OpenVPN ключи: полное руководство по генерации, настройке и безопасному использованию

Зачем нужны ключи в OpenVPN и как они работают

OpenVPN — это популярное решение для организации защищённых VPN-туннелей. В отличие от простых паролей, OpenVPN использует криптографические ключи и сертификаты для аутентификации сторон и шифрования трафика. Понимание того, как устроены эти ключи, критически важно для безопасной настройки.

В основе работы OpenVPN лежит инфраструктура открытых ключей (PKI). Сервер и каждый клиент имеют собственный сертификат X.509 и соответствующий приватный ключ. Сертификат подтверждает подлинность стороны, а приватный ключ используется для создания цифровой подписи и расшифровки данных. Дополнительно применяется корневой сертификат удостоверяющего центра (CA), который подписывает сертификаты сервера и клиентов, создавая цепочку доверия.

Кроме того, для защиты от некоторых типов атак, таких как DoS, используется дополнительный статический ключ ta.key (TLS-Auth). Этот ключ добавляет HMAC-подпись к каждому пакету, что позволяет отклонять поддельные пакеты до начала полноценной TLS-аутентификации. Таким образом, в типичной настройке участвуют как минимум четыре типа ключевых материалов: корневой сертификат CA, сертификат и ключ сервера, сертификат и ключ клиента, а также общий ключ TLS-Auth.

Компоненты ключей: что означают файлы .crt, .key, .pem, ta.key

При работе с OpenVPN вы встретите множество файлов с разными расширениями. Важно понимать их назначение, чтобы не перепутать и не скомпрометировать систему.

• ca.crt — корневой сертификат удостоверяющего центра. Он используется для проверки подлинности сертификатов сервера и клиентов. Этот файл не является секретным и может распространяться среди всех участников.
• ca.key — приватный ключ удостоверяющего центра. Это самый важный секретный файл. Если он попадёт в чужие руки, злоумышленник сможет создавать поддельные сертификаты. Храните его в безопасном месте и не передавайте никому.
• server.crt и server.key — сертификат и приватный ключ сервера. Сертификат подписан CA и подтверждает, что сервер действительно тот, за кого себя выдаёт. Приватный ключ сервера должен храниться в секрете.
• client.crt и client.key — аналогичные файлы для клиента. Они выдаются каждому пользователю или устройству.
• ta.key — статический ключ для TLS-Auth. Этот ключ должен быть одинаковым на сервере и у всех клиентов. Он не является секретным в той же степени, что и приватные ключи, но его не следует публиковать.
• dh.pem — параметры Диффи-Хеллмана. Используются для обеспечения совершенной прямой секретности (PFS). Генерируются один раз на сервере.
• crl.pem — список отозванных сертификатов. Позволяет аннулировать доступ клиента без переиздания всех ключей.
• .csr — запрос на подпись сертификата. Промежуточный файл, который создаётся при генерации ключа и отправляется в CA для подписи.

Понимание этих файлов поможет вам правильно настроить сервер и клиентов, а также избежать распространённых ошибок.

Генерация ключей с помощью easy-rsa: пошаговый процесс

Для генерации ключей и сертификатов OpenVPN обычно используется пакет easy-rsa. Это набор скриптов, который автоматизирует создание CA, серверных и клиентских ключей. Рассмотрим типичный процесс на примере Linux-сервера.

Сначала необходимо установить easy-rsa и перейти в его директорию. Затем инициализируется новый PKI:

cd /usr/share/easy-rsa
./easyrsa init-pki

Далее создаётся корневой сертификат CA. Вам будет предложено ввести пароль для защиты CA-ключа:

./easyrsa build-ca

После этого генерируются параметры Диффи-Хеллмана (это может занять несколько минут):

./easyrsa gen-dh

Затем создаётся сертификат и ключ для сервера. Имя должно совпадать с именем хоста сервера:

./easyrsa gen-req server nopass
./easyrsa sign-req server server

Для клиентов процесс аналогичен, но с другим именем:

./easyrsa gen-req client1 nopass
./easyrsa sign-req client client1

Наконец, генерируется ключ TLS-Auth:

openvpn --genkey --secret ta.key

Все сгенерированные файлы будут находиться в поддиректориях pki/private, pki/issued и pki/ca.crt. Важно скопировать их в соответствующие каталоги конфигурации сервера и клиентов.

Как объединить все ключи в один файл конфигурации .ovpn

Для удобства распространения клиентских настроек можно объединить все необходимые файлы (конфигурацию, сертификаты и ключи) в один файл .ovpn. Это особенно полезно, когда нужно передать конфигурацию пользователю, который не знаком с техническими деталями.

