<br />
Existeix un addon per Firefox que ens permet gestionar ràpidament els servidors proxy, per si en tenim varis poder<br />
anar alternant de forma ràpida.<br />
<br />
# Descarregam el navegador firefox http://www.getfirefox.com i l’instal·lam.<br />
# Obrim el navegador firefox i descarreguem l’extensió https://addons.mozilla.org/addon/guifiproxy i fem clic a l’enllaç un cop descarregat i s’instal·larà (caldrà respondre a les preguntes que ens faci) i reiniciar el navegador quan ens digui.<br />
# Anam a Eines->Complements i pitjam sobre preferències a GuifiProxy, com podem veure a la imatge:[[Fitxer: 3Prefs_guifiproxy.jpg|center]]<br />
# Afegim un nou proxy pitjant sobre la creueta blava. [[Fitxer:4Nou_guifiproxy.jpg|center]]<br />
# Introduim el nom del servidor, per exemple: proxyvic.guifisoller.cat. Podeu consultar els servidors proxies disponibles a les respectives pàgines dels nodes de la vostra zona a la web de guifi.net com per exemple https://guifi.net/en/node/60609/view/nodeservices. El port generalment ha de ser el 3128. [[Fitxer:5Nou2_guifiproxy.jpg|center]]<br />
# Tornam al Firefox i activam el proxy pitjant sobre la "G" a dalt a la dreta. Amb la fletxeta del costat podem triar quin servidor dels registrats volem emprar. [[Fitxer:6Nou3_guifiproxy.jpg|center]]<br />
<br />
Us demanarà un usuari i contrasenya, que és el vostre usuari i contrasenya del proxy de guifi.net que heu creat anteriorment.<br />
<br />
==Amb Firefox de forma manual==<br />
<br />
Firefox permet configurar un proxy de forma nativa, tot i que és un sistema poc àgil, ja que cada vegada que el vulguem canviar haurem de perdre'ns entre bastantes opcions de menús i no podrem guardar-los. Es fa de la forma següent:<br />
<br />
Aneu a la pestanya "Edita". Pitgeu a "Preferències -> Avançat -> Paràmetres (Connexió)" i modificau els paràmetres tal que quedin així:<br />
[[Fitxer:7Nou3_guifiproxy.jpg|center]]<br />
<br />
El nom "Servidor Intermediari d'HTTP", proxyvic.guifisoller.cat, pot canviar-se per qualsevol direcció IP o nom del proxy. Consultau els proxies disponibles a la pàgina de<br />
[[serveis]].<br />
<br />
Us demanarà un usuari i contrasenya, que és el vostre usuari i contrasenya del proxy de guifi.net que heu creat anteriorment.<br />
<br />
==Chrome==<br />
# Baixeu l'extensió https://chrome.google.com/webstore/detail/proxy-switchysharp/dpplabbmogkhghncfbfdeeokoefdjegm.<br />
# Afegiu el nou perfil proxy anant a Eines->Extensions i pitjant sobre "Opcions" a Proxy SwitchySharp. Introduïu els paràmetres<br />
següents, tenint en compte que podeu canviar el nom del servidor proxy per qualsevol altre que estigui disponible (vegeu [[serveis]]). [[Fitxer:8Chrome_guifiproxy.jpg|center]]<br />
# Activau i canviau el proxy amb el botó de la bolla del món de la part superior dreta del Chrome.<br />
[[Fitxer:9Chrome2_guifiproxy.jpg|center|400px]]<br />
<br />
==Safari==<br />
#Seleccionau "Preferències" des del menú "Safari" de la barra d'eines.<br />
#Pitjau sobre la pestanya d'"Avançat", i després sobre "Canviar configuració".[[Fitxer:10Safariconfig2.jpg|center]]<br />
#Pels camps "Proxy de web HTTP", "Proxy de web HTTP segur", "Proxy de FTP", "Proxy de SOCKS" i "Proxy de streaming", activau-los i introduïu a cadascun d'ells el nom del servidor proxy, com ara proxyvic.guifisoller.cat amb el port 3128. <br />
#Marcau la casella "El proxy requereix usuari i contrasenya" i introduïu el vostre nom d'usuari i contrasenya de guifi.net que heu obtingut prèviament.[[Fitxer:11Safariconfig1.jpg|center]]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Accedir_a_Internet_amb_proxyAccedir a Internet amb proxy2015-07-09T19:16:50Z<p>Solleric: </p>
<hr />
<div>Guifi.net, en moltes zones, no està connectada directament a la Internet convencional. Això vol dir que si no hi ha algú que comparteix amb nosaltres la seva connexió ADSL no podem navegar per Internet. Per solventar això, alguns usuaris ens cedeixen part de la seva connexió ADSL mitjançant servidors "pont" o servidors proxy, que comuniquen Internet amb guifi.net perquè puguem navegar. Teniu en compte que alguns servidors pont ofereixen millor connexió que d'altres, per la qual cosa val la pena saber com emprar-los.<br />
<br />
Per poder emprar aquests servidors pont i navegar per Internet, heu indicar al vostre ordinador que faci servir-los. Això s'anomena "configurar un proxy" i per poder-lo emprar s'han d'activar algunes opcions al mateix navegador (Firefox, Chrome, Safari...).<br />
<br />
Si ja teniu un node i un usuari, podeu passar directament a l'apartat de Configurar un proxy.<br />
<br />
=Crear un usuari de guifi.net=<br />
Per poder accedir a Internet des de guifi.net necessitau un compte d'usuari i una contrasenya. Si algun administrador vos munta el node, demanau-li un usuari si encara no ho ha fet. Si el node el muntau vosaltres, haureu de tenir en compte que aquest '''usuari i contrasenya no són les mateixes amb què us registrau a la pàgina''', sinó que heu de sol·licitar-lo a la pestanya del vostre node. Això implica, per tant, que per poder-vos connectar als proxies de guifi.net necessitau haver creat vosaltres el node.<br />
<br />
Si el node el creau vosaltres, seguiu els passos següents :<br />
<br />
#Anau a un lloc on tengueu connexió a Internet.<br />
#Connectau-vos a la pàgina http://guifi.net/ca/user/register i creeu un compte d'usuari nou.<br />
#Creau el node seguint la guia de [[Unir-se_a_guifi.net,_en_tres_passos]].<br />
#Anau a la pàgina del vostre node, cercant-lo al camp "cerca" i pitjau sobre la pestanya "Usuaris". [[Fitxer:1Nouusuari.jpg|center]]<br />
#Pitjau sobre "Afegir usuari"[[Fitxer:2Nouusuari2.jpg|center]] i introduïu els camps. Posau nom i llinatges REALS i un correu REAL.<br />
#Esperau que l'administrador del sistema aprovi l'usuari. Insistiu-li si no ho fa.<br />
<br />
Una vegada l'usuari estigui aprovat, en activar serveis com el proxy haureu de posar aquestes credencials.<br />
<br />
=Configurar un proxy=<br />
<br />
Un servidor proxy és un "pont" entre guifi.net i Internet. Si volem poder accedir a les pàgines habituals, com ara Google o Youtube des de guifi.net, haurem<br />
de configurar el nostre navegador perquè es connecti mitjançant un servidor proxy.<br />
<br />
==Amb Firefox fent servir guifi-proxy==<br />
<br />
Existeix un addon per Firefox que ens permet gestionar ràpidament els servidors proxy, per si en tenim varis poder<br />
anar alternant de forma ràpida.<br />
<br />
# Descarregam el navegador firefox http://www.getfirefox.com i l’instal·lam.<br />
# Obrim el navegador firefox i descarreguem l’extensió https://addons.mozilla.org/addon/guifiproxy i fem clic a l’enllaç un cop descarregat i s’instal·larà (caldrà respondre a les preguntes que ens faci) i reiniciar el navegador quan ens digui.<br />
# Anam a Eines->Complements i pitjam sobre preferències a GuifiProxy, com podem veure a la imatge:[[Fitxer: 3Prefs_guifiproxy.jpg|center]]<br />
# Afegim un nou proxy pitjant sobre la creueta blava. [[Fitxer:4Nou_guifiproxy.jpg|center]]<br />
# Introduim el nom del servidor, per exemple: proxyvic.guifisoller.cat. Podeu consultar els servidors proxies disponibles a les respectives pàgines dels nodes de la vostra zona a la web de guifi.net com per exemple https://guifi.net/en/node/60609/view/nodeservices. El port generalment ha de ser el 3128. [[Fitxer:5Nou2_guifiproxy.jpg|center]]<br />
# Tornam al Firefox i activam el proxy pitjant sobre la "G" a dalt a la dreta. Amb la fletxeta del costat podem triar quin servidor dels registrats volem emprar. [[Fitxer:6Nou3_guifiproxy.jpg|center]]<br />
<br />
Us demanarà un usuari i contrasenya, que és el vostre usuari i contrasenya del proxy de guifi.net que heu creat anteriorment.<br />
<br />
==Amb Firefox de forma manual==<br />
<br />
Firefox permet configurar un proxy de forma nativa, tot i que és un sistema poc àgil, ja que cada vegada que el vulguem canviar haurem de perdre'ns entre bastantes opcions de menús i no podrem guardar-los. Es fa de la forma següent:<br />
<br />
Aneu a la pestanya "Edita". Pitgeu a "Preferències -> Avançat -> Paràmetres (Connexió)" i modificau els paràmetres tal que quedin així:<br />
[[Fitxer:7Nou3_guifiproxy.jpg|center]]<br />
<br />
El nom "Servidor Intermediari d'HTTP", proxyvic.guifisoller.cat, pot canviar-se per qualsevol direcció IP o nom del proxy. Consultau els proxies disponibles a la pàgina de<br />
[[serveis]].<br />
<br />
Us demanarà un usuari i contrasenya, que és el vostre usuari i contrasenya del proxy de guifi.net que heu creat anteriorment.<br />
<br />
==Chrome==<br />
# Baixeu l'extensió https://chrome.google.com/webstore/detail/proxy-switchysharp/dpplabbmogkhghncfbfdeeokoefdjegm.<br />
# Afegiu el nou perfil proxy anant a Eines->Extensions i pitjant sobre "Opcions" a Proxy SwitchySharp. Introduïu els paràmetres<br />
següents, tenint en compte que podeu canviar el nom del servidor proxy per qualsevol altre que estigui disponible (vegeu [[serveis]]). [[Fitxer:8Chrome_guifiproxy.jpg|center]]<br />
# Activau i canviau el proxy amb el botó de la bolla del món de la part superior dreta del Chrome.<br />
[[Fitxer:9Chrome2_guifiproxy.jpg|center|400px]]<br />
<br />
==Safari==<br />
#Seleccionau "Preferències" des del menú "Safari" de la barra d'eines.<br />
#Pitjau sobre la pestanya d'"Avançat", i després sobre "Canviar configuració".[[Fitxer:10Safariconfig2.jpg|center]]<br />
#Pels camps "Proxy de web HTTP", "Proxy de web HTTP segur", "Proxy de FTP", "Proxy de SOCKS" i "Proxy de streaming", activau-los i introduïu a cadascun d'ells el nom del servidor proxy, com ara proxyvic.guifisoller.cat amb el port 3128. <br />
#Marcau la casella "El proxy requereix usuari i contrasenya" i introduïu el vostre nom d'usuari i contrasenya de guifi.net que heu obtingut prèviament. Vegeu la resta de proxies disponibles a [[serveis]].[[Fitxer:11Safariconfig1.jpg|center]]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Accedir_a_Internet_amb_proxyAccedir a Internet amb proxy2015-06-30T08:09:36Z<p>Solleric: </p>
<hr />
<div>=Crear un usuari de guifi.net=<br />
Per poder accedir a Internet des de guifi.net necessitau un compte d'usuari i una contrasenya. Si algun administrador vos munta el node, demanau-li un usuari si encara no ho ha fet. Si el node el muntau vosaltres, haureu de tenir en compte que aquest '''usuari i contrasenya no són les mateixes amb què us registrau a la pàgina''', sinó que heu de sol·licitar-lo a la pestanya del vostre node. Això implica, per tant, que per poder-vos connectar als proxies de guifi.net necessitau haver creat vosaltres el node.<br />
<br />
Si el node el creau vosaltres, seguiu els passos següents :<br />
<br />
#Anau a un lloc on tengueu connexió a Internet.<br />
#Connectau-vos a la pàgina http://guifi.net/ca/user/register i creeu un compte d'usuari nou.<br />
#Creau el node seguint la guia de [[Unir-se_a_guifi.net,_en_tres_passos]].<br />
#Anau a la pàgina del vostre node, cercant-lo al camp "cerca" i pitjau sobre la pestanya "Usuaris". [[Fitxer:1Nouusuari.jpg|center]]<br />
#Pitjau sobre "Afegir usuari"[[Fitxer:2Nouusuari2.jpg|center]] i introduïu els camps. Posau nom i llinatges REALS i un correu REAL.<br />
#Esperau que l'administrador del sistema aprovi l'usuari. Insistiu-li si no ho fa.<br />
<br />
Una vegada l'usuari estigui aprovat, en activar serveis com el proxy haureu de posar aquestes credencials.<br />
<br />
=Configurar un proxy=<br />
<br />
Un servidor proxy és un "pont" entre guifi.net i Internet. Si volem poder accedir a les pàgines habituals, com ara Google o Youtube des de guifi.net, haurem<br />
de configurar el nostre navegador perquè es connecti mitjançant un servidor proxy.<br />
<br />
==Amb Firefox fent servir guifi-proxy==<br />
<br />
Existeix un addon per Firefox que ens permet gestionar ràpidament els servidors proxy, per si en tenim varis poder<br />
anar alternant de forma ràpida.<br />
<br />
# Descarregam el navegador firefox http://www.getfirefox.com i l’instal·lam.<br />
# Obrim el navegador firefox i descarreguem l’extensió https://addons.mozilla.org/addon/guifiproxy i fem clic a l’enllaç un cop descarregat i s’instal·larà (caldrà respondre a les preguntes que ens faci) i reiniciar el navegador quan ens digui.<br />
# Anam a Eines->Complements i pitjam sobre preferències a GuifiProxy, com podem veure a la imatge:[[Fitxer: 3Prefs_guifiproxy.jpg|center]]<br />
# Afegim un nou proxy pitjant sobre la creueta blava. [[Fitxer:4Nou_guifiproxy.jpg|center]]<br />
# Introduim el nom del servidor, per exemple: proxyvic.guifisoller.cat. Podeu consultar els servidors proxies disponibles a les respectives pàgines dels nodes de la vostra zona a la web de guifi.net com per exemple https://guifi.net/en/node/60609/view/nodeservices. El port generalment ha de ser el 3128. [[Fitxer:5Nou2_guifiproxy.jpg|center]]<br />
# Tornam al Firefox i activam el proxy pitjant sobre la "G" a dalt a la dreta. Amb la fletxeta del costat podem triar quin servidor dels registrats volem emprar. [[Fitxer:6Nou3_guifiproxy.jpg|center]]<br />
<br />
Us demanarà un usuari i contrasenya, que és el vostre usuari i contrasenya del proxy de guifi.net que heu creat anteriorment.<br />
<br />
==Amb Firefox de forma manual==<br />
<br />
Firefox permet configurar un proxy de forma nativa, tot i que és un sistema poc àgil, ja que cada vegada que el vulguem canviar haurem de perdre'ns entre bastantes opcions de menús i no podrem guardar-los. Es fa de la forma següent:<br />
<br />
Aneu a la pestanya "Edita". Pitgeu a "Preferències -> Avançat -> Paràmetres (Connexió)" i modificau els paràmetres tal que quedin així:<br />
[[Fitxer:7Nou3_guifiproxy.jpg|center]]<br />
<br />
El nom "Servidor Intermediari d'HTTP", proxyvic.guifisoller.cat, pot canviar-se per qualsevol direcció IP o nom del proxy. Consultau els proxies disponibles a la pàgina de<br />
[[serveis]].<br />
<br />
Us demanarà un usuari i contrasenya, que és el vostre usuari i contrasenya del proxy de guifi.net que heu creat anteriorment.<br />
<br />
==Chrome==<br />
# Baixeu l'extensió https://chrome.google.com/webstore/detail/proxy-switchysharp/dpplabbmogkhghncfbfdeeokoefdjegm.<br />
# Afegiu el nou perfil proxy anant a Eines->Extensions i pitjant sobre "Opcions" a Proxy SwitchySharp. Introduïu els paràmetres<br />
següents, tenint en compte que podeu canviar el nom del servidor proxy per qualsevol altre que estigui disponible (vegeu [[serveis]]). [[Fitxer:8Chrome_guifiproxy.jpg|center]]<br />
# Activau i canviau el proxy amb el botó de la bolla del món de la part superior dreta del Chrome.<br />
[[Fitxer:9Chrome2_guifiproxy.jpg|center|400px]]<br />
<br />
==Safari==<br />
#Seleccionau "Preferències" des del menú "Safari" de la barra d'eines.<br />
#Pitjau sobre la pestanya d'"Avançat", i després sobre "Canviar configuració".[[Fitxer:10Safariconfig2.jpg|center]]<br />
#Pels camps "Proxy de web HTTP", "Proxy de web HTTP segur", "Proxy de FTP", "Proxy de SOCKS" i "Proxy de streaming", activau-los i introduïu a cadascun d'ells el nom del servidor proxy, com ara proxyvic.guifisoller.cat amb el port 3128. <br />
#Marcau la casella "El proxy requereix usuari i contrasenya" i introduïu el vostre nom d'usuari i contrasenya de guifi.net que heu obtingut prèviament. Vegeu la resta de proxies disponibles a [[serveis]].[[Fitxer:11Safariconfig1.jpg|center]]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Accedir_a_Internet_amb_proxyAccedir a Internet amb proxy2015-06-30T07:40:42Z<p>Solleric: </p>
<hr />
<div>=Crear un usuari de guifi.net=<br />
Per poder accedir a Internet des de guifi.net necessitau un compte d'usuari i una contrasenya. Si algun administrador vos munta el node, demanau-li un usuari si encara no ho ha fet. Si el node el muntau vosaltres, haureu de tenir en compte que aquest '''usuari i contrasenya no són les mateixes amb què us registrau a la pàgina''', sinó que heu de sol·licitar-lo a la pestanya del vostre node. Això implica, per tant, que per poder-vos connectar als proxies de guifi.net necessitau haver creat vosaltres el node.<br />
<br />
Si el node el creau vosaltres, seguiu els passos següents :<br />
<br />
#Anau a un lloc on tengueu connexió a Internet.<br />
#Connectau-vos a la pàgina http://guifi.net/ca/user/register i creeu un compte d'usuari nou.<br />
#Creau el node seguint la guia de [[Unir-se_a_guifi.net,_en_tres_passos]].<br />
#Anau a la pàgina del vostre node, cercant-lo al camp "cerca" i pitjau sobre la pestanya "Usuaris". [[Fitxer:1Nouusuari.jpg|center]]<br />
#Pitjau sobre "Afegir usuari"[[Fitxer:2Nouusuari2.jpg|center]] i introduïu els camps. Posau nom i llinatges REALS i un correu REAL.<br />
