OpenVPN / SSL-ExplorerコミュのopenVPNの構築

はじめまして。やじんと申します。
openVPNの評価をしたいと思い、構築しようとしておりますが、構築できません。

openSSL,openVPN,lzoはインストールしました。
設定の書き換えなのですが、どのようにすればよろしいのでしょうか。

■状況
クライアントにグローバルＩＰを割り当てたい。
（この場合、現在のネットワークのdhcpのセグメントとは別のセグメントにしなければならないのでしょうか。）

■ポリシー
ユーザ名とログインで認証したい。
鍵は作らないようにしたい。

server.confとclient.ovpnのファイルの設定の仕方を教えてください。

コメント(24)

最初
全て
最新の40件

[1] mixiユーザー 01月26日 22:20

こんばんは。
現在聞いた状況のみでは正直判断材料が少なすぎて何も言えません。
そもそもサーバー・クライアントのOSは何を使うのでしょうか？
また、どのようなＶＰＮ構成にするのでしょうか？
とりあえず一例としては下のページなんかがあります。参考になれば幸いです。
http://www.stackasterisk.jp/tech/systemConstruction/openVpn01_01.jsp

[2] mixiユーザー 01月26日 22:56

申し訳ございません。
大学のネットワークに試験的にVPNを導入しようと考えております。

サーバはVM上でdebianが動いています。
クライアントはWindowsマシンです。

■ＶＰＮの構成（というとどう書けばよろしいのでしょうか。）
今あるネットワークのdhcpのセグメント以外で使いたい。（空きは確認済み）
割り当てるのはグローバルＩＰである。

■ネットワークの構成
VPNサーバとdhcpサーバとgatewayサーバとは物理的に別々になっている。

以上に載せてあるサイトは参考にしました。
他の本や資料等見ましたが、ブリッジ接続はしたくないので、
このサイトのある一部だけは参考にしました。
他に書き足す事はあるのでしょうか。
TUNやTAPのネットワークデバイスはTAPの方でよろしいのでしょうか。

[3] mixiユーザー 01月26日 23:39

すみません書き方が悪かったですね；ブリッジでやりたいのかどうかもわからなかったのでどのような状態で動作させたいのか聞きたかっただけです。

当方ではブリッジで動作させたため実際にやったことはないのですが、このページの方法とか参考になりそうなので試してみても良いかもです。
http://kano.feena.jp/?OpenVPN#content_1_8

[4] mixiユーザー 01月26日 23:48

一応もっと詳しく書きます。
debianのsargeです。

■サーバ側
/etc/openvpn/server.confに記述
中身
daemon　→意味わかりません。
port 5000
mode server　→サーバ用？
ifconfig [ゲートウェイアドレス] [サブネットマスク]
ifconfig-pool [dhcpセグメント以外の開始グローバルIPアドレス] [dhcpセグメント以外の終了グローバルIPアドレス]
inactive 600　→
user nobody
group nobody
verb 4→いくつが理想なのでしょうか。

秘密鍵と認証はかならずどちらか設定しなければならないのでしょうか。
できればユーザ名とパスワード認証にしたいと思っております。

■クライアント側
紹介されている、サイトのopenVPNGUIクライアントはダウンロードしました。
設定ファイル
認証局と秘密鍵以外は全部記述してあります。

なんか自分の知識のなさに飽き飽きしてきます。。。ＯＴＬ
最悪、とりあえず繋がればいい状況とします。

[5] mixiユーザー 01月27日 00:08

入れ違いでしたねｗ
ちょっとこれを参考にしてみます。
ありがとうございます。

[6] mixiユーザー 01月27日 14:24

こんにちは。

>大学のネットワークに試験的にVPNを導入しようと考えております。

ネットワーク管理者の協力がないと難しいことが多いと思います。
フィルタリングとかルーティングとか、OpenVPN以外のところでも
いろいろ設定を変更しないと使えない場合が多いです。

っていうか、管理者の許可取ってやらないと、学校に迷惑かける
ことも十分にありえるのでお気をつけください。
自分が管理者の立場なら、自分の知らないところで勝手に穴が
あけられるなんて考えたくもありません。

ちなみに、自分はこちらを参考にしました。
http://www-or.amp.i.kyoto-u.ac.jp/members/liang/oss/ovpn2_howto_ja.html

[7] mixiユーザー 01月28日 13:47

アルバイトで大学のネットワークの管理をしているので、
許可はとってあります。一応穴も開けられる権限はもっています。

何か面白いVPNサービス、（ハードでもソフトでもいいので）
何かないでしょうか。VPNで使う用途といっても、学内限定のウェブを見ることや、ML作ること、リモートデスクトップで学内のサービスを使えることぐらいなのですが。。。