Стандартный клиентский конфиг обычно содержит строки, указывающие на внешние файлы:

ca ca.crt
cert client.crt
key client.key
tls-auth ta.key 1

Чтобы объединить всё в один файл, нужно вставить содержимое этих файлов в сам конфиг, используя специальные блоки:

(содержимое ca.crt)

(содержимое client.crt)

(содержимое client.key)

(содержимое ta.key)

При этом строки, указывающие на внешние файлы, удаляются. Вместо tls-auth ta.key 1 добавляется директива key-direction 1 (для клиента) или key-direction 0 (для сервера). Важно, чтобы порядок блоков соответствовал ожидаемому OpenVPN, иначе возможны ошибки.

Такой подход упрощает развёртывание: пользователю нужно только импортировать один файл .ovpn в клиентское приложение. Однако следует помнить, что этот файл содержит приватный ключ, поэтому обращаться с ним нужно как с секретным документом.

Единый ключ для всех клиентов: когда это оправдано и чем рискуете

Иногда администраторы рассматривают возможность использовать один и тот же сертификат и ключ для всех клиентов. Это может показаться удобным, особенно если в организации много пользователей и нет необходимости в индивидуальной идентификации. Однако такой подход несёт серьёзные риски.

Если все клиенты используют один ключ, то невозможно различить, кто именно подключился. Это затрудняет аудит и контроль доступа. Если ключ будет скомпрометирован (например, утечёт с устройства одного сотрудника), злоумышленник получит доступ от имени всех пользователей. Кроме того, отзыв доступа для одного пользователя потребует замены ключа у всех.

Тем не менее, в некоторых сценариях единый ключ может быть оправдан. Например, если OpenVPN используется только для доступа к внутренним ресурсам, а аутентификация пользователей происходит на уровне приложения (например, через LDAP или Active Directory). В этом случае VPN-ключ служит лишь для установления защищённого канала, а идентификация происходит уже внутри. При таком подходе можно ограничить доступ на стороне LDAP-сервера, разрешив подключение только определённой группе пользователей.

Если вы решите использовать единый ключ, обязательно:

• Храните его в защищённом месте и ограничьте круг лиц, имеющих к нему доступ.
• Настройте внешнюю аутентификацию (например, через RADIUS или LDAP), чтобы контролировать, кто может использовать этот ключ.
• Регулярно меняйте ключ и следите за его использованием.

Настройка сервера OpenVPN: основные директивы конфигурации

Правильная настройка сервера — залог стабильной и безопасной работы VPN. Рассмотрим ключевые директивы, которые должны присутствовать в конфигурационном файле сервера.

• port 1194 — порт, на котором сервер ожидает подключения. По умолчанию используется UDP, но можно настроить и TCP.
• proto udp — протокол транспортного уровня. UDP быстрее, но TCP может быть полезен в сетях с блокировкой UDP.
• dev tun — тип виртуального устройства. tun используется для маршрутизации IP-трафика, tap — для Ethernet-мостов.
• ca ca.crt — путь к корневому сертификату CA.
• cert server.crt — путь к сертификату сервера.
• key server.key — путь к приватному ключу сервера.\n- dh dh.pem — параметры Диффи-Хеллмана.
• tls-auth ta.key 0 — включает TLS-Auth. Для сервера используется направление 0.
• cipher AES-256-CBC — алгоритм шифрования. Рекомендуется использовать современные алгоритмы, например AES-256-GCM.
• auth SHA256 — алгоритм HMAC для проверки целостности.
• server 10.8.0.0 255.255.255.0 — задаёт подсеть для виртуальной сети VPN.
• push "redirect-gateway def1" — перенаправляет весь трафик клиента через VPN.
• push "dhcp-option DNS 8.8.8.8" — передаёт клиентам DNS-серверы.
• keepalive 10 120 — интервал проверки соединения.
• max-clients 100 — максимальное количество одновременных подключений.
• user nobody и group nogroup — снижение привилегий процесса для повышения безопасности.
• status openvpn-status.log — журнал состояния подключений.
• log-append /var/log/openvpn.log — журнал событий.

Эти директивы позволяют настроить базовую работу сервера. В зависимости от потребностей вы можете добавить дополнительные параметры, такие как client-to-client для разрешения общения между клиентами или duplicate-cn для разрешения повторного использования одного сертификата.

Настройка клиента OpenVPN: файл конфигурации и параметры

Клиентский конфигурационный файл обычно имеет расширение .ovpn и содержит параметры, необходимые для подключения к серверу. Рассмотрим типичный пример.

client
dev tun
proto udp
remote your-server.com 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
tls-auth ta.key 1
cipher AES-256-CBC
auth SHA256
comp-lzo
verb 3

Разберём основные параметры:

• client — указывает, что это клиентский режим.
• remote — адрес и порт сервера. Можно указать несколько серверов для балансировки нагрузки.
• resolv-retry infinite — автоматически повторять попытку разрешения DNS-имени.
• nobind — не привязываться к конкретному локальному порту.
• persist-key и persist-tun — сохранять ключи и виртуальное устройство при перезапуске.
• comp-lzo — включить сжатие (должно быть согласовано с сервером).
• verb 3 — уровень подробности журнала.