#Esperau que l'administrador del sistema aprovi l'usuari. Insistiu-li si no ho fa.<br />
<br />
Una vegada l'usuari estigui aprovat, en activar serveis com el proxy haureu de posar aquestes credencials.<br />
<br />
=Configurar un proxy=<br />
<br />
Un servidor proxy és un "pont" entre guifi.net i Internet. Si volem poder accedir a les pàgines habituals, com ara Google o Youtube des de guifi.net, haurem<br />
de configurar el nostre navegador perquè es connecti mitjançant un servidor proxy.<br />
<br />
==Amb Firefox fent servir guifi-proxy==<br />
<br />
Existeix un addon per Firefox que ens permet gestionar ràpidament els servidors proxy, per si en tenim varis poder<br />
anar alternant de forma ràpida.<br />
<br />
# Descarregam el navegador firefox http://www.getfirefox.com i l’instal·lam.<br />
# Obrim el navegador firefox i descarreguem l’extensió https://addons.mozilla.org/addon/guifiproxy i fem clic a l’enllaç un cop descarregat i s’instal·larà (caldrà respondre a les preguntes que ens faci) i reiniciar el navegador quan ens digui.<br />
# Anam a Eines->Complements i pitjam sobre preferències a GuifiProxy, com podem veure a la imatge:[[Fitxer: 3Prefs_guifiproxy.jpg|center]]<br />
# Afegim un nou proxy pitjant sobre la creueta blava. [[Fitxer:4Nou_guifiproxy.jpg|center]]<br />
# Introduim el nom del servidor, per exemple: proxyvic.guifisoller.cat. Podeu consultar els proxies disponibles a [[serveis]]. El port sempre ha de ser 3128. [[Fitxer:5Nou2_guifiproxy.jpg|center]]<br />
# Tornam al Firefox i activam el proxy pitjant sobre la "G" a dalt a la dreta. Amb la fletxeta del costat podem triar quin servidor dels registrats volem emprar. [[Fitxer:6Nou3_guifiproxy.jpg|center]]<br />
<br />
Us demanarà un usuari i contrasenya, que és el vostre usuari i contrasenya del proxy de guifi.net que heu creat anteriorment.<br />
<br />
==Amb Firefox de forma manual==<br />
<br />
Firefox permet configurar un proxy de forma nativa, tot i que és un sistema poc àgil, ja que cada vegada que el vulguem canviar haurem de perdre'ns entre bastantes opcions de menús i no podrem guardar-los. Es fa de la forma següent:<br />
<br />
Aneu a la pestanya "Edita". Pitgeu a "Preferències -> Avançat -> Paràmetres (Connexió)" i modificau els paràmetres tal que quedin així:<br />
[[Fitxer:7Nou3_guifiproxy.jpg|center]]<br />
<br />
El nom "Servidor Intermediari d'HTTP", proxyvic.guifisoller.cat, pot canviar-se per qualsevol direcció IP o nom del proxy. Consultau els proxies disponibles a la pàgina de<br />
[[serveis]].<br />
<br />
Us demanarà un usuari i contrasenya, que és el vostre usuari i contrasenya del proxy de guifi.net que heu creat anteriorment.<br />
<br />
==Chrome==<br />
# Baixeu l'extensió https://chrome.google.com/webstore/detail/proxy-switchysharp/dpplabbmogkhghncfbfdeeokoefdjegm.<br />
# Afegiu el nou perfil proxy anant a Eines->Extensions i pitjant sobre "Opcions" a Proxy SwitchySharp. Introduïu els paràmetres<br />
següents, tenint en compte que podeu canviar el nom del servidor proxy per qualsevol altre que estigui disponible (vegeu [[serveis]]). [[Fitxer:8Chrome_guifiproxy.jpg|center]]<br />
# Activau i canviau el proxy amb el botó de la bolla del món de la part superior dreta del Chrome.<br />
[[Fitxer:9Chrome2_guifiproxy.jpg|center|400px]]<br />
<br />
==Safari==<br />
#Seleccionau "Preferències" des del menú "Safari" de la barra d'eines.<br />
#Pitjau sobre la pestanya d'"Avançat", i després sobre "Canviar configuració".[[Fitxer:10Safariconfig2.jpg|center]]<br />
#Pels camps "Proxy de web HTTP", "Proxy de web HTTP segur", "Proxy de FTP", "Proxy de SOCKS" i "Proxy de streaming", activau-los i introduïu a cadascun d'ells el nom del servidor proxy, com ara proxyvic.guifisoller.cat amb el port 3128. <br />
#Marcau la casella "El proxy requereix usuari i contrasenya" i introduïu el vostre nom d'usuari i contrasenya de guifi.net que heu obtingut prèviament. Vegeu la resta de proxies disponibles a [[serveis]].[[Fitxer:11Safariconfig1.jpg|center]]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Accedir_a_Internet_amb_proxyAccedir a Internet amb proxy2015-06-30T07:38:06Z<p>Solleric: </p>
<hr />
<div>=Crear un usuari de guifi.net=<br />
Per poder accedir a Internet des de guifi.net necessitau un compte d'usuari i una contrasenya. Si algun administrador vos munta el node, demanau-li un usuari si encara no ho ha fet. Si el node el muntau vosaltres, haureu de tenir en compte que aquest '''usuari i contrasenya no són les mateixes amb què us registrau a la pàgina''', sinó que heu de sol·licitar-lo a la pestanya del vostre node. Això implica, per tant, que per poder-vos connectar als proxies de guifi.net necessitau haver creat vosaltres el node.<br />
<br />
Si el node el creau vosaltres, seguiu els passos següents :<br />
<br />
#Anau a un lloc on tengueu connexió a Internet.<br />
#Connectau-vos a la pàgina http://guifi.net/ca/user/register i creeu un compte d'usuari nou.<br />
#Creau el node seguint la guia de [[En_Tres_Passos]].<br />
#Anau a la pàgina del vostre node, cercant-lo al camp "cerca" i pitjau sobre la pestanya "Usuaris". [[Fitxer:1Nouusuari.jpg|center]]<br />
#Pitjau sobre "Afegir usuari"[[Fitxer:2Nouusuari2.jpg|center]] i introduïu els camps. Posau nom i llinatges REALS i un correu REAL.<br />
#Esperau que l'administrador del sistema aprovi l'usuari. Insistiu-li si no ho fa.<br />
<br />
Una vegada l'usuari estigui aprovat, en activar serveis com el proxy haureu de posar aquestes credencials.<br />
<br />
=Configurar un proxy=<br />
<br />
Un servidor proxy és un "pont" entre guifi.net i Internet. Si volem poder accedir a les pàgines habituals, com ara Google o Youtube des de guifi.net, haurem<br />
de configurar el nostre navegador perquè es connecti mitjançant un servidor proxy.<br />
<br />
==Amb Firefox fent servir guifi-proxy==<br />
<br />
Existeix un addon per Firefox que ens permet gestionar ràpidament els servidors proxy, per si en tenim varis poder<br />
anar alternant de forma ràpida.<br />
<br />
# Descarregam el navegador firefox http://www.getfirefox.com i l’instal·lam.<br />
# Obrim el navegador firefox i descarreguem l’extensió https://addons.mozilla.org/addon/guifiproxy i fem clic a l’enllaç un cop descarregat i s’instal·larà (caldrà respondre a les preguntes que ens faci) i reiniciar el navegador quan ens digui.<br />
# Anam a Eines->Complements i pitjam sobre preferències a GuifiProxy, com podem veure a la imatge:[[Fitxer: 3Prefs_guifiproxy.jpg|center]]<br />
# Afegim un nou proxy pitjant sobre la creueta blava. [[Fitxer:4Nou_guifiproxy.jpg|center]]<br />
# Introduim el nom del servidor, per exemple: proxyvic.guifisoller.cat. Podeu consultar els proxies disponibles a [[serveis]]. El port sempre ha de ser 3128. [[Fitxer:5Nou2_guifiproxy.jpg|center]]<br />
# Tornam al Firefox i activam el proxy pitjant sobre la "G" a dalt a la dreta. Amb la fletxeta del costat podem triar quin servidor dels registrats volem emprar. [[Fitxer:6Nou3_guifiproxy.jpg|center]]<br />
<br />
Us demanarà un usuari i contrasenya, que és el vostre usuari i contrasenya del proxy de guifi.net que heu creat anteriorment.<br />
<br />
==Amb Firefox de forma manual==<br />
<br />
Firefox permet configurar un proxy de forma nativa, tot i que és un sistema poc àgil, ja que cada vegada que el vulguem canviar haurem de perdre'ns entre bastantes opcions de menús i no podrem guardar-los. Es fa de la forma següent:<br />
<br />
Aneu a la pestanya "Edita". Pitgeu a "Preferències -> Avançat -> Paràmetres (Connexió)" i modificau els paràmetres tal que quedin així:<br />
[[Fitxer:7Nou3_guifiproxy.jpg|center]]<br />
<br />
El nom "Servidor Intermediari d'HTTP", proxyvic.guifisoller.cat, pot canviar-se per qualsevol direcció IP o nom del proxy. Consultau els proxies disponibles a la pàgina de<br />
[[serveis]].<br />
<br />
Us demanarà un usuari i contrasenya, que és el vostre usuari i contrasenya del proxy de guifi.net que heu creat anteriorment.<br />
<br />
==Chrome==<br />
# Baixeu l'extensió https://chrome.google.com/webstore/detail/proxy-switchysharp/dpplabbmogkhghncfbfdeeokoefdjegm.<br />
# Afegiu el nou perfil proxy anant a Eines->Extensions i pitjant sobre "Opcions" a Proxy SwitchySharp. Introduïu els paràmetres<br />
següents, tenint en compte que podeu canviar el nom del servidor proxy per qualsevol altre que estigui disponible (vegeu [[serveis]]). [[Fitxer:8Chrome_guifiproxy.jpg|center]]<br />
# Activau i canviau el proxy amb el botó de la bolla del món de la part superior dreta del Chrome.<br />
[[Fitxer:9Chrome2_guifiproxy.jpg|center|400px]]<br />
<br />
==Safari==<br />
#Seleccionau "Preferències" des del menú "Safari" de la barra d'eines.<br />
#Pitjau sobre la pestanya d'"Avançat", i després sobre "Canviar configuració".[[Fitxer:10Safariconfig2.jpg|center]]<br />
#Pels camps "Proxy de web HTTP", "Proxy de web HTTP segur", "Proxy de FTP", "Proxy de SOCKS" i "Proxy de streaming", activau-los i introduïu a cadascun d'ells el nom del servidor proxy, com ara proxyvic.guifisoller.cat amb el port 3128. <br />
#Marcau la casella "El proxy requereix usuari i contrasenya" i introduïu el vostre nom d'usuari i contrasenya de guifi.net que heu obtingut prèviament. Vegeu la resta de proxies disponibles a [[serveis]].[[Fitxer:11Safariconfig1.jpg|center]]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Fitxer:2Nouusuari2.jpgFitxer:2Nouusuari2.jpg2015-06-30T07:37:50Z<p>Solleric: Solleric ha carregat una nova versió de «Fitxer:2Nouusuari2.jpg»</p>
<hr />
<div>MsUpload</div>Sollerichttp://ca.wiki.guifi.net/wiki/Fitxer:1Nouusuari.jpgFitxer:1Nouusuari.jpg2015-06-30T07:37:41Z<p>Solleric: Solleric ha carregat una nova versió de «Fitxer:1Nouusuari.jpg»</p>
<hr />
<div>MsUpload</div>Sollerichttp://ca.wiki.guifi.net/wiki/Fitxer:2Nouusuari2.jpgFitxer:2Nouusuari2.jpg2015-06-30T07:28:24Z<p>Solleric: Solleric ha carregat una nova versió de «Fitxer:2Nouusuari2.jpg»</p>
<hr />
<div>MsUpload</div>Sollerichttp://ca.wiki.guifi.net/wiki/Fitxer:2Nouusuari2.jpgFitxer:2Nouusuari2.jpg2015-06-30T07:27:34Z<p>Solleric: Solleric ha carregat una nova versió de «Fitxer:2Nouusuari2.jpg»</p>
<hr />
<div>MsUpload</div>Sollerichttp://ca.wiki.guifi.net/wiki/Accedir_a_Internet_amb_proxyAccedir a Internet amb proxy2015-06-30T07:26:46Z<p>Solleric: Es crea la pàgina amb «=Crear un usuari de guifi.net= Per poder accedir a Internet des de guifi.net necessitau un compte d'usuari i una contrasenya. Si algun administrador vos munta el node,...».</p>
<hr />
<div>=Crear un usuari de guifi.net=<br />
Per poder accedir a Internet des de guifi.net necessitau un compte d'usuari i una contrasenya. Si algun administrador vos munta el node, demanau-li un usuari si encara no ho ha fet. Si el node el muntau vosaltres, haureu de tenir en compte que aquest '''usuari i contrasenya no són les mateixes amb què us registrau a la pàgina''', sinó que heu de sol·licitar-lo a la pestanya del vostre node. Això implica, per tant, que per poder-vos connectar als proxies de guifi.net necessitau haver creat vosaltres el node.<br />
<br />
Si el node el creau vosaltres, seguiu els passos següents :<br />
<br />
#Anau a un lloc on tengueu connexió a Internet.<br />
#Connectau-vos a la pàgina http://guifi.net/ca/user/register i creeu un compte d'usuari nou.<br />
#Creau el node seguint la guia de [[En_Tres_Passos]].<br />
#Anau a la pàgina del vostre node, cercant-lo al camp "cerca" i pitjau sobre la pestanya "Usuaris". [[Fitxer:1Nouusuari.jpg|center|600px]]<br />
#Pitjau sobre "Afegir usuari"[[Fitxer:2Nouusuari2.jpg|center|600px]] i introduïu els camps. Posau nom i llinatges REALS i un correu REAL.<br />
#Esperau que l'administrador del sistema aprovi l'usuari. Insistiu-li si no ho fa.<br />
<br />
Una vegada l'usuari estigui aprovat, en activar serveis com el proxy haureu de posar aquestes credencials.<br />
<br />
=Configurar un proxy=<br />
<br />
Un servidor proxy és un "pont" entre guifi.net i Internet. Si volem poder accedir a les pàgines habituals, com ara Google o Youtube des de guifi.net, haurem<br />
de configurar el nostre navegador perquè es connecti mitjançant un servidor proxy.<br />
<br />
==Amb Firefox fent servir guifi-proxy==<br />
<br />
Existeix un addon per Firefox que ens permet gestionar ràpidament els servidors proxy, per si en tenim varis poder<br />
anar alternant de forma ràpida.<br />
<br />
# Descarregam el navegador firefox http://www.getfirefox.com i l’instal·lam.<br />
# Obrim el navegador firefox i descarreguem l’extensió https://addons.mozilla.org/addon/guifiproxy i fem clic a l’enllaç un cop descarregat i s’instal·larà (caldrà respondre a les preguntes que ens faci) i reiniciar el navegador quan ens digui.<br />
# Anam a Eines->Complements i pitjam sobre preferències a GuifiProxy, com podem veure a la imatge:[[Fitxer: 3Prefs_guifiproxy.jpg|center|600px]]<br />
# Afegim un nou proxy pitjant sobre la creueta blava. [[Fitxer:4Nou_guifiproxy.jpg|center|600px]]<br />
# Introduim el nom del servidor, per exemple: proxyvic.guifisoller.cat. Podeu consultar els proxies disponibles a [[serveis]]. El port sempre ha de ser 3128. [[Fitxer:5Nou2_guifiproxy.jpg|center|600px]]<br />
# Tornam al Firefox i activam el proxy pitjant sobre la "G" a dalt a la dreta. Amb la fletxeta del costat podem triar quin servidor dels registrats volem emprar. [[Fitxer:6Nou3_guifiproxy.jpg|center|600px]]<br />
<br />
Us demanarà un usuari i contrasenya, que és el vostre usuari i contrasenya del proxy de guifi.net que heu creat anteriorment.<br />
<br />
==Amb Firefox de forma manual==<br />
<br />
Firefox permet configurar un proxy de forma nativa, tot i que és un sistema poc àgil, ja que cada vegada que el vulguem canviar haurem de perdre'ns entre bastantes opcions de menús i no podrem guardar-los. Es fa de la forma següent:<br />
<br />
Aneu a la pestanya "Edita". Pitgeu a "Preferències -> Avançat -> Paràmetres (Connexió)" i modificau els paràmetres tal que quedin així:<br />
[[Fitxer:7Nou3_guifiproxy.jpg|center|400px]]<br />
<br />
El nom "Servidor Intermediari d'HTTP", proxyvic.guifisoller.cat, pot canviar-se per qualsevol direcció IP o nom del proxy. Consultau els proxies disponibles a la pàgina de<br />
[[serveis]].<br />
<br />
Us demanarà un usuari i contrasenya, que és el vostre usuari i contrasenya del proxy de guifi.net que heu creat anteriorment.<br />
<br />
==Chrome==<br />
# Baixeu l'extensió https://chrome.google.com/webstore/detail/proxy-switchysharp/dpplabbmogkhghncfbfdeeokoefdjegm.<br />
# Afegiu el nou perfil proxy anant a Eines->Extensions i pitjant sobre "Opcions" a Proxy SwitchySharp. Introduïu els paràmetres<br />
següents, tenint en compte que podeu canviar el nom del servidor proxy per qualsevol altre que estigui disponible (vegeu [[serveis]]). [[Fitxer:8Chrome_guifiproxy.jpg|center|400px]]<br />
# Activau i canviau el proxy amb el botó de la bolla del món de la part superior dreta del Chrome.<br />
[[Fitxer:9Chrome2_guifiproxy.jpg|center|400px]]<br />
<br />
==Safari==<br />
#Seleccionau "Preferències" des del menú "Safari" de la barra d'eines.<br />
#Pitjau sobre la pestanya d'"Avançat", i després sobre "Canviar configuració".[[Fitxer:10Safariconfig2.jpg|center|500px]]<br />
#Pels camps "Proxy de web HTTP", "Proxy de web HTTP segur", "Proxy de FTP", "Proxy de SOCKS" i "Proxy de streaming", activau-los i introduïu a cadascun d'ells el nom del servidor proxy, com ara proxyvic.guifisoller.cat amb el port 3128. <br />
#Marcau la casella "El proxy requereix usuari i contrasenya" i introduïu el vostre nom d'usuari i contrasenya de guifi.net que heu obtingut prèviament. Vegeu la resta de proxies disponibles a [[serveis]].[[Fitxer:11Safariconfig1.jpg|center|500px]]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Fitxer:8Chrome_guifiproxy.jpgFitxer:8Chrome guifiproxy.jpg2015-06-30T07:23:07Z<p>Solleric: MsUpload</p>
<hr />
<div>MsUpload</div>Sollerichttp://ca.wiki.guifi.net/wiki/Fitxer:9Chrome2_guifiproxy.jpgFitxer:9Chrome2 guifiproxy.jpg2015-06-30T07:23:07Z<p>Solleric: MsUpload</p>
<hr />
<div>MsUpload</div>Sollerichttp://ca.wiki.guifi.net/wiki/Fitxer:10Safariconfig2.jpgFitxer:10Safariconfig2.jpg2015-06-30T07:23:07Z<p>Solleric: MsUpload</p>
<hr />
<div>MsUpload</div>Sollerichttp://ca.wiki.guifi.net/wiki/Fitxer:11Safariconfig1.jpgFitxer:11Safariconfig1.jpg2015-06-30T07:23:07Z<p>Solleric: MsUpload</p>
<hr />
<div>MsUpload</div>Sollerichttp://ca.wiki.guifi.net/wiki/Fitxer:3Prefs_guifiproxy.jpgFitxer:3Prefs guifiproxy.jpg2015-06-30T07:23:06Z<p>Solleric: MsUpload</p>
<hr />
<div>MsUpload</div>Sollerichttp://ca.wiki.guifi.net/wiki/Fitxer:4Nou_guifiproxy.jpgFitxer:4Nou guifiproxy.jpg2015-06-30T07:23:06Z<p>Solleric: MsUpload</p>
<hr />
