Installer openVPN sur un Raspberry Pi (Debian Wheezy)

J’ai fait acquisition d’un Raspberry Pi la semaine passée, je me suis donc mis dans l’idée de mettre un VPN en place sur mon RPI pour surfer en toute tranquillité dans des lieux publics :). Je me suis donc essayé à OpenVPN, qui est un outils open-source. Il s’appuie sur la librairie openSSL, la clé privée est partagé entre les pairs, il offre un bon niveau de sécurité, et le client est disponible sur une multitude de plateformes. Voici la marche à suivre pour installer OpenVPN sur un Raspberry PI (sur Debian Wheezy).

Installer OpenVPN

Nous installerons OpenVPN à partir des sources, en version 2.3.0 (puisque la version disponible pour debian Wheezy est 2.2.1).
Téléchargez openvpn et décompressez le :

# wget http://swupdate.openvpn.org/community/releases/openvpn-2.3.0.tar.gz
# tar xvzf openvpn-2.3.0.tar.gz
# cd openvpn-2.3.0

On télécharge les dépendances :

# apt-get install libpam0g-dev git
# apt-get install liblzo2-dev

On passe à l’installation d’openvpn :

# ./configure
# make
# make install

On télécharge “easy-rsa”, plus disponible de base dans openvpn 2.3 :

# cd /root
# git clone https://github.com/OpenVPN/easy-rsa

On crée notre dossier openvpn :

# mkdir /etc/openvpn

On copie les fichiers nécessaires à la génération de nos jeux de clés, puis renommons le dossier :

# cp -r /root/easy-rsa/easy-rsa/2.0/* /etc/openvpn/easy-rsa/
# cd /etc/openvpn/

Configuration d’OpenVPN

Nous modifions notre fichier vars qui nous permettra de gagner du temps dans la génération de nos clés :

# cd easy-rsa
# vi vars

// On modifie notre fichier avec nos paramètres :
# These are the default values for fields
# which will be placed in the certificate.
# Don’t leave any of these fields blank.
export KEY_COUNTRY=”FR”
export KEY_PROVINCE=”NPDC”
export KEY_CITY=”Lille”
export KEY_ORG=”Alexnogard”
export KEY_EMAIL=”alexnogard@alexnogard.com”

On nettoie notre dossier, puis générons de nouveaux jeux de clés :

# source ./vars
# ./clean-all
# ./build-dh // il y en a pour au moins 15-20 minutes
# ./pkitool –initca
# ./pkitool –server server
# openvpn –genkey –secret keys/ta.key
# cp keys/ca.crt keys/ta.key keys/myvpn.crt keys/myvpn.key keys/dh1024.pem /etc/openvpn/

Nous retournons dans notre dossier /etc/openvpn puis créons notre fichier de configuration :

# cd /etc/openvpn
# mkdir /etc/openvpn/jail
# mkdir /etc/openvpn/clientconf
# vi myvpn.conf

// on y insère :

mode server
proto tcp
port 443
dev tun

ca ca.crt
cert myvpn.crt
key myvpn.key
dh dh1024.pem
tls-auth ta.key 0
cipher AES-256-CBC

server 10.8.0.0 255.255.255.0
push “redirect-gateway def1 bypass-dhcp”
push “dhcp-option DNS 8.8.8.8”
push “dhcp-option DNS 8.8.4.4”
keepalive 10 120

user nobody
group nogroup
chroot /etc/openvpn/jail
persist-key
persist-tun
comp-lzo
verb 3
mute 20
status openvpn-status.log
log-append /var/log/openvpn.log

Pour valider la bonne création de notre fichier de configuration ainsi que de nos clés, nous lançons la commande suivante :

# openvpn myvpn.conf

vous devriez avoir un résultat comme ceci :

Une fois ceci fait, il nous faut mettre en place l’ip forwarding et créer une règle iptables :

# sh -c ‘echo 1 > /proc/sys/net/ipv4/ip_forward’
# iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
# sh -c “iptables-save > /etc/iptables.rules”

On modifie maintenant l’ip_forward dans le fichier /etc/sysctl.conf :

# vi /etc/sysctl.conf

// dé-commenter la ligne suivante :

net.ipv4.ip_forward = 1

Puis /etc/network/interfaces :

# vi /etc/network/interfaces

// Ajouter la ligne ci-dessous après ” iface eth0 inet dhcp” :

pre-up iptables-restore < /etc/iptables.rules

On recharge notre interface ainsi que sysctl :

# sysctl -p
# /etc/init.d/networking reload

OpenVPN est maintenant installé sur votre Raspberry PI, en version 2.3.0. Pour pouvoir l’utiliser, il nous faut maintenant créer nos utilisateurs ainsi que leurs certificats.

Création de clients

Chaque client à besoin d’un certificat pour fonctionner avec OpenVPN.

D’un côté nous aurons la clé côté client, de l’autre le certificat côte server.

Nous allons créer un certificat pour notre téléphone Android ;) :

# cd /etc/openvpn/easy-rsa
# source vars
# ./build-key androalexnogard

Nous exportons nos 3 fichiers créés a l’aide de la commande build-key :

# mkdir /etc/openvpn/easy-rsa/androalexnogard
# cp /etc/openvpn/ca.crt /etc/openvpn/ta.key /etc/openvpn/keys/androalexnogard.key /etc/openvpn/keys/androalexnogard.crt  /etc/openvpn/clientconf/androalexnogard/

Puis créons un fichier de configuration qui sera chargé par le client OpenVPN. Vous pouvez soit nommer l’extension en : *.conf pour les clients sur Linux / Mac ou *.ovpn pour Windows / Android.

# vim /etc/openvpn/clientconf/androalexnogard/myconf.ovpn

// on y insére les lignes suivantes :

client
dev tun
proto tcp-client
remote 0.0.0.0 443 // votre IP Publique ici
resolv-retry infinite
cipher AES-256-CBC

ca ca.crt
cert androalexnogard.crt
key androalexnogard.key
tls-auth ta.key 1
nobind
persist-key
persist-tun
comp-lzo
verb 3

Il ne vous reste plus qu’à récupérer ces fichiers de configuration et de les insérer dans votre client OpenVPN !

Pour savoir comment utiliser OpenVPN sur Android, cliquez juste ;).

Si vous avez aimé cet article, n’hésitez pas à partager avec les boutons ci-dessous, et pour toute question / remarque, les commentaires sont là.