Para Windows deberemos colocar el archivo laptop.ovpn en
C:\Program Files\OpenVPN\config
Acto seguido ejecutamos OpenVPN Client, buscamos el ícono en la barra de herramientas del sistema, damos click derecho, buscamos el perfil que acabamos de copiar y damos click en connect, solo resta esperar a que conecte si todo está bien como se ve al final del video.
1.- Como se hizo con el server crearemos los certificados y llave o key para cada uno de los clientes, haremos el de laptop en el entendido que deberán repetir ésto para cada cliente:
./build-key laptop
Una vez que nos pide ingresemos la configuración solo presionamos ENTER a todo, al finalizar Y en cada pregunta para que guarde los cambios.
2.- Ahora hay que copiar el machote del archivo .ovpn que es el usaremos en los clientes:
3.- Pueden renombrar el archivo ovpn a su gusto, deben editarle las siguientes líneas:
# The hostname/IP and port of the
server.
# You can have multiple remote
entries
# to load balance between the
servers.
remote my-server-1 1194
Cambiar my-server-1 por la ip o dirección del servidor a que se van a conectar.
# Downgrade privileges after initialization (non-Windows only)
user nobody
group nogroup
Quitar el ; de user y group
# SSL/TLS parms.
# . . .
#ca ca.crt
#cert client.crt
#key client.key
Comentar escribiendo # en las 3 líneas anteriores para evitar que busque esos archivos
4.- Al final del archivo hay que pegar la siguiente plantilla XML con los contenidos de los certificados y llaves de los clientes respectivos.La plantilla a utilizar con las etiquetas XML es la siguiente:
(insertar los contenidos de ca.crt aqui)(insertar los contenidos de laptop.crt aqui)(insertar los contenidos de laptop.key aqui)
Pasos:
1.- Copiar los scripts de generación de Easy-RSA
cp -r /usr/share/easy-rsa/ /etc/openvpn
2.-Crear el directorio para guardar las llaves
mkdir /etc/openvpn/easy-rsa/keys
3.- Editar las variables para crear los certificados exclusivos a nuestra persona, negocio o institución:
export KEY_COUNTRY="US"
export KEY_PROVINCE="TX"
export KEY_CITY="Dallas"
export KEY_ORG="My Company Name"
export KEY_EMAIL="sammy@example.com"
export KEY_OU="MYOrganizationalUnit"
4.- en el mismo archivo de keys editar la siguiente línea, en el ejemplo se usa server como nombre pero puede ser el que ustedes gusten:
export KEY_NAME="server"
5.- Generar los parámetros Diffie-Hellman, puede tardar varios minutos dependiendo de las características de su servidor.
openssl dhparam -out /etc/openvpn/dh1024.pem 1024
6.- Cambiar de directorio:
cd /etc/openvpn/easy-rsa
7.- Inicializar la infraestructura de llaves publicas (PKI Public Key Infraestructure). Atención al punto y espacio frente a ./vars
. ./vars
8.- Aparece la siguiente advenrtencia, no es de importancia:
NOTE: If you run ./clean-all, I will be doing a rm -rf on
/etc/openvpn/easy-rsa/keys
9.- Ahora hay que limpiar el directorio de trabajo por si existiera alguna configuración vieja
./clean-all
10.- El comando final es crear las Autoridades Certificadas (CA Certificate Authority) invocando el siguiente comando
./build-ca
11.- Hay que generar el certificado y la llave para el servidor, recordar que si cambiaron el nombre de server anteriormente también hay que hacerlo aquí:
./build-key-server server
12.- El resultado generado es similar al de los CA, igual hay que presionar enter en todas las líneas al final aparecen 2 preguntas, hay que contestarlas con y
Sign the certificate? [y/n]
1 out of 1 certificate requests certified, commit? [y/n]
Write out database with 1 new entries
Data Base Updated
13.- Ahora solo resta mover los certificados y llaves creados para el servidor al folder de /etc/openvpn:
Estos son los comandos ingresados en la consola:
1.- apt-get update
2.- apt-get install openvpn easy-rsa
3.- gunzip -c /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz > /etc/openvpn/server.conf
Para guardar en nano hay que presionar Ctrl+o y presionar Enter para guardar, para salir hay que presionar Ctrl+x
4.- nano /etc/openvpn/server.conf
5.- Hay que buscar esta línea y quitarle el ;
;push "redirect-gateway def1 bypass-dhcp"
6.- También a estas líneas:
;push "dhcp-option DNS 208.67.222.222"
;push "dhcp-option DNS 208.67.220.220"
;user nobody
;group nogroup
7.- echo 1 > /proc/sys/net/ipv4/ip_forward
8.- nano /etc/sysctl.conf
9.- Hay que quitarle el # a la siguiente linea:
#net.ipv4.ip_forward=1
10.- ufw allow ssh
11.- ufw allow 1194/udp
12.- nano /etc/default/ufw
13.- Buscar la siguiente línea y cambiar DROP por ACCEPT
DEFAULT_FORWARD_POLICY="ACCEPT"
14.- nano /etc/ufw/before.rules
15.- Insertar las siguientes lineas:
*nat
:POSTROUTING ACCEPT [0:0]
# Allow traffic from OpenVPN client to eth0
-A POSTROUTING -s 10.8.0.0/8 -o eth0 -j MASQUERADE
COMMIT