<div>MsUpload</div>Sollerichttp://ca.wiki.guifi.net/wiki/Fitxer:5Nou2_guifiproxy.jpgFitxer:5Nou2 guifiproxy.jpg2015-06-30T07:23:06Z<p>Solleric: MsUpload</p>
<hr />
<div>MsUpload</div>Sollerichttp://ca.wiki.guifi.net/wiki/Fitxer:6Nou3_guifiproxy.jpgFitxer:6Nou3 guifiproxy.jpg2015-06-30T07:23:06Z<p>Solleric: MsUpload</p>
<hr />
<div>MsUpload</div>Sollerichttp://ca.wiki.guifi.net/wiki/Fitxer:7Nou3_guifiproxy.jpgFitxer:7Nou3 guifiproxy.jpg2015-06-30T07:23:06Z<p>Solleric: MsUpload</p>
<hr />
<div>MsUpload</div>Sollerichttp://ca.wiki.guifi.net/wiki/Fitxer:1Nouusuari.jpgFitxer:1Nouusuari.jpg2015-06-30T07:23:05Z<p>Solleric: MsUpload</p>
<hr />
<div>MsUpload</div>Sollerichttp://ca.wiki.guifi.net/wiki/Fitxer:2Nouusuari2.jpgFitxer:2Nouusuari2.jpg2015-06-30T07:23:05Z<p>Solleric: MsUpload</p>
<hr />
<div>MsUpload</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-12T11:31:29Z<p>Solleric: </p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-s'hi. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir connexió ADSL amb qui el responsable d'oferir aquesta connexió vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat tant a l’ADSL com a guifi.net, i que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, aquests emeten dos SSIDs: <br />
<br />
* Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.<br />
* Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa del node '''client''' té les següents característiques:<br />
<br />
# Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge entre eth0 i wlan0: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils que fa el radioenllaç amb el supernode (10.0.0.0/8).<br />
# L'antena fa NAT o MASQUERADING amb el transit que surt per la interfície wlan0 (generalment, el radioenllaç amb el supernode).<br />
# El servidor DHCP de l'antena està DESACTIVAT.<br />
# Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== La xarxa als routers clients ===<br />
<br />
Els routers clients tendran en compte tres xarxes:<br />
<br />
* La xarxa oberta, rang 192.168.0.0/24, amb WiFi oberta sense accés a Internet, però amb accés a guifi.net. La IP del router en aquesta xarxa serà la 192.168.0.1/24.<br />
* La xarxa privada, rang 192.168.1.0/24, amb WiFi tancada amb accés a Internet i a guifi.net. Aquesta xarxa inclourà també l'antena amb IP 192.168.1.1/24.<br />
* La xarxa pública de guifi.net, de rang 10.0.0.0/8.<br />
* La xarxa d'VPN.<br />
<br />
La infraestructura dels nodes híbrids sol ser bastant senzilla i bastant pareguda entre tots ells, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no pot proveir WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena a la xarxa 192.168.1.0/24 i amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1). Així mateix, el Firewall permet l’accés de la WiFi privada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta. La WiFi oberta només permetrà l'encaminament per l'antena, mentre impedirà que el seu trànsit pugui anar per la VPN. D'aquesta manera, evitam que els usuaris connectats a la WiFi oberta puguin emprar Internet.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
=== La xarxa al servidor ===<br />
<br />
El servidor tendrà en compte 3 xarxes:<br />
<br />
* La xarxa interna de casa: La nostra xarxa de casa on s'hi troba el servidor i el router/modem ADSL. Suposem que és la xarxa 192.168.1.0/24.<br />
* La xarxa pública de guifi.net: La xarxa de guifi.net.<br />
* Internet.<br />
<br />
La xarxa del servidor VPN haurà de ser exactament la mateixa que la d'un servidor proxy: Tendrà dos NICs: Un connectat a la LAN de casa amb accés a Internet i un altre NIC connectat a la xarxa pública de guifi.net amb una IP pública del rang 10.0.0.0/8. Aquest servidor enrutarà tot el trànsit que vagi a la 10.0.0.0/8 i a la 172.16.0.0/16 per la interfície de guifi.net, mentre que tot el trànsit per defecte anirà per la interfície amb accés a Internet.<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració del servei ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
==== Configuració de la xarxa====<br />
<br />
El nostre servidor encaminarà tot el trànsit 10.0.0.0/8 i 172.16.0.0/16 per la interfície eth0 (de guifi.net), i tota la resta per la interfície eth1 (LAN de casa amb accés a Internet). El firewall haurà d'aplicar un NAT o MASQUERADING de tot el trànsit que surti per la interfície eth1 perquè el nostre router ADSL sàpiga contestar-nos.<br />
<br />
Per últim, però no menys important, el firewall també haurà d'evitar que els usuaris dels clients VPN puguin accedir a les IPs de dins de la LAN interna de casa. Per això, s'haurà de fer un drop dels paquets que vagin a les nostres IPs privades. En l'exemple són les IPs 192.168.1.0/25, però pot variar en cada cas.<br />
<br />
La configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
* Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
* Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
* Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
* Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuït els certificats o els revocareu tots i haureu de tornar-los a distribuir!'''<br />
<br />
* Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
Tant a <nom_CA> com a <nom_server> com a tot el que demani es pot posar qualsevol cosa, que l'efecte serà el mateix. El camp de contrasenya també pot estar buit.<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiïn al router client tendran totes el mateix nom (client 1).<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que questa restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
# Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
# Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una vegada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
# Una vegada la imatge estigui carregada connectau-vos al router mitjançant telnet a la IP 192.168.1.2 i se vos obrirà un senzill programa de configuració.<br />
# Canviau la contrasenya de root i reiniciau el router.<br />
# Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_cert_client>.crt i <nom_cert_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també dels certificats del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
# És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenVPN, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre. També es fa masquerading a la br-lan perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 V9 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-12T10:07:05Z<p>Solleric: /* Assumpcions */</p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-s'hi. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir connexió ADSL amb qui el responsable d'oferir aquesta connexió vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat tant a l’ADSL com a guifi.net, i que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, aquests emeten dos SSIDs: <br />
<br />
· Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.<br />
<br />
· Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa del node '''client''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge entre eth0 i wlan0: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils que fa el radioenllaç amb el supernode (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT o MASQUERADING amb el transit que surt per la interfície wlan0 (generalment, el radioenllaç amb el supernode).<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== La xarxa als routers clients ===<br />
<br />
Els routers clients tendran en compte tres xarxes:<br />
<br />
· La xarxa oberta, rang 192.168.0.0/24, amb WiFi oberta sense accés a Internet, però amb accés a guifi.net. La IP del router en aquesta xarxa serà la 192.168.0.1/24.<br />
<br />
· La xarxa privada, rang 192.168.1.0/24, amb WiFi tancada amb accés a Internet i a guifi.net. Aquesta xarxa inclourà també l'antena amb IP 192.168.1.1/24.<br />
<br />
· La xarxa pública de guifi.net, de rang 10.0.0.0/8.<br />
<br />
· La xarxa d'VPN.<br />
<br />
La infraestructura dels nodes híbrids sol ser bastant senzilla i bastant pareguda entre tots ells, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no pot proveir WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena a la xarxa 192.168.1.0/24 i amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1). Així mateix, el Firewall permet l’accés de la WiFi privada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta. La WiFi oberta només permetrà l'encaminament per l'antena, mentre impedirà que el seu trànsit pugui anar per la VPN. D'aquesta manera, evitam que els usuaris connectats a la WiFi oberta puguin emprar Internet.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
=== La xarxa al servidor ===<br />
<br />
El servidor tendrà en compte 3 xarxes:<br />
<br />
· La xarxa interna de casa: La nostra xarxa de casa on s'hi troba el servidor i el router/modem ADSL. Suposem que és la xarxa 192.168.1.0/24.<br />
<br />
· La xarxa pública de guifi.net: La xarxa de guifi.net.<br />
<br />
· Internet.<br />
<br />
La xarxa del servidor VPN haurà de ser exactament la mateixa que la d'un servidor proxy: Tendrà dos NICs: Un connectat a la LAN de casa amb accés a Internet i un altre NIC connectat a la xarxa pública de guifi.net amb una IP pública del rang 10.0.0.0/8. Aquest servidor enrutarà tot el trànsit que vagi a la 10.0.0.0/8 i a la 172.16.0.0/16 per la interfície de guifi.net, mentre que tot el trànsit per defecte anirà per la interfície amb accés a Internet.<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració del servei ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
==== Configuració de la xarxa====<br />
<br />
El nostre servidor encaminarà tot el trànsit 10.0.0.0/8 i 172.16.0.0/16 per la interfície eth0 (de guifi.net), i tota la resta per la interfície eth1 (LAN de casa amb accés a Internet). El firewall haurà d'aplicar un NAT o MASQUERADING de tot el trànsit que surti per la interfície eth1 perquè el nostre router ADSL sàpiga contestar-nos.<br />
<br />
Per últim, però no menys important, el firewall també haurà d'evitar que els usuaris dels clients VPN puguin accedir a les IPs de dins de la LAN interna de casa. Per això, s'haurà de fer un drop dels paquets que vagin a les nostres IPs privades. En l'exemple són les IPs 192.168.1.0/25, però pot variar en cada cas.<br />
<br />
La configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuït els certificats o els revocareu tots i haureu de tornar-los a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
Tant a <nom_CA> com a <nom_server> com a tot el que demani es pot posar qualsevol cosa, que l'efecte serà el mateix. El camp de contrasenya també pot estar buit.<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiïn al router client tendran totes el mateix nom (client 1).<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que questa restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una vegada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada connectau-vos al router mitjançant telnet a la IP 192.168.1.2 i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router.<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_cert_client>.crt i <nom_cert_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també dels certificats del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenVPN, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre. També es fa masquerading a la br-lan perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 V9 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-12T08:03:55Z<p>Solleric: /* La xarxa als routers clients */</p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-s'hi. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir connexió ADSL amb qui el responsable d'oferir aquesta connexió vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat tant a l’ADSL com a guifi.net, i que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, aquests emeten dos SSIDs: <br />
<br />
· Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.<br />
<br />
· Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge entre eth0 i wlan0: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils que fa el radioenllaç amb el supernode (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT o MASQUERADING amb el transit que surt per la interfície wlan0 (generalment, el radioenllaç amb el supernode).<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== La xarxa als routers clients ===<br />
<br />
Els routers clients tendran en compte tres xarxes:<br />
<br />
· La xarxa oberta, rang 192.168.0.0/24, amb WiFi oberta sense accés a Internet, però amb accés a guifi.net. La IP del router en aquesta xarxa serà la 192.168.0.1/24.<br />
<br />
· La xarxa privada, rang 192.168.1.0/24, amb WiFi tancada amb accés a Internet i a guifi.net. Aquesta xarxa inclourà també l'antena amb IP 192.168.1.1/24.<br />
<br />
· La xarxa pública de guifi.net, de rang 10.0.0.0/8.<br />
<br />
· La xarxa d'VPN.<br />
<br />
La infraestructura dels nodes híbrids sol ser bastant senzilla i bastant pareguda entre tots ells, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no pot proveir WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena a la xarxa 192.168.1.0/24 i amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1). Així mateix, el Firewall permet l’accés de la WiFi privada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta. La WiFi oberta només permetrà l'encaminament per l'antena, mentre impedirà que el seu trànsit pugui anar per la VPN. D'aquesta manera, evitam que els usuaris connectats a la WiFi oberta puguin emprar Internet.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
=== La xarxa al servidor ===<br />
<br />
El servidor tendrà en compte 3 xarxes:<br />
<br />
· La xarxa interna de casa: La nostra xarxa de casa on s'hi troba el servidor i el router/modem ADSL. Suposem que és la xarxa 192.168.1.0/24.<br />
<br />
· La xarxa pública de guifi.net: La xarxa de guifi.net.<br />
<br />
· Internet.<br />
<br />
La xarxa del servidor VPN haurà de ser exactament la mateixa que la d'un servidor proxy: Tendrà dos NICs: Un connectat a la LAN de casa amb accés a Internet i un altre NIC connectat a la xarxa pública de guifi.net amb una IP pública del rang 10.0.0.0/8. Aquest servidor enrutarà tot el trànsit que vagi a la 10.0.0.0/8 i a la 172.16.0.0/16 per la interfície de guifi.net, mentre que tot el trànsit per defecte anirà per la interfície amb accés a Internet.<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració del servei ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
==== Configuració de la xarxa====<br />
<br />
El nostre servidor encaminarà tot el trànsit 10.0.0.0/8 i 172.16.0.0/16 per la interfície eth0 (de guifi.net), i tota la resta per la interfície eth1 (LAN de casa amb accés a Internet). El firewall haurà d'aplicar un NAT o MASQUERADING de tot el trànsit que surti per la interfície eth1 perquè el nostre router ADSL sàpiga contestar-nos.<br />
<br />
Per últim, però no menys important, el firewall també haurà d'evitar que els usuaris dels clients VPN puguin accedir a les IPs de dins de la LAN interna de casa. Per això, s'haurà de fer un drop dels paquets que vagin a les nostres IPs privades. En l'exemple són les IPs 192.168.1.0/25, però pot variar en cada cas.<br />
<br />
La configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuït els certificats o els revocareu tots i haureu de tornar-los a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
Tant a <nom_CA> com a <nom_server> com a tot el que demani es pot posar qualsevol cosa, que l'efecte serà el mateix. El camp de contrasenya també pot estar buit.<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiïn al router client tendran totes el mateix nom (client 1).<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que questa restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una vegada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada connectau-vos al router mitjançant telnet a la IP 192.168.1.2 i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router.<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_cert_client>.crt i <nom_cert_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també dels certificats del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenVPN, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre. També es fa masquerading a la br-lan perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 V9 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-12T08:02:42Z<p>Solleric: /* La xarxa als routers clients */</p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-s'hi. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir connexió ADSL amb qui el responsable d'oferir aquesta connexió vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat tant a l’ADSL com a guifi.net, i que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, aquests emeten dos SSIDs: <br />
