Секретный канал

GreK (grek07@deadmail.ru)

Хакер, номер #083, стр. 083-034-6

Tinc - это, безусловно, отличная, но пока еще довольно экзотическая реализация VPN. Значительно большее распространение получила система OpenVPN. Ты наверняка встречал ее название в инете и на страницах нашего журнала - это лучшее доказательство моих слов. Надо сказать, что славу она заслужила не случайно. Это воистину очень мощная и надежная реализация VPN SSL соединений. OpenVPN имеет два режима защиты. Первый базируется на SSL/TLS технологиях с использованием сертификатов и ключей. Второй - на использовании статических ключей. Я рассмотрю второй вариант, как наиболее простой. Однако вариант с SSL-сертификатами ни в коем случае не стоит сбрасывать со счетов, так как он считается более безопасным. Оставим его, что называется, для самостоятельного освоения. В качестве примера мы возьмем довольно тривиальную задачу. Я предлагаю рассмотреть случай, когда требуется наладить шифрованный канал связи между двумя узлами Интернета или локальной сети. Надо сказать, что это наиболее частая ситуация.

[установка демона]

Как полагается, начнем с процесса установки программы, который совершенно идентичен как для серверной, так и клиентской стороны. Дистрибутив OpenVPN распространяется в виде обычного исполняемого файла, поэтому единственное, что от тебя требуется, - запустить его и следовать инструкциям мастера. Для удобства дальнейшей настройки программу лучше будет установить не в директорию, предложенную установщиком по умолчанию, а в папку c:\OpenVPN. Если во время установки появятся окна об установке нового оборудования, не пугайся. Дело в том, что OpenVPN пропишет в систему драйвер для виртуального сетевого адаптера - TAP-Win32 Adapter V8. Точно такого же, как и в случае tinc - ты все правильно понял.

После завершения установки приложения, переходи в «Сетевые подключения» и найди там только что созданное подключение. Оно сразу бросится тебе в глаза, благодаря надписи «Сетевой кабель не подключен». Нас будут интересовать настройки протокола TCP/IP, в которых необходимо указать уникальные подсеть и маску подсети для нашей виртуальной сети. Пускай это будут подсеть 10.3.0.1/24 и маска подсети 255.255.255.0. Соответственно, на одной из машин в качестве IP-адреса мы указываем 10.3.0.1, а на другой - 10.3.0.2 (выбор IP-адресов произволен, главное, чтобы они «попали» в выбранную нами подсеть). Маска подсети в обоих случаях одинакова - 255.255.255.0. Еще раз акцентирую внимание, что выбранная подсеть не должна использоваться в реальной локальной сети. В противном случае VPN-соединение ты установить не сможешь!

Теперь нужно сгенерировать статический ключ, который будет использоваться для шифрования трафика. Для этого в командной строке набери команду:

C:\OpenVPN>gt; openvpn.exe --pause-exit --verb 3 --genkey --secret "C:\OpenVPN\config\key.txt"

OpenVPN практически мгновенно создаст 2048-битный ключ и поместит его в файл key.txt. Этот ключ необходимо по безопасному каналу передать на удаленный сервер. Вариантов здесь много: можно, например, принести его туда на дискете :).