[8] mixiユーザー 01月28日 14:03

Web系のフォワードやRemote DesktopならSSL-Explorerの方が適しているように感じますねー。
L2/L3トンネルを利用者に提供しなきゃならない訳ではないですよね？

[9] mixiユーザー 01月28日 15:24

　ちょっと方向が異なるかもしれませんが、PacketiX .NET を利用する、というのはいかがでしょうか？

　PacketiX とは、SoftEther の後継バージョンで、VPN Server については有償となっています。VPN Client については無償で利用可能となっています。先頃、PacketiX.NET という名前で、SoftEther 社のハードウェアの上に、任意の仮想 Hub を構築できるサービスを提供しました。このサービスを利用することで、PacketiX による VPN サービスが利用可能となります。

　http://www.packetix.net/jp/

　Windows はもちろんですが、Linux もサポートされていますので、検討する価値はあると思います。

[10] mixiユーザー 01月29日 02:11

とりあえずこの手のネットワークの穴をあけるような技術を使う場合には、特にネットワーク管理をされているということですし、マニュアルを読破してどういう構造で接続して、どういう認証方法があって、それらのメリット・デメリットは知っておくべきです。

OpenVPN HOWTO日本語訳
　http://freescitech.net/2/ovpn2_howto_ja.html

は最低よんでおくべきであり、ここにすべてがのっています。

目的にもよりますが、拠点間接続ならばOpenVPN系(製品だとPacketiXやTinyVPNとか）がいいと思いますが、外部からユーザあるいは管理目的で侵入させたいのだったら、SSL VPNが手頃でしょう。
いずれにしても手っ取り早いのは製品買うことです。しかもアプライアンス（ハード）が管理簡単でしょう。
さらに手厚いサポートついてきますし、セキュアな環境も確実に構築できるでしょうしね。

[11] mixiユーザー 01月29日 02:48

>郡司さん
そうですね。べつにL２L３を指定するつもりはありません。

>thinkpad-loverさん
softetherですか。登社長さんの日記すごいですよね。
http://d.hatena.ne.jp/softether/20061102
新入生にこんなことするのか！ってかんじですｗ
いや、すごいですねｗ

>kimipoohさん
これも一応読んでおります。
サーバー側の設定ファイルでVPNのｄｈｃｐの割り当て範囲を指定できないものですかね。。。
ifconfig-poolを使うようなのですが、設定が色々とあるようで。。
route　pushを使った方がいいのでしょうか。

[12] mixiユーザー 01月29日 16:40

＞kiyoさん

3の記述に載っているサイトについて、これは共有鍵での設定なのでこの部分は省いた方がよさそうですね。
一対多対応になると、違う設定が必要そうです。

[13] mixiユーザー 01月31日 15:47

server ネットワークアドレス　サブネットマスク

で割り当て範囲は指定できますよね。静的割り当ての場合に
ifconfig-poolを使うようですが・・・。
私はブリッジ接続しかしてないので、実際にやったわけではないですけど。

[14] mixiユーザー 02月06日 15:21

なかなかできないので、たどってみたところopenSSLがうまくインストールされてないではありませんか。OTL
すみません。
crypto headerがありませんと言われます。
拾ってくる場所は見つかりましたが、./configureをしてみたところ今度はjavaが見つかりませんとｗ

むーｗ色々とインストールするものあるなぁｗ

[15] mixiユーザー 02月06日 16:25

とりあえずインストール対象のプラットフォーム名(バージョンも)、インストールしたパッケージとインストール時に打ち込んだコマンド類を提示してもらえれば、アドバイスする上でのとっかかりになるかも知れませんね。

[16] mixiユーザー 02月08日 21:06

ありがとうございます。また前提条件を見つけてしまいとまどっています。

debianのsargeにインストールしようと思っています。
英語でインストール、キーボードはもちろん日本語（106かな？）

設定ログは下記の通りです。
１，openVPNをいれたい
２，openVPNにはopenSSLをいれることが必要。
３，openSSLをaptitudeでいれようとしたが、うまく設定できない。
４，./configure&makeによってopenSSLをいれようとする。
５，しかし、./configureでcrypto headerがないと言われる。
６，crypto headerを取って./configure & makeをする。
７，しかし、crypto headerはJAVAで動いているらしく、デフォルトのsargeにはコンパイル環境がないと言われる。
８，javaの j2sdk-1_4_2_03-linux-i586.binをインストール。
９，http://park15.wakwak.com/~unixlife/linux/de-java.htmlを見ながらやるも、文字化けフォントをいれないといけない。（この作業必要ないならとばすつもり）
１０，開発環境設定で~/.bash_profileのファイルの位置を探すが見あたらない。どこのディレクトリーにあるのでしょうか。