<br />
· Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.<br />
<br />
· Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge entre eth0 i wlan0: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils que fa el radioenllaç amb el supernode (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT o MASQUERADING amb el transit que surt per la interfície wlan0 (generalment, el radioenllaç amb el supernode).<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== La xarxa als routers clients ===<br />
<br />
Els routers clients tendran en compte tres xarxes:<br />
<br />
· La xarxa oberta, amb WiFi oberta sense accés a Internet, però amb accés a guifi.net. IPs 192.168.0.1/24.<br />
<br />
· La xarxa privada, amb WiFi tancada amb accés a Internet i a guifi.net. Aquesta xarxa inclourà també l'antena. IPs 192.168.1.1/24.<br />
<br />
· La xarxa pública de guifi.net.<br />
<br />
· La xarxa d'VPN.<br />
<br />
La infraestructura dels nodes híbrids sol ser bastant senzilla i bastant pareguda entre tots ells, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no pot proveir WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena a la xarxa 192.168.1.0/24 i amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1). Així mateix, el Firewall permet l’accés de la WiFi privada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta. La WiFi oberta només permetrà l'encaminament per l'antena, mentre impedirà que el seu trànsit pugui anar per la VPN. D'aquesta manera, evitam que els usuaris connectats a la WiFi oberta puguin emprar Internet.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
=== La xarxa al servidor ===<br />
<br />
El servidor tendrà en compte 3 xarxes:<br />
<br />
· La xarxa interna de casa: La nostra xarxa de casa on s'hi troba el servidor i el router/modem ADSL. Suposem que és la xarxa 192.168.1.0/24.<br />
<br />
· La xarxa pública de guifi.net: La xarxa de guifi.net.<br />
<br />
· Internet.<br />
<br />
La xarxa del servidor VPN haurà de ser exactament la mateixa que la d'un servidor proxy: Tendrà dos NICs: Un connectat a la LAN de casa amb accés a Internet i un altre NIC connectat a la xarxa pública de guifi.net amb una IP pública del rang 10.0.0.0/8. Aquest servidor enrutarà tot el trànsit que vagi a la 10.0.0.0/8 i a la 172.16.0.0/16 per la interfície de guifi.net, mentre que tot el trànsit per defecte anirà per la interfície amb accés a Internet.<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració del servei ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
==== Configuració de la xarxa====<br />
<br />
El nostre servidor encaminarà tot el trànsit 10.0.0.0/8 i 172.16.0.0/16 per la interfície eth0 (de guifi.net), i tota la resta per la interfície eth1 (LAN de casa amb accés a Internet). El firewall haurà d'aplicar un NAT o MASQUERADING de tot el trànsit que surti per la interfície eth1 perquè el nostre router ADSL sàpiga contestar-nos.<br />
<br />
Per últim, però no menys important, el firewall també haurà d'evitar que els usuaris dels clients VPN puguin accedir a les IPs de dins de la LAN interna de casa. Per això, s'haurà de fer un drop dels paquets que vagin a les nostres IPs privades. En l'exemple són les IPs 192.168.1.0/25, però pot variar en cada cas.<br />
<br />
La configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuït els certificats o els revocareu tots i haureu de tornar-los a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
Tant a <nom_CA> com a <nom_server> com a tot el que demani es pot posar qualsevol cosa, que l'efecte serà el mateix. El camp de contrasenya també pot estar buit.<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiïn al router client tendran totes el mateix nom (client 1).<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que questa restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una vegada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada connectau-vos al router mitjançant telnet a la IP 192.168.1.2 i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router.<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_cert_client>.crt i <nom_cert_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també dels certificats del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenVPN, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre. També es fa masquerading a la br-lan perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 V9 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-12T08:02:32Z<p>Solleric: /* La Idea */</p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-s'hi. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir connexió ADSL amb qui el responsable d'oferir aquesta connexió vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat tant a l’ADSL com a guifi.net, i que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, aquests emeten dos SSIDs: <br />
<br />
· Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.<br />
<br />
· Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge entre eth0 i wlan0: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils que fa el radioenllaç amb el supernode (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT o MASQUERADING amb el transit que surt per la interfície wlan0 (generalment, el radioenllaç amb el supernode).<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== La xarxa als routers clients ===<br />
<br />
Els routers clients tendran en compte tres xarxes:<br />
<br />
· La xarxa oberta, amb WiFi oberta sense accés a Internet, però amb accés a guifi.net. IPs 192.168.0.1/24.<br />
· La xarxa privada, amb WiFi tancada amb accés a Internet i a guifi.net. Aquesta xarxa inclourà també l'antena. IPs 192.168.1.1/24.<br />
· La xarxa pública de guifi.net.<br />
· La xarxa d'VPN.<br />
<br />
La infraestructura dels nodes híbrids sol ser bastant senzilla i bastant pareguda entre tots ells, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no pot proveir WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena a la xarxa 192.168.1.0/24 i amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1). Així mateix, el Firewall permet l’accés de la WiFi privada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta. La WiFi oberta només permetrà l'encaminament per l'antena, mentre impedirà que el seu trànsit pugui anar per la VPN. D'aquesta manera, evitam que els usuaris connectats a la WiFi oberta puguin emprar Internet.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
=== La xarxa al servidor ===<br />
<br />
El servidor tendrà en compte 3 xarxes:<br />
<br />
· La xarxa interna de casa: La nostra xarxa de casa on s'hi troba el servidor i el router/modem ADSL. Suposem que és la xarxa 192.168.1.0/24.<br />
<br />
· La xarxa pública de guifi.net: La xarxa de guifi.net.<br />
<br />
· Internet.<br />
<br />
La xarxa del servidor VPN haurà de ser exactament la mateixa que la d'un servidor proxy: Tendrà dos NICs: Un connectat a la LAN de casa amb accés a Internet i un altre NIC connectat a la xarxa pública de guifi.net amb una IP pública del rang 10.0.0.0/8. Aquest servidor enrutarà tot el trànsit que vagi a la 10.0.0.0/8 i a la 172.16.0.0/16 per la interfície de guifi.net, mentre que tot el trànsit per defecte anirà per la interfície amb accés a Internet.<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració del servei ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
==== Configuració de la xarxa====<br />
<br />
El nostre servidor encaminarà tot el trànsit 10.0.0.0/8 i 172.16.0.0/16 per la interfície eth0 (de guifi.net), i tota la resta per la interfície eth1 (LAN de casa amb accés a Internet). El firewall haurà d'aplicar un NAT o MASQUERADING de tot el trànsit que surti per la interfície eth1 perquè el nostre router ADSL sàpiga contestar-nos.<br />
<br />
Per últim, però no menys important, el firewall també haurà d'evitar que els usuaris dels clients VPN puguin accedir a les IPs de dins de la LAN interna de casa. Per això, s'haurà de fer un drop dels paquets que vagin a les nostres IPs privades. En l'exemple són les IPs 192.168.1.0/25, però pot variar en cada cas.<br />
<br />
La configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuït els certificats o els revocareu tots i haureu de tornar-los a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
Tant a <nom_CA> com a <nom_server> com a tot el que demani es pot posar qualsevol cosa, que l'efecte serà el mateix. El camp de contrasenya també pot estar buit.<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiïn al router client tendran totes el mateix nom (client 1).<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que questa restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una vegada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada connectau-vos al router mitjançant telnet a la IP 192.168.1.2 i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router.<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_cert_client>.crt i <nom_cert_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també dels certificats del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenVPN, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre. També es fa masquerading a la br-lan perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 V9 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-12T08:02:20Z<p>Solleric: /* La xarxa al servidor */</p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-s'hi. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir connexió ADSL amb qui el responsable d'oferir aquesta connexió vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat tant a l’ADSL com a guifi.net, i que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, aquests emeten dos SSIDs: <br />
<br />
· Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.<br />
· Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge entre eth0 i wlan0: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils que fa el radioenllaç amb el supernode (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT o MASQUERADING amb el transit que surt per la interfície wlan0 (generalment, el radioenllaç amb el supernode).<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== La xarxa als routers clients ===<br />
<br />
Els routers clients tendran en compte tres xarxes:<br />
<br />
· La xarxa oberta, amb WiFi oberta sense accés a Internet, però amb accés a guifi.net. IPs 192.168.0.1/24.<br />
· La xarxa privada, amb WiFi tancada amb accés a Internet i a guifi.net. Aquesta xarxa inclourà també l'antena. IPs 192.168.1.1/24.<br />
· La xarxa pública de guifi.net.<br />
· La xarxa d'VPN.<br />
<br />
La infraestructura dels nodes híbrids sol ser bastant senzilla i bastant pareguda entre tots ells, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no pot proveir WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena a la xarxa 192.168.1.0/24 i amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1). Així mateix, el Firewall permet l’accés de la WiFi privada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta. La WiFi oberta només permetrà l'encaminament per l'antena, mentre impedirà que el seu trànsit pugui anar per la VPN. D'aquesta manera, evitam que els usuaris connectats a la WiFi oberta puguin emprar Internet.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
=== La xarxa al servidor ===<br />
<br />
El servidor tendrà en compte 3 xarxes:<br />
<br />
· La xarxa interna de casa: La nostra xarxa de casa on s'hi troba el servidor i el router/modem ADSL. Suposem que és la xarxa 192.168.1.0/24.<br />
<br />
· La xarxa pública de guifi.net: La xarxa de guifi.net.<br />
<br />
· Internet.<br />
<br />
La xarxa del servidor VPN haurà de ser exactament la mateixa que la d'un servidor proxy: Tendrà dos NICs: Un connectat a la LAN de casa amb accés a Internet i un altre NIC connectat a la xarxa pública de guifi.net amb una IP pública del rang 10.0.0.0/8. Aquest servidor enrutarà tot el trànsit que vagi a la 10.0.0.0/8 i a la 172.16.0.0/16 per la interfície de guifi.net, mentre que tot el trànsit per defecte anirà per la interfície amb accés a Internet.<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració del servei ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
==== Configuració de la xarxa====<br />
<br />
El nostre servidor encaminarà tot el trànsit 10.0.0.0/8 i 172.16.0.0/16 per la interfície eth0 (de guifi.net), i tota la resta per la interfície eth1 (LAN de casa amb accés a Internet). El firewall haurà d'aplicar un NAT o MASQUERADING de tot el trànsit que surti per la interfície eth1 perquè el nostre router ADSL sàpiga contestar-nos.<br />
<br />
Per últim, però no menys important, el firewall també haurà d'evitar que els usuaris dels clients VPN puguin accedir a les IPs de dins de la LAN interna de casa. Per això, s'haurà de fer un drop dels paquets que vagin a les nostres IPs privades. En l'exemple són les IPs 192.168.1.0/25, però pot variar en cada cas.<br />
<br />
La configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuït els certificats o els revocareu tots i haureu de tornar-los a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
Tant a <nom_CA> com a <nom_server> com a tot el que demani es pot posar qualsevol cosa, que l'efecte serà el mateix. El camp de contrasenya també pot estar buit.<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiïn al router client tendran totes el mateix nom (client 1).<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que questa restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una vegada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada connectau-vos al router mitjançant telnet a la IP 192.168.1.2 i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router.<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_cert_client>.crt i <nom_cert_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també dels certificats del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenVPN, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre. També es fa masquerading a la br-lan perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 V9 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-11T10:18:44Z<p>Solleric: /* Enllaços externs */</p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-s'hi. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir connexió ADSL amb qui el responsable d'oferir aquesta connexió vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat tant a l’ADSL com a guifi.net, i que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, aquests emeten dos SSIDs: <br />
<br />
· Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.<br />
· Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge entre eth0 i wlan0: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils que fa el radioenllaç amb el supernode (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT o MASQUERADING amb el transit que surt per la interfície wlan0 (generalment, el radioenllaç amb el supernode).<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== La xarxa als routers clients ===<br />
<br />
Els routers clients tendran en compte tres xarxes:<br />
<br />
· La xarxa oberta, amb WiFi oberta sense accés a Internet, però amb accés a guifi.net. IPs 192.168.0.1/24.<br />
· La xarxa privada, amb WiFi tancada amb accés a Internet i a guifi.net. Aquesta xarxa inclourà també l'antena. IPs 192.168.1.1/24.<br />
· La xarxa pública de guifi.net.<br />
· La xarxa d'VPN.<br />
<br />
La infraestructura dels nodes híbrids sol ser bastant senzilla i bastant pareguda entre tots ells, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no pot proveir WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena a la xarxa 192.168.1.0/24 i amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1). Així mateix, el Firewall permet l’accés de la WiFi privada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta. La WiFi oberta només permetrà l'encaminament per l'antena, mentre impedirà que el seu trànsit pugui anar per la VPN. D'aquesta manera, evitam que els usuaris connectats a la WiFi oberta puguin emprar Internet.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
=== La xarxa al servidor ===<br />
<br />
El servidor tendrà en compte 3 xarxes:<br />
<br />
· La xarxa interna de casa: La nostra xarxa de casa on s'hi troba el servidor i el router/modem ADSL. Suposem que és la xarxa 192.168.1.0/24.<br />
· La xarxa pública de guifi.net: La xarxa de guifi.net.<br />
· Internet.<br />
<br />