Если вы используете объединённый файл, то вместо строк ca, cert, key, tls-auth будут вставлены соответствующие блоки `, , , . Также добавляется key-direction 1`.

Для повышения безопасности можно добавить auth-user-pass, если требуется дополнительная аутентификация по логину/паролю. В этом случае клиент будет запрашивать учётные данные при подключении.

Управление доступом: отзыв сертификатов и списки отзыва (CRL)

В любой момент может возникнуть необходимость лишить пользователя доступа к VPN. Например, если сотрудник уволился или устройство было украдено. В OpenVPN это делается путём отзыва сертификата.

Для отзыва сертификата используется команда easy-rsa:

./easyrsa revoke client1

После этого необходимо сгенерировать обновлённый список отзыва (CRL):

./easyrsa gen-crl

Полученный файл crl.pem нужно скопировать на сервер и указать его в конфигурации:

crl-verify crl.pem

Теперь сервер будет отклонять подключения с отозванными сертификатами. Важно регулярно обновлять CRL на сервере, иначе изменения не вступят в силу.

Также можно использовать команду revoke-full в старых версиях easy-rsa, которая делает то же самое, но в один шаг.

Отзыв сертификата не влияет на уже установленные соединения. Чтобы немедленно разорвать активные сессии, можно перезапустить сервер или использовать команду kill для конкретного клиента.

Безопасность ключей: лучшие практики хранения и передачи

Ключи и сертификаты — это основа безопасности OpenVPN. Их компрометация может привести к несанкционированному доступу к вашей сети. Поэтому важно соблюдать правила их хранения и передачи.

• Приватные ключи (.key) должны храниться только на тех устройствах, где они используются. Никогда не передавайте их по незащищённым каналам (электронная почта, мессенджеры).
• Корневой ключ CA (ca.key) должен храниться в безопасном месте, желательно на отдельном компьютере, не подключённом к сети. Лучше всего использовать аппаратный модуль безопасности (HSM).
• Права доступа к файлам ключей должны быть ограничены. На Linux используйте chmod 600 для приватных ключей и chmod 644 для сертификатов.
• Передача ключей клиентам должна осуществляться по защищённому каналу, например через SFTP или шифрованное хранилище. Можно также использовать одноразовые ссылки.
• Регулярно обновляйте ключи и сертификаты. Срок действия сертификатов ограничен (обычно 1-2 года), и по истечении они становятся недействительными.
• Используйте пароль для защиты приватных ключей, если это возможно. Однако учтите, что это потребует ввода пароля при каждом подключении, что может быть неудобно.
• Мониторьте журналы OpenVPN на предмет подозрительной активности. Внезапные множественные попытки подключения могут указывать на атаку.

Следуя этим рекомендациям, вы значительно снизите риск утечки ключей и несанкционированного доступа.

Типичные ошибки и способы их устранения

При настройке OpenVPN пользователи часто сталкиваются с типичными ошибками. Рассмотрим некоторые из них и способы их решения.

Ошибка: TLS key negotiation failed to occur within 60 seconds

Эта ошибка возникает, когда клиент и сервер не могут согласовать параметры TLS. Причины могут быть разными:

• Несовпадение ключей ta.key или неправильное направление (key-direction).
• Несовпадение протоколов (UDP/TCP) или портов.
• Блокировка порта файрволом.

Проверьте конфигурации обеих сторон, убедитесь, что все параметры совпадают.

Ошибка: VERIFY ERROR: depth=0, error=unable to get local issuer certificate

Это означает, что клиент не доверяет сертификату сервера. Убедитесь, что ca.crt на клиенте соответствует ca.crt на сервере.

Ошибка: AUTH_FAILED

Возникает, если используется аутентификация по логину/паролю, и введённые данные неверны. Проверьте правильность учётных данных.

Ошибка: Options error: Unrecognized option or missing parameter(s)

Указывает на синтаксическую ошибку в конфигурационном файле. Проверьте правильность написания директив и наличие всех параметров.

Ошибка: Cannot open TUN/TAP dev /dev/net/tun

Означает, что виртуальное устройство не создано или нет прав доступа. Убедитесь, что модуль tun загружен и у пользователя, от которого запускается OpenVPN, есть права на устройство.

Ошибка: Incorrect key file permissions

OpenVPN требует, чтобы файлы ключей имели ограниченные права доступа. Установите права 600 для приватных ключей.

Если вы столкнулись с ошибкой, сначала проверьте журналы OpenVPN (/var/log/openvpn.log или вывод в консоли). Там будет подробная информация о причине проблемы.

Вопросы и ответы