という感じです。
宜しくお願い致します。

[17] mixiユーザー 02月08日 21:09

debianには初期のインストール時にデスクトップ環境やその他の環境をいれてもsunのライセンスの都合上入っていないらしいです。
ちょっとdebianは使えないと思った瞬間でしたｗ

[18] mixiユーザー 02月08日 21:40

たびたびすみません。.bash_profileは/etc/skel/にありました。が、書き換えて上書きしてもリブートしても、cryptoをいれようとするとコンパイル環境がないと言われます。このインストールの仕方について詳しく載っている場所はないでしょうか。

[19] mixiユーザー 02月08日 23:47

うーむ、debianですか。いじった事がないですねぇ……。
(ウチは、Plamo Linuxメインなので)

ちなみに、OpenSSLを./configure&makeした時のログを貼り付けられますか？

[20] mixiユーザー 02月09日 23:17

あ、少し間違えてました。
openSSLではなく、openVPNの./configureの結果です。

checking for lzo1x.h... yes
checking for lzo1x_1_15_compress in -llzo... yes
configure: checking for OpenSSL Crypto Library and Header files...
checking openssl/evp.h usability... no
checking openssl/evp.h presence... no
checking for openssl/evp.h... no
configure: error: OpenSSL Crypto headers not found.

一番最後はこんな感じです。

[21] mixiユーザー 02月11日 21:29

>>20
初めましてやじんさん！

えっとですね・・・
rootになって
$ su -
password:

OpenSSLのヘッダをインストール
# apt-get install libssl-dev
で、そのエラーは無くなる(コンパイルできると思われます)と思いますが、
OpenVPNをインストールしたいんですよね？だったら
# apt-get install openvpn
でいいじゃないですか？

/etc/apt/sources.listファイルは

deb ftp://ring.asahi-net.or.jp/pub/linux/debian/debian/ stable main
deb-src ftp://ring.asahi-net.or.jp/pub/linux/debian/debian/ stable main
deb http://security.debian.org/ stable/updates main

こんな感じで。Debianは豊富なパッケージが持ち味で、ほとんど自分でソース落としてきてコンパイルすることなくapt-getでインストール可能なのが魅力です。

[22] mixiユーザー 02月11日 21:53

あと、ちょっと無理やりになるかもしれませんが、OpenSSLのファイルが既にインストールされているという前提で、OpenVPNのビルド時に以下のオプションを設定するのはどうでしょうか。

./configure --help で出てくる以下のオプションです。
--with-ssl-headers=DIR
--with-ssl-lib=DIR

[23] mixiユーザー 02月13日 13:22

おおおおお。
エラーなくなりました。
ありがとうございます！
一歩前進しました。
ありがとうございました。

また何かありましたらご報告いたします。

[24] mixiユーザー 04月02日 17:35

再びすみません。
サーバの環境でゴタゴタしていて、遅れてしまいました。

/etc/init.d/openvpn startとやると
どうしても
FAILD->server
が返されます。
init scriptで
下記の$DAEMONARG $STATUSARGがうまく設定できていないようです。
if grep -q '^[ ]*status ' $CONFIG_DIR/$NAME.conf ; then
# status file already given in config file
STATUSARG=""
elif test $STATUSREFRESH -eq 0 ; then
# default status file disabled in /etc/default/openvpn
STATUSARG=""
else
# prepare default status file
STATUSARG="--status /var/run/openvpn.$NAME.status $STATUSREFRESH"
fi
$BRIDGE_CTL start
$DAEMON --writepid /var/run/openvpn.$NAME.pid \
$DAEMONARG $STATUSARG --cd $CONFIG_DIR \
--config $CONFIG_DIR/$NAME.conf || echo -n " FAILED->"

どのような対処方法をすればいいのでしょうか。

参考サイトは、
http://www.zuk.jp/old/?%B8%BC%C8%A2%2FOpenVPN
http://vickeryj.freeshell.org/notes/open_vpn_howto.htm

OS Debian
設定　ブリッジ接続＋共通鍵暗号方式
ポリシーとして、まずはつなげる。

宜しくお願い致します。

ログインすると、みんなのコメントがもっと見れるよ