La xarxa del servidor VPN haurà de ser exactament la mateixa que la d'un servidor proxy: Tendrà dos NICs: Un connectat a la LAN de casa amb accés a Internet i un altre NIC connectat a la xarxa pública de guifi.net amb una IP pública del rang 10.0.0.0/8. Aquest servidor enrutarà tot el trànsit que vagi a la 10.0.0.0/8 i a la 172.16.0.0/16 per la interfície de guifi.net, mentre que tot el trànsit per defecte anirà per la interfície amb accés a Internet.<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració del servei ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
==== Configuració de la xarxa====<br />
<br />
El nostre servidor encaminarà tot el trànsit 10.0.0.0/8 i 172.16.0.0/16 per la interfície eth0 (de guifi.net), i tota la resta per la interfície eth1 (LAN de casa amb accés a Internet). El firewall haurà d'aplicar un NAT o MASQUERADING de tot el trànsit que surti per la interfície eth1 perquè el nostre router ADSL sàpiga contestar-nos.<br />
<br />
Per últim, però no menys important, el firewall també haurà d'evitar que els usuaris dels clients VPN puguin accedir a les IPs de dins de la LAN interna de casa. Per això, s'haurà de fer un drop dels paquets que vagin a les nostres IPs privades. En l'exemple són les IPs 192.168.1.0/25, però pot variar en cada cas.<br />
<br />
La configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuït els certificats o els revocareu tots i haureu de tornar-los a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
Tant a <nom_CA> com a <nom_server> com a tot el que demani es pot posar qualsevol cosa, que l'efecte serà el mateix. El camp de contrasenya també pot estar buit.<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiïn al router client tendran totes el mateix nom (client 1).<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que questa restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una vegada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada connectau-vos al router mitjançant telnet a la IP 192.168.1.2 i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router.<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_cert_client>.crt i <nom_cert_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també dels certificats del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenVPN, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre. També es fa masquerading a la br-lan perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 V9 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-11T10:16:11Z<p>Solleric: /* DHCP */</p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-s'hi. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir connexió ADSL amb qui el responsable d'oferir aquesta connexió vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat tant a l’ADSL com a guifi.net, i que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, aquests emeten dos SSIDs: <br />
<br />
· Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.<br />
· Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge entre eth0 i wlan0: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils que fa el radioenllaç amb el supernode (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT o MASQUERADING amb el transit que surt per la interfície wlan0 (generalment, el radioenllaç amb el supernode).<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== La xarxa als routers clients ===<br />
<br />
Els routers clients tendran en compte tres xarxes:<br />
<br />
· La xarxa oberta, amb WiFi oberta sense accés a Internet, però amb accés a guifi.net. IPs 192.168.0.1/24.<br />
· La xarxa privada, amb WiFi tancada amb accés a Internet i a guifi.net. Aquesta xarxa inclourà també l'antena. IPs 192.168.1.1/24.<br />
· La xarxa pública de guifi.net.<br />
· La xarxa d'VPN.<br />
<br />
La infraestructura dels nodes híbrids sol ser bastant senzilla i bastant pareguda entre tots ells, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no pot proveir WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena a la xarxa 192.168.1.0/24 i amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1). Així mateix, el Firewall permet l’accés de la WiFi privada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta. La WiFi oberta només permetrà l'encaminament per l'antena, mentre impedirà que el seu trànsit pugui anar per la VPN. D'aquesta manera, evitam que els usuaris connectats a la WiFi oberta puguin emprar Internet.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
=== La xarxa al servidor ===<br />
<br />
El servidor tendrà en compte 3 xarxes:<br />
<br />
· La xarxa interna de casa: La nostra xarxa de casa on s'hi troba el servidor i el router/modem ADSL. Suposem que és la xarxa 192.168.1.0/24.<br />
· La xarxa pública de guifi.net: La xarxa de guifi.net.<br />
· Internet.<br />
<br />
La xarxa del servidor VPN haurà de ser exactament la mateixa que la d'un servidor proxy: Tendrà dos NICs: Un connectat a la LAN de casa amb accés a Internet i un altre NIC connectat a la xarxa pública de guifi.net amb una IP pública del rang 10.0.0.0/8. Aquest servidor enrutarà tot el trànsit que vagi a la 10.0.0.0/8 i a la 172.16.0.0/16 per la interfície de guifi.net, mentre que tot el trànsit per defecte anirà per la interfície amb accés a Internet.<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració del servei ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
==== Configuració de la xarxa====<br />
<br />
El nostre servidor encaminarà tot el trànsit 10.0.0.0/8 i 172.16.0.0/16 per la interfície eth0 (de guifi.net), i tota la resta per la interfície eth1 (LAN de casa amb accés a Internet). El firewall haurà d'aplicar un NAT o MASQUERADING de tot el trànsit que surti per la interfície eth1 perquè el nostre router ADSL sàpiga contestar-nos.<br />
<br />
Per últim, però no menys important, el firewall també haurà d'evitar que els usuaris dels clients VPN puguin accedir a les IPs de dins de la LAN interna de casa. Per això, s'haurà de fer un drop dels paquets que vagin a les nostres IPs privades. En l'exemple són les IPs 192.168.1.0/25, però pot variar en cada cas.<br />
<br />
La configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuït els certificats o els revocareu tots i haureu de tornar-los a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
Tant a <nom_CA> com a <nom_server> com a tot el que demani es pot posar qualsevol cosa, que l'efecte serà el mateix. El camp de contrasenya també pot estar buit.<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiïn al router client tendran totes el mateix nom (client 1).<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que questa restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una vegada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada connectau-vos al router mitjançant telnet a la IP 192.168.1.2 i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router.<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_cert_client>.crt i <nom_cert_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també dels certificats del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenVPN, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre. També es fa masquerading a la br-lan perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-11T10:15:07Z<p>Solleric: /* Resolució de problemes habituals */</p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-s'hi. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir connexió ADSL amb qui el responsable d'oferir aquesta connexió vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat tant a l’ADSL com a guifi.net, i que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, aquests emeten dos SSIDs: <br />
<br />
· Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.<br />
· Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge entre eth0 i wlan0: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils que fa el radioenllaç amb el supernode (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT o MASQUERADING amb el transit que surt per la interfície wlan0 (generalment, el radioenllaç amb el supernode).<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== La xarxa als routers clients ===<br />
<br />
Els routers clients tendran en compte tres xarxes:<br />
<br />
· La xarxa oberta, amb WiFi oberta sense accés a Internet, però amb accés a guifi.net. IPs 192.168.0.1/24.<br />
· La xarxa privada, amb WiFi tancada amb accés a Internet i a guifi.net. Aquesta xarxa inclourà també l'antena. IPs 192.168.1.1/24.<br />
· La xarxa pública de guifi.net.<br />
· La xarxa d'VPN.<br />
<br />
La infraestructura dels nodes híbrids sol ser bastant senzilla i bastant pareguda entre tots ells, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no pot proveir WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena a la xarxa 192.168.1.0/24 i amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1). Així mateix, el Firewall permet l’accés de la WiFi privada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta. La WiFi oberta només permetrà l'encaminament per l'antena, mentre impedirà que el seu trànsit pugui anar per la VPN. D'aquesta manera, evitam que els usuaris connectats a la WiFi oberta puguin emprar Internet.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
=== La xarxa al servidor ===<br />
<br />
El servidor tendrà en compte 3 xarxes:<br />
<br />
· La xarxa interna de casa: La nostra xarxa de casa on s'hi troba el servidor i el router/modem ADSL. Suposem que és la xarxa 192.168.1.0/24.<br />
· La xarxa pública de guifi.net: La xarxa de guifi.net.<br />
· Internet.<br />
<br />
La xarxa del servidor VPN haurà de ser exactament la mateixa que la d'un servidor proxy: Tendrà dos NICs: Un connectat a la LAN de casa amb accés a Internet i un altre NIC connectat a la xarxa pública de guifi.net amb una IP pública del rang 10.0.0.0/8. Aquest servidor enrutarà tot el trànsit que vagi a la 10.0.0.0/8 i a la 172.16.0.0/16 per la interfície de guifi.net, mentre que tot el trànsit per defecte anirà per la interfície amb accés a Internet.<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració del servei ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
==== Configuració de la xarxa====<br />
<br />
El nostre servidor encaminarà tot el trànsit 10.0.0.0/8 i 172.16.0.0/16 per la interfície eth0 (de guifi.net), i tota la resta per la interfície eth1 (LAN de casa amb accés a Internet). El firewall haurà d'aplicar un NAT o MASQUERADING de tot el trànsit que surti per la interfície eth1 perquè el nostre router ADSL sàpiga contestar-nos.<br />
<br />
Per últim, però no menys important, el firewall també haurà d'evitar que els usuaris dels clients VPN puguin accedir a les IPs de dins de la LAN interna de casa. Per això, s'haurà de fer un drop dels paquets que vagin a les nostres IPs privades. En l'exemple són les IPs 192.168.1.0/25, però pot variar en cada cas.<br />
<br />
La configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuït els certificats o els revocareu tots i haureu de tornar-los a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
Tant a <nom_CA> com a <nom_server> com a tot el que demani es pot posar qualsevol cosa, que l'efecte serà el mateix. El camp de contrasenya també pot estar buit.<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiïn al router client tendran totes el mateix nom (client 1).<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que questa restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una vegada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada connectau-vos al router mitjançant telnet a la IP 192.168.1.2 i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router.<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_cert_client>.crt i <nom_cert_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també dels certificats del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenVPN, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre. També es fa masquerading a la br-lan perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1 o alguna altra.<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-11T10:10:35Z<p>Solleric: /* Instal·lació de programari al TP-LINK WR841N */</p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-s'hi. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir connexió ADSL amb qui el responsable d'oferir aquesta connexió vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat tant a l’ADSL com a guifi.net, i que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, aquests emeten dos SSIDs: <br />
<br />
· Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.<br />
· Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge entre eth0 i wlan0: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils que fa el radioenllaç amb el supernode (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT o MASQUERADING amb el transit que surt per la interfície wlan0 (generalment, el radioenllaç amb el supernode).<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== La xarxa als routers clients ===<br />
<br />
Els routers clients tendran en compte tres xarxes:<br />
<br />
· La xarxa oberta, amb WiFi oberta sense accés a Internet, però amb accés a guifi.net. IPs 192.168.0.1/24.<br />
· La xarxa privada, amb WiFi tancada amb accés a Internet i a guifi.net. Aquesta xarxa inclourà també l'antena. IPs 192.168.1.1/24.<br />
· La xarxa pública de guifi.net.<br />
· La xarxa d'VPN.<br />
<br />
La infraestructura dels nodes híbrids sol ser bastant senzilla i bastant pareguda entre tots ells, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no pot proveir WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena a la xarxa 192.168.1.0/24 i amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1). Així mateix, el Firewall permet l’accés de la WiFi privada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta. La WiFi oberta només permetrà l'encaminament per l'antena, mentre impedirà que el seu trànsit pugui anar per la VPN. D'aquesta manera, evitam que els usuaris connectats a la WiFi oberta puguin emprar Internet.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
=== La xarxa al servidor ===<br />
<br />
El servidor tendrà en compte 3 xarxes:<br />
<br />
· La xarxa interna de casa: La nostra xarxa de casa on s'hi troba el servidor i el router/modem ADSL. Suposem que és la xarxa 192.168.1.0/24.<br />
· La xarxa pública de guifi.net: La xarxa de guifi.net.<br />
· Internet.<br />
<br />
La xarxa del servidor VPN haurà de ser exactament la mateixa que la d'un servidor proxy: Tendrà dos NICs: Un connectat a la LAN de casa amb accés a Internet i un altre NIC connectat a la xarxa pública de guifi.net amb una IP pública del rang 10.0.0.0/8. Aquest servidor enrutarà tot el trànsit que vagi a la 10.0.0.0/8 i a la 172.16.0.0/16 per la interfície de guifi.net, mentre que tot el trànsit per defecte anirà per la interfície amb accés a Internet.<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració del servei ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
==== Configuració de la xarxa====<br />
<br />
El nostre servidor encaminarà tot el trànsit 10.0.0.0/8 i 172.16.0.0/16 per la interfície eth0 (de guifi.net), i tota la resta per la interfície eth1 (LAN de casa amb accés a Internet). El firewall haurà d'aplicar un NAT o MASQUERADING de tot el trànsit que surti per la interfície eth1 perquè el nostre router ADSL sàpiga contestar-nos.<br />
<br />
Per últim, però no menys important, el firewall també haurà d'evitar que els usuaris dels clients VPN puguin accedir a les IPs de dins de la LAN interna de casa. Per això, s'haurà de fer un drop dels paquets que vagin a les nostres IPs privades. En l'exemple són les IPs 192.168.1.0/25, però pot variar en cada cas.<br />
<br />
La configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuït els certificats o els revocareu tots i haureu de tornar-los a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
Tant a <nom_CA> com a <nom_server> com a tot el que demani es pot posar qualsevol cosa, que l'efecte serà el mateix. El camp de contrasenya també pot estar buit.<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiïn al router client tendran totes el mateix nom (client 1).<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que questa restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una vegada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada connectau-vos al router mitjançant telnet a la IP 192.168.1.2 i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router.<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_cert_client>.crt i <nom_cert_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també dels certificats del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenVPN, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre, i a la LAN, perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1 o alguna altra.<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-11T09:06:51Z<p>Solleric: </p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-s'hi. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir connexió ADSL amb qui el responsable d'oferir aquesta connexió vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat tant a l’ADSL com a guifi.net, i que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, aquests emeten dos SSIDs: <br />
<br />
· Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.<br />
· Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge entre eth0 i wlan0: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils que fa el radioenllaç amb el supernode (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT o MASQUERADING amb el transit que surt per la interfície wlan0 (generalment, el radioenllaç amb el supernode).<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== La xarxa als routers clients ===<br />
<br />
Els routers clients tendran en compte tres xarxes:<br />
<br />
· La xarxa oberta, amb WiFi oberta sense accés a Internet, però amb accés a guifi.net. IPs 192.168.0.1/24.<br />
· La xarxa privada, amb WiFi tancada amb accés a Internet i a guifi.net. Aquesta xarxa inclourà també l'antena. IPs 192.168.1.1/24.<br />
· La xarxa pública de guifi.net.<br />
· La xarxa d'VPN.<br />
<br />
La infraestructura dels nodes híbrids sol ser bastant senzilla i bastant pareguda entre tots ells, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no pot proveir WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena a la xarxa 192.168.1.0/24 i amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1). Així mateix, el Firewall permet l’accés de la WiFi privada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta. La WiFi oberta només permetrà l'encaminament per l'antena, mentre impedirà que el seu trànsit pugui anar per la VPN. D'aquesta manera, evitam que els usuaris connectats a la WiFi oberta puguin emprar Internet.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
=== La xarxa al servidor ===<br />
<br />
El servidor tendrà en compte 3 xarxes:<br />
<br />
· La xarxa interna de casa: La nostra xarxa de casa on s'hi troba el servidor i el router/modem ADSL. Suposem que és la xarxa 192.168.1.0/24.<br />
· La xarxa pública de guifi.net: La xarxa de guifi.net.<br />
· Internet.<br />
<br />
La xarxa del servidor VPN haurà de ser exactament la mateixa que la d'un servidor proxy: Tendrà dos NICs: Un connectat a la LAN de casa amb accés a Internet i un altre NIC connectat a la xarxa pública de guifi.net amb una IP pública del rang 10.0.0.0/8. Aquest servidor enrutarà tot el trànsit que vagi a la 10.0.0.0/8 i a la 172.16.0.0/16 per la interfície de guifi.net, mentre que tot el trànsit per defecte anirà per la interfície amb accés a Internet.<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració del servei ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
==== Configuració de la xarxa====<br />
<br />
El nostre servidor encaminarà tot el trànsit 10.0.0.0/8 i 172.16.0.0/16 per la interfície eth0 (de guifi.net), i tota la resta per la interfície eth1 (LAN de casa amb accés a Internet). El firewall haurà d'aplicar un NAT o MASQUERADING de tot el trànsit que surti per la interfície eth1 perquè el nostre router ADSL sàpiga contestar-nos.<br />
<br />
Per últim, però no menys important, el firewall també haurà d'evitar que els usuaris dels clients VPN puguin accedir a les IPs de dins de la LAN interna de casa. Per això, s'haurà de fer un drop dels paquets que vagin a les nostres IPs privades. En l'exemple són les IPs 192.168.1.0/25, però pot variar en cada cas.<br />
<br />
La configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuït els certificats o els revocareu tots i haureu de tornar-los a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
Tant a <nom_CA> com a <nom_server> com a tot el que demani es pot posar qualsevol cosa, que l'efecte serà el mateix. El camp de contrasenya també pot estar buit.<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiïn al router client tendran totes el mateix nom (client 1).<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que questa restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una vegada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada connectau-vos al router mitjançant telnet a la IP 192.168.1.2 i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router.<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_cert_client>.crt i <nom_cert_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també dels certificats del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenWRT, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre, i a la LAN, perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1 o alguna altra.<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-11T07:31:07Z<p>Solleric: </p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-s'hi. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir connexió ADSL amb qui el responsable d'oferir aquesta connexió vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat tant a l’ADSL com a guifi.net, i que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, aquests emeten dos SSIDs: <br />
<br />
· Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.<br />
· Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge entre eth0 i wlan0: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils que fa el radioenllaç amb el supernode (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT o MASQUERADING amb el transit que surt per la interfície wlan0 (generalment, el radioenllaç amb el supernode).<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== Configuració de la xarxa als routers clients ===<br />
La infraestructura dels nodes híbrids sol ser bastant senzilla i bastant pareguda entre tots ells, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no ens pot proveir d’una WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena, a la xarxa 192.168.1.0/24, amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1).<br />
<br />
Així mateix, el Firewall permet l’accés de la WiFi tancada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta, la qual només podria enrutar-se per l’antena 192.168.1.1.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
I la configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuit claus o les revocareu totes i haureu de tornar-les a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
Tant a <nom_CA> com a <nom_server> com a tot el que demani es pot posar qualsevol cosa, que l'efecte serà el mateix. El camp de contrasenya també pot estar buit.<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiïn al router client tendran totes el mateix nom (client 1).<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que no aquesta restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una baixada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada, connectau-vos al router mitjançant telnet a la IP 192.168.1.2, i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router:<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_clau_client>.crt i <nom_clau_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també de les claus del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenWRT, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre, i a la LAN, perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1 o alguna altra.<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-10T15:06:23Z<p>Solleric: </p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-s'hi. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir connexió ADSL amb qui el responsable d'oferir aquesta connexió vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat tant a l’ADSL com a guifi.net, i que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, aquests emeten dos SSIDs: <br />
<br />
· Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.<br />
· Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge entre eth0 i wlan0: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils que fa el radioenllaç amb el supernode (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT o MASQUERADING amb el transit que surt per la interfície wlan0 (generalment, el radioenllaç amb el supernode).<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== Configuració de la xarxa als routers clients ===<br />
La infraestructura dels nodes híbrids hauria de ser, en gairebé tots els casos, idèntica, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no ens pot proveir d’una WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena, a la xarxa 192.168.1.0/24, amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1).<br />
<br />
Així mateix, el Firewall permet l’accés de la WiFi tancada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta, la qual només podria enrutar-se per l’antena 192.168.1.1.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
I la configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuit claus o les revocareu totes i haureu de tornar-les a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
Tant a <nom_CA> com a <nom_server> com a tot el que demani es pot posar qualsevol cosa, que l'efecte serà el mateix. El camp de contrasenya també pot estar buit.<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiïn al router client tendran totes el mateix nom (client 1).<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que no aquesta restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una baixada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada, connectau-vos al router mitjançant telnet a la IP 192.168.1.2, i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router:<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_clau_client>.crt i <nom_clau_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també de les claus del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenWRT, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre, i a la LAN, perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1 o alguna altra.<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-10T14:11:48Z<p>Solleric: /* Creació de certificats */</p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-s'hi. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir la nostra connexió ADSL amb qui el responsable del servidor vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable del servidor vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat a l’ADSL i a guifi.net, que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, es distribueixen dos SSIDs: un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN; i un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT des de la LAN interna del client a la WLAN que connecta amb guifi.net.<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router que funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== Configuració de la xarxa als routers clients ===<br />
La infraestructura dels nodes híbrids hauria de ser, en gairebé tots els casos, idèntica, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no ens pot proveir d’una WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena, a la xarxa 192.168.1.0/24, amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1).<br />
<br />
Així mateix, el Firewall permet l’accés de la WiFi tancada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta, la qual només podria enrutar-se per l’antena 192.168.1.1.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
I la configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuit claus o les revocareu totes i haureu de tornar-les a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
Tant a <nom_CA> com a <nom_server> com a tot el que demani es pot posar qualsevol cosa, que l'efecte serà el mateix. El camp de contrasenya també pot estar buit.<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiïn al router client tendran totes el mateix nom (client 1).<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que no aquesta restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una baixada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada, connectau-vos al router mitjançant telnet a la IP 192.168.1.2, i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router:<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_clau_client>.crt i <nom_clau_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també de les claus del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenWRT, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre, i a la LAN, perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1 o alguna altra.<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-10T14:11:32Z<p>Solleric: /* Creació de certificats */</p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-s'hi. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir la nostra connexió ADSL amb qui el responsable del servidor vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable del servidor vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat a l’ADSL i a guifi.net, que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, es distribueixen dos SSIDs: un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN; i un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT des de la LAN interna del client a la WLAN que connecta amb guifi.net.<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router que funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== Configuració de la xarxa als routers clients ===<br />
La infraestructura dels nodes híbrids hauria de ser, en gairebé tots els casos, idèntica, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no ens pot proveir d’una WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena, a la xarxa 192.168.1.0/24, amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1).<br />
<br />
Així mateix, el Firewall permet l’accés de la WiFi tancada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta, la qual només podria enrutar-se per l’antena 192.168.1.1.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
I la configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuit claus o les revocareu totes i haureu de tornar-les a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
Tant a <nom_CA> com a <nom_server> com a tot el que demani es pot posar qualsevol cosa, que l'efecte serà el mateix. El camp de contrasenya també pot estar buit.<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copïin al router client tendran totes el mateix nom (client 1).<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que no aquesta restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una baixada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada, connectau-vos al router mitjançant telnet a la IP 192.168.1.2, i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router:<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_clau_client>.crt i <nom_clau_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també de les claus del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenWRT, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre, i a la LAN, perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1 o alguna altra.<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-09T13:45:06Z<p>Solleric: </p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-s'hi. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir la nostra connexió ADSL amb qui el responsable del servidor vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable del servidor vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat a l’ADSL i a guifi.net, que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, es distribueixen dos SSIDs: un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN; i un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT des de la LAN interna del client a la WLAN que connecta amb guifi.net.<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router que funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== Configuració de la xarxa als routers clients ===<br />
La infraestructura dels nodes híbrids hauria de ser, en gairebé tots els casos, idèntica, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no ens pot proveir d’una WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena, a la xarxa 192.168.1.0/24, amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1).<br />
<br />
Així mateix, el Firewall permet l’accés de la WiFi tancada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta, la qual només podria enrutar-se per l’antena 192.168.1.1.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
I la configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuit claus o les revocareu totes i haureu de tornar-les a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiin al router client tendran totes el mateix nom (client 1).<br />
<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que no aquesta restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una baixada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada, connectau-vos al router mitjançant telnet a la IP 192.168.1.2, i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router:<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_clau_client>.crt i <nom_clau_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també de les claus del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenWRT, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre, i a la LAN, perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1 o alguna altra.<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-08T07:19:10Z<p>Solleric: /* Configuració */</p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-se. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir la nostra connexió ADSL amb qui el responsable del servidor vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable del servidor vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat a l’ADSL i a guifi.net, que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, es distribueixen dos SSIDs: un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN; i un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT des de la LAN interna del client a la WLAN que connecta amb guifi.net.<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router que funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== Configuració de la xarxa als routers clients ===<br />
La infraestructura dels nodes híbrids hauria de ser, en gairebé tots els casos, idèntica, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no ens pot proveir d’una WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena, a la xarxa 192.168.1.0/24, amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1).<br />
<br />
Així mateix, el Firewall permet l’accés de la WiFi tancada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta, la qual només podria enrutar-se per l’antena 192.168.1.1.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TCP<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
I la configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuit claus o les revocareu totes i haureu de tornar-les a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiin al router client tendran totes el mateix nom (client 1).<br />
<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que no aquesta restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una baixada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada, connectau-vos al router mitjançant telnet a la IP 192.168.1.2, i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router:<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_clau_client>.crt i <nom_clau_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també de les claus del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenWRT, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre, i a la LAN, perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1 o alguna altra.<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-08T07:18:47Z<p>Solleric: /* Configuració de la xarxa als routers clients */</p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-se. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir la nostra connexió ADSL amb qui el responsable del servidor vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable del servidor vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat a l’ADSL i a guifi.net, que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, es distribueixen dos SSIDs: un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN; i un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT des de la LAN interna del client a la WLAN que connecta amb guifi.net.<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router que funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== Configuració de la xarxa als routers clients ===<br />
La infraestructura dels nodes híbrids hauria de ser, en gairebé tots els casos, idèntica, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no ens pot proveir d’una WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena, a la xarxa 192.168.1.0/24, amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN ha de tenir com a ruta per defecte la interfície tun de la VPN, però també ha de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1).<br />
<br />
Així mateix, el Firewall permet l’accés de la WiFi tancada cap a la VPN, mentre que no en permet l’accés per la WiFi oberta, la qual només podria enrutar-se per l’antena 192.168.1.1.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TPC…<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
I la configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuit claus o les revocareu totes i haureu de tornar-les a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiin al router client tendran totes el mateix nom (client 1).<br />
<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que no aquesta restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una baixada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada, connectau-vos al router mitjançant telnet a la IP 192.168.1.2, i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router:<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_clau_client>.crt i <nom_clau_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també de les claus del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenWRT, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre, i a la LAN, perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1 o alguna altra.<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-08T07:16:34Z<p>Solleric: </p>
<hr />
<div><br />
Tot i que no és convenient aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-se. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los complicada i pot fer desistir als usuaris menys convençuts, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir la nostra connexió ADSL amb qui el responsable del servidor vulgui. A la vegada, estant segurs de què només la fa servir qui el responsable del servidor vol i amb la possibilitat de limitar i controlar les connexions dels usuaris (p.ex. no permetre que visitin segons quins llocs). La condició és que l'usuari final no tengui necessitat de configurar absolutament res al seu terminal, i que la configuració dels routers i APs dels clients sigui senzilla i replicable.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat a l’ADSL i a guifi.net, que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, es distribueixen dos SSIDs: un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN; i un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils (10.0.0.0/8).<br />
<br />
2. L'antena fa NAT des de la LAN interna del client a la WLAN que connecta amb guifi.net.<br />
<br />
3. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
4. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router que funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.<br />
<br />
=== Configuració de la xarxa als routers clients ===<br />
La infraestructura dels nodes híbrids hauria de ser, en gairebé tots els casos, idèntica, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no ens pot proveir d’una WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena, a la xarxa 192.168.1.0/24, amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN hauria de tenir com a ruta per defecte la interfície tun de la VPN, però també hauria de redirigir tota IP 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1).<br />
<br />
Així mateix, el Firewall permetria l’accés de la WiFi tancada cap a la VPN, mentre que no en permetria l’accés per la WiFi oberta, la qual només podria enrutar-se per l’antena 192.168.1.1.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
== Instal·lació ==<br />
<br />
=== Servidor ===<br />
==== Instal·lació ====<br />
La instal·lació es farà sobre un Ubuntu Server 14.04. Com tots els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
S'han d'instal·lar els següents paquets:<br />
<br />
<code><br />
$ sudo apt-get install openvpn<br />
$ sudo apt-get install openssl<br />
</code><br />
<br />
==== Configuració ====<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TPC…<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
I la configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuit claus o les revocareu totes i haureu de tornar-les a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiin al router client tendran totes el mateix nom (client 1).<br />
<br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el responsable del servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
<br />
La limitació és que no aquesta restricció d'ample de banda també s'aplicarà en fer peticions de qualsevol tipus al servidor. És a dir, també s'aplicarà la restricció en fer peticions HTTPs, DNS, FTP...<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una baixada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada, connectau-vos al router mitjançant telnet a la IP 192.168.1.2, i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router:<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_clau_client>.crt i <nom_clau_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també de les claus del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenWRT, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre, i a la LAN, perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1 o alguna altra.<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-07T12:57:11Z<p>Solleric: /* DHCP */</p>
<hr />
<div><br />
Tot i que no és conveninent aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-se a Internet. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los engorrosa i pot fer-los desistir, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir la nostra connexió ADSL amb qui el servidor vulgui, estant segurs de què només qui el servidor vol la fa servir i amb la possibilitat de limitar i controlar la connexió d’aquests usuaris (p.ex. no permetre que visitin segons quins llocs), sempre sense que l'usuari final tengui necessitat de configurar absolutament res al seu terminal. La intenció és que, al menys a la part dels APs del client, la configuració d’aquest sistema sigui molt simple, replicable fàcilment i que només s’hagi de fer una vegada.<br />
<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat a l’ADSL i a Guifi.net, que enruti el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de Guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, es distribueixen dos SSIDs: un d’obert i que només permet accedir a les rutes de guifi.net, i un de privat, que encamina tot el trànsit que no va a cap IP pública de Guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Topologia de la Xarxa en nodes híbrids===<br />
Com que la infraestructura dels nodes híbrids és, o hauria de ser, idèntica entre tots ells, suposarem que cada node es composa d’una antena connectada al supernode, que fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net (10.0.0.0/8). Aquesta antena fa NAT i una IP interna privada arbitrària (per simplicitat, suposem 192.168.1.1).<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no ens pot proveir d’una WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena, a la xarxa 192.168.1.0/24, amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN hauria de tenir com a ruta per defecte la interfície tun de la VPN, però també hauria de redirigir tot el que fos 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1).<br />
<br />
Així mateix, el Firewall permetria l’accés de la WiFi tancada cap a la VPN, mentre que no en permetria l’accés per la WiFi oberta, la qual només podria enrutar-se per l’antena 192.168.1.1.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
== Instal·lació ==<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge: És a dir, la interfície wlan i la eth de l'antena (la cablejada i la sense fils) són diferents.<br />
<br />
2. La interfície sense fils correspon a la LAN interna del client amb IP 192.168.1.1/24.<br />
<br />
3. Es fa NAT des de la LAN interna del client a la WLAN que connecta amb guifi.net.<br />
<br />
4. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
=== Servidor ===<br />
La instal·lació està feta sobre un Ubuntu Server 14.04 prou antic (AMD Athlon(tm) 64 X2 Dual Core Processor 4200+). Com els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TPC…<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
I la configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
La limitació és que no podem especificar que si la petició va a la nostra màquina (DNS, ftp, http etc.) no tengui en compte la restricció d’ample de banda.<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuit claus o les revocareu totes i haureu de tornar-les a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiin al router client tendran totes el mateix nom (client 1).<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una baixada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada, connectau-vos al router mitjançant telnet a la IP 192.168.1.2, i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router:<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_clau_client>.crt i <nom_clau_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també de les claus del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenWRT, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre, i a la LAN, perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1 o alguna altra.<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-07T12:56:28Z<p>Solleric: </p>
<hr />
<div><br />
Tot i que no és conveninent aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-se a Internet. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los engorrosa i pot fer-los desistir, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir la nostra connexió ADSL amb qui el servidor vulgui, estant segurs de què només qui el servidor vol la fa servir i amb la possibilitat de limitar i controlar la connexió d’aquests usuaris (p.ex. no permetre que visitin segons quins llocs), sempre sense que l'usuari final tengui necessitat de configurar absolutament res al seu terminal. La intenció és que, al menys a la part dels APs del client, la configuració d’aquest sistema sigui molt simple, replicable fàcilment i que només s’hagi de fer una vegada.<br />
<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat a l’ADSL i a Guifi.net, que enruti el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de Guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, es distribueixen dos SSIDs: un d’obert i que només permet accedir a les rutes de guifi.net, i un de privat, que encamina tot el trànsit que no va a cap IP pública de Guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Topologia de la Xarxa en nodes híbrids===<br />
Com que la infraestructura dels nodes híbrids és, o hauria de ser, idèntica entre tots ells, suposarem que cada node es composa d’una antena connectada al supernode, que fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net (10.0.0.0/8). Aquesta antena fa NAT i una IP interna privada arbitrària (per simplicitat, suposem 192.168.1.1).<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no ens pot proveir d’una WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena, a la xarxa 192.168.1.0/24, amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN hauria de tenir com a ruta per defecte la interfície tun de la VPN, però també hauria de redirigir tot el que fos 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1).<br />
<br />
Així mateix, el Firewall permetria l’accés de la WiFi tancada cap a la VPN, mentre que no en permetria l’accés per la WiFi oberta, la qual només podria enrutar-se per l’antena 192.168.1.1.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
== Instal·lació ==<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge: És a dir, la interfície wlan i la eth de l'antena (la cablejada i la sense fils) són diferents.<br />
<br />
2. La interfície sense fils correspon a la LAN interna del client amb IP 192.168.1.1/24.<br />
<br />
3. Es fa NAT des de la LAN interna del client a la WLAN que connecta amb guifi.net.<br />
<br />
4. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
=== Servidor ===<br />
La instal·lació està feta sobre un Ubuntu Server 14.04 prou antic (AMD Athlon(tm) 64 X2 Dual Core Processor 4200+). Com els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TPC…<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
I la configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
La limitació és que no podem especificar que si la petició va a la nostra màquina (DNS, ftp, http etc.) no tengui en compte la restricció d’ample de banda.<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuit claus o les revocareu totes i haureu de tornar-les a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiin al router client tendran totes el mateix nom (client 1).<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una baixada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada, connectau-vos al router mitjançant telnet a la IP 192.168.1.2, i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router:<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_clau_client>.crt i <nom_clau_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també de les claus del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenWRT, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre, i a la LAN, perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la 192.168.1.1 o alguna altra.<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
<br />
Imatge del firmware pel TP-LINK WR841 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]<br />
<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Alternativa_al_proxy_amb_VPNAlternativa al proxy amb VPN2014-09-07T12:54:42Z<p>Solleric: Es crea la pàgina amb «Tot i que no és conveninent aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu d...».</p>
<hr />
<div>Tot i que no és conveninent aplicar l'argument de l'Internet Gratis perquè la gent s'interessi per guifi.net, és cert que per alguns usuaris el principal atractiu de la xarxa és la possibilitat de connectar-se a Internet. La idea de fer servir un servidor proxy per poder-se connectar a Internet pot resultar-los engorrosa i pot fer-los desistir, especialment si es connecten a través de dispositius mòbils i fan servir aplicacions que no permeten l'ús d'un proxy.<br />
<br />
L'objectiu d'aquest article és, per tant, trobar una manera de compartir la nostra connexió ADSL amb qui el servidor vulgui, estant segurs de què només qui el servidor vol la fa servir i amb la possibilitat de limitar i controlar la connexió d’aquests usuaris (p.ex. no permetre que visitin segons quins llocs), sempre sense que l'usuari final tengui necessitat de configurar absolutament res al seu terminal. La intenció és que, al menys a la part dels APs del client, la configuració d’aquest sistema sigui molt simple, replicable fàcilment i que només s’hagi de fer una vegada.<br />
<br />
== La Idea ==<br />
La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat a l’ADSL i a Guifi.net, que enruti el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de Guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, es distribueixen dos SSIDs: un d’obert i que només permet accedir a les rutes de guifi.net, i un de privat, que encamina tot el trànsit que no va a cap IP pública de Guifi.net a través del túnel VPN.<br />
<br />
[[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]<br />
<br />
=== Topologia de la Xarxa en nodes híbrids===<br />
Com que la infraestructura dels nodes híbrids és, o hauria de ser, idèntica entre tots ells, suposarem que cada node es composa d’una antena connectada al supernode, que fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net (10.0.0.0/8). Aquesta antena fa NAT i una IP interna privada arbitrària (per simplicitat, suposem 192.168.1.1).<br />
<br />
El nostre router client d’VPN, però, no serà l’antena, perquè aquesta no ens pot proveir d’una WiFi dins la casa. Aquest nou router haurà d’anar connectat directament a l’antena, a la xarxa 192.168.1.0/24, amb la IP 192.168.1.2. Per no haver de crear més xarxes, més NATs i més IPs, la WiFi privada també està dins la xarxa 192.168.1.0/24, mentre que la pública es troba a la xarxa 192.168.0.0/24 amb IP 192.168.0.1.<br />
<br />
D’aquesta manera, qualsevol usuari hauria de tenir com a porta d’enllaç per defecte el router client VPN. El propi router client VPN hauria de tenir com a ruta per defecte la interfície tun de la VPN, però també hauria de redirigir tot el que fos 10.0.0.0/8 i 172.16.0.0/16 cap a l’antena (192.168.1.1).<br />
<br />
Així mateix, el Firewall permetria l’accés de la WiFi tancada cap a la VPN, mentre que no en permetria l’accés per la WiFi oberta, la qual només podria enrutar-se per l’antena 192.168.1.1.<br />
<br />
[[Fitxer:Nodeinternvpn.png|thumb|center|upright=2.5|Esquema d'un node client de guifi.net amb un client VPN.]]<br />
<br />
== Instal·lació ==<br />
=== Assumpcions ===<br />
Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:<br />
<br />
1. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge: És a dir, la interfície wlan i la eth de l'antena (la cablejada i la sense fils) són diferents.<br />
<br />
2. La interfície sense fils correspon a la LAN interna del client amb IP 192.168.1.1/24.<br />
<br />
3. Es fa NAT des de la LAN interna del client a la WLAN que connecta amb guifi.net.<br />
<br />
4. El servidor DHCP de l'antena està DESACTIVAT.<br />
<br />
=== Servidor ===<br />
La instal·lació està feta sobre un Ubuntu Server 14.04 prou antic (AMD Athlon(tm) 64 X2 Dual Core Processor 4200+). Com els proxies, aquest servidor necessita de dues interfícies: Una a guifi.net i una a Internet. La interfície de guifi.net està dins la xarxa que té accés a Internet, darrere el clàssic NAT d’un router normal i corrent.<br />
<br />
Vegeu el fitxer /etc/openvpn/openvpn.conf:<br />
<br />
<code><br />
dev tun #Tun o Tap, Tap és per tunnels a L2<br />
proto udp #UDP o TPC…<br />
port 1194 #Defines the port to connect<br />
ca /etc/openvpn/easy-rsa/keys/ca.crt #This defines where keys and cert are kept<br />
cert /etc/openvpn/easy-rsa/keys/server.crt<br />
key /etc/openvpn/easy-rsa/keys/server.key<br />
dh /etc/openvpn/easy-rsa/keys/dh2048.pem<br />
server 10.8.0.0 255.255.255.0 #Rang d’Ips dels clients VPN<br />
status /var/log/openvpn-status.log # fitxer de log<br />
verb 3 # Quantitat de missatges de log<br />
push “redirect-gateway” # MOLT IMPORTANT perquè els clients assignin el serv. VPN com a def. gw.<br />
push “dhcp-option DNS 10.91.9.66″ # IMPORTANT perquè els clients tenguin com a DNS el serv. VPN<br />
log-append /var/log/openvpn #log<br />
comp-lzo # Compressió lzo<br />
management 127.0.0.1 1194 # Per management<br />
</code><br />
<br />
El push del redirect-gateway i del DNS són molt importants, i és condició necessària perquè els clients puguin connectar-se a la VPN correctament.<br />
<br />
I la configuració de les interfícies de /etc/network/interfaces:<br />
<br />
<code><br />
auto lo<br />
iface lo inet loopback<br />
auto eth0<br />
iface eth0 inet static<br />
address 10.91.9.66<br />
netmask 255.255.255.224<br />
up route add -net 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
up route add -net 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
down route del 10.0.0.0 netmask 255.0.0.0 gw 10.91.9.65<br />
down route del 172.16.0.0 netmask 255.255.0.0 gw 10.91.9.65<br />
# The primary network interface<br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.1.2<br />
netmask 255.255.255.0<br />
gateway 192.168.1.1<br />
up iptables -t nat -A POSTROUTING -o eth1 -j SNAT –to-source 192.168.1.2 # feim snat del que surt per la LAN de casa nostra.<br />
up iptables -A FORWARD -i tun0 -d 192.168.1.0/24 -j DROP # És MOLT important això perquè sinó els clients de guifi.net podrien accedir a les IPs de la nostra LAN interna de casa.</code><br />
<br />
====Control de l’ample de banda dels clients al servidor====<br />
Segurament serà molt necessari poder limitar l’ample de banda que el servidor vol donar a la xarxa guifi.net. Amb la comanda tc podem limitar l’ample de banda de eth0 (la interfície de xarxa que està dins guifi.net).<br />
<br />
La limitació és que no podem especificar que si la petició va a la nostra màquina (DNS, ftp, http etc.) no tengui en compte la restricció d’ample de banda.<br />
<br />
<code>tc qdisc add dev eth0 root handle 1: htb<br />
tc class add dev eth0 parent 1: classid 1:512 htb rate 512kbit<br />
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 0.0.0.0/0 flowid 1:512</code><br />
<br />
També podem crear un script a /etc/init.d que ho executi automàticament.<br />
<br />
====Creació de certificats====<br />
El paquet openvpn inclou la utilitat easy-rsa, que serveix per crear i mantenir claus i certificats entre clients i servidors.<br />
<br />
Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:<br />
<br />
1. Copiam la configuració per defecte de l'easy-rsa<br />
<br />
<code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa <br />
</code><br />
<br />
2. Modificam el fitxer<br />
<br />
<code> vim /etc/openvpn/easy-rsa/vars </code><br />
<br />
I a la línia 15 canviam <br />
<br />
<code>export EASY_RSA=”`pwd`”</code><br />
<br />
per<br />
<br />
<code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code><br />
<br />
3. Carregam les variables de l'easy-rsa<br />
<br />
<code>source /etc/openvpn/easy-rsa/vars</code><br />
<br />
4. Netejam la base de dades de claus i certificats.<br />
<br />
<code> /etc/openvpn/easy-rsa/clean-all </code> <br />
<br />
'''COMPTE! No executeu això una vegada hàgiu distribuit claus o les revocareu totes i haureu de tornar-les a distribuir!'''<br />
<br />
5. Cream els certificats de la CA i del servidor<br />
<br />
<code> <br />
cd /etc/openvpn/<br />
./easy-rsa/build-ca <nom_CA><br />
./easy-rsa/build-key-server <nom_server><br />
./easy-rsa/build-dh<br />
</code><br />
<br />
<br />
Les claus estan totes contingudes al directori /etc/openvpn/easy-rsa/keys.<br />
<br />
A partir d'ara podeu crear certificats pels usuaris executant el següent:<br />
<code><br />
source /etc/openvpn/easy-rsa/vars<br />
cd /etc/openvpn/<br />
./easy-rsa/build-key <nom_certificat_client><br />
</code><br />
<br />
És convenient assignar noms diferents a clients diferents, encara que quan es copiin al router client tendran totes el mateix nom (client 1).<br />
<br />
=== Clients ===<br />
El hardware recomanat pels clients és un router tp-link wr841n v9, pel seu baix cost i perquè permet la instal·lació del firmware OpenWRT de forma molt senzilla. Adjunt en aquesta pàgina s'hi troba una imatge per aquest model de router amb tots els paquets necessaris ja instal·lats i preconfigurats.<br />
<br />
<br />
==== Instal·lació del firmware i del programari corresponent====<br />
<br />
Per configurar el router de fàbrica cal:<br />
<br />
1. Connectar-se al servidor web que ens ofereix el router de fàbrica.<br />
<br />
2. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una baixada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.<br />
<br />
3. Una vegada la imatge estigui carregada, connectau-vos al router mitjançant telnet a la IP 192.168.1.2, i se vos obrirà un senzill programa de configuració.<br />
<br />
4. Canviau la contrasenya de root i reiniciau el router:<br />
<br />
<code><br />
passwd <br />
reboot<br />
</code><br />
<br />
5. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_clau_client>.crt i <nom_clau_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també de les claus del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.<br />
<br />
6. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
Si al fitxer /etc/config/openvpn posam la línia<br />
<br />
<code>management 127.0.0.1 1194 # Per management</code><br />
<br />
podrem connectar-nos al dimoni del OpenVPN amb telnet:<br />
<br />
<code>telnet 127.0.0.1 1194</code><br />
<br />
==== Log ====<br />
<code><br />
telnet 127.0.0.1 1194<br />
> log ON<br />
</code><br />
<br />
O bé /var/log/openvpn<br />
=== Client ===<br />
<br />
<br />
==== Instal·lació de programari al TP-LINK WR841N ====<br />
<br />
Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg. <br />
<br />
Per instal·lar el paquet OpenWRT, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:<br />
<code><br />
make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/<br />
</code><br />
<br />
==== Log ====<br />
Per tenir un log al client VPN, cal descomentar la línia corresopnent a /etc/config/openvpn. Convé tenir-lo actiu només de manera puntual, o omplirà tota la memòria flash.<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
El manteniment i actualització dels paquets correspon a la distribució.<br />
<br />
== Resolució de problemes habituals ==<br />
<br />
=== Pèrdua de connexió del client VPN amb el servidor ===<br />
El motiu més habitual d'aquest error es deu a què el rellotge del client és desbarata i és probable que en comprovar els certificats les hores siguin incorrectes.<br />
<br />
S'ha de comprovar la connexió amb el servidor NTP o bé modificar l'hora manualment, tot i que en aquest darrer cas és probable<br />
que l'error es repeteixi.<br />
<br />
=== Encaminament ===<br />
<br />
L'encaminament als clients és prou complicat, d'aquí que seran la majoria de problemes que trobarem. Una taula d'encaminament típica seria la següent:<br />
<code><br />
$ route -n<br />
Kernel IP routing table<br />
Destination Gateway Genmask Flags Metric Ref Use Iface<br />
0.0.0.0 10.8.0.9 0.0.0.0 UG 0 0 0 tun0<br />
10.0.0.0 192.168.1.1 255.0.0.0 UG 0 0 0 br-lan<br />
10.8.0.1 10.8.0.5 255.255.255.255 UGH 0 0 0 tun0<br />
10.8.0.5 0.0.0.0 255.255.255.255 UH 0 0 0 tun0<br />
10.91.9.66 192.168.1.1 255.255.255.255 UGH 0 0 0 br-lan<br />
172.16.0.0 192.168.1.1 255.255.0.0 UG 0 0 0 br-lan<br />
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0-1<br />
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 br-lan<br />
</code><br />
<br />
Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre, i a la LAN, perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.<br />
<br />
=== DHCP ===<br />
És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.<br />
La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la 192.168.1.1 o alguna altra.<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
A la zona de Sóller tenim ara mateix un servidor VPN amb dos clients funcionant, un a Can Palou 6 i l'altre al Casal La Victòria. El servidor es troba a Alqueria 40.<br />
<br />
== Veure també ==<br />
[[VPN]]<br />
<br />
== Enllaços externs ==<br />
Pàgina d'OpenVPN [https://openvpn.net/]<br />
<br />
''How to create an OpenVPN Server'', perfectament explicat[http://raspguide.wordpress.com/2014/03/26/how-to-create-an-openvpn-server/]<br />
<br />
Pàgina de TP-Link WR841 d'OpenWRT [http://wiki.openwrt.org/toh/tp-link/tl-wr841nd]<br />
<br />
Instal·lació de LuCi i OpenVPN al TP-Link WR841 [http://coderazzi.net/howto/openwrt/tl841n/install.htm]<br />
<br />
Image Generator de OpenWRT [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]</div>Sollerichttp://ca.wiki.guifi.net/wiki/Fitxer:Nodesvpn.jpegFitxer:Nodesvpn.jpeg2014-09-07T11:15:53Z<p>Solleric: Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net</p>
<hr />
<div>Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net</div>Sollerichttp://ca.wiki.guifi.net/wiki/Plantilla_per_a_Article_sobre_ServidorPlantilla per a Article sobre Servidor2014-09-07T11:02:37Z<p>Solleric: Es crea la pàgina amb «Un article sobre servidor ha de tenir la següent disposició: Abans de la Taula de Continguts, es fa una explicació en què s'hi inclouen dades rellevants, com ...».</p>
<hr />
<div>Un article sobre [[servidor]] ha de tenir la següent disposició:<br />
<br />
Abans de la Taula de Continguts, es fa una explicació en què s'hi inclouen dades rellevants, com l'autor del programa, l'any de creació, el llenguatge en què està escrit, llicència etc.<br />
<br />
Es segueix amb el següent ordre d'apartats:<br />
<br />
== Instal·lació ==<br />
=== Servidor ===<br />
=== Clients ===<br />
<br />
== Administració ==<br />
=== Servidor ===<br />
==== Log ====<br />
<br />
=== Clients ===<br />
<br />
== Actualizació ==<br />
=== Servidor ===<br />
=== Clients ===<br />
<br />
== Exemples ==<br />
== Resolució de problemes habituals ==<br />
<br />
== Exemples reals en servidors autogestionats ==<br />
== Veure també ==<br />
== Enllaços externs ==<br />
<br />
<br />
Exemple quasi acabat: [[LDAP]]<br />
<br />
<br />
[[Categoria:Servidor]]</div>Solleric