One place for hosting & domains

      Tinc

      So installieren Sie Tinc und richten ein einfaches VPN unter Ubuntu 18.04 ein


      Einführung

      Tinc ist ein Open-Source Virtual Private Network (VPN)-Daemon mit nützlichen Funktionen wie Verschlüsselung, optionaler Komprimierung und automatischem Mesh-Routing, der VPN-Verkehr opportunistisch direkt zwischen Servern routen kann. Diese Funktionen unterscheiden tinc von anderen VPN-Lösungen und machen es zu einer guten Wahl für die Erstellung eines VPN aus vielen kleinen, geografisch verteilten Netzwerken.

      In diesem Tutorial gehen wir darauf ein, wie Sie mit tinc ein sicheres VPN erstellen, in dem Ihre Server kommunizieren können, als ob sie sich in einem lokalen Netzwerk befinden würden. Wir werden auch demonstrieren, wie man mit tinc einen sicheren Tunnel in einem privaten Netzwerk einrichtet. Wir verwenden Ubuntu-18.04-Server, aber die Konfigurationen können für die Verwendung mit jedem anderen Betriebssystem angepasst werden.

      Ziele

      Um mehrere Anwendungsfälle abzudecken, beschreibt dieses Tutorial die Verbindung eines Client-Knotens mit dem VPN über eine private Netzwerkschnittstelle und eines anderen über eine öffentliche. Sie können diese Einrichtung jedoch an Ihre eigenen Bedürfnisse anpassen. Sie müssen nur planen, wie Ihre Server aufeinander zugreifen sollen, und die in diesem Tutorial vorgestellten Beispiele an Ihre eigenen Bedürfnisse anpassen. Achten Sie darauf, die in den Beispielen hervorgehobenen Werte durch Ihre eigenen Werte zu ersetzen, wenn Sie eine Anpassung an Ihre eigene Einrichtung vornehmen. Es könnte jedoch in Ihrem Interesse sein, zunächst dem Tutorial in der vorliegenden Form zu folgen, um sicherzustellen, dass Sie die beteiligten Komponenten und Prozesse verstehen, bevor Sie diese Anleitung modifizieren.

      Um die Übersichtlichkeit zu wahren, wird in diesem Tutorial wie folgt auf die Server verwiesen:

      • server-01: Alle VPN-Knoten stellen eine Verbindung mit diesem Rechner her und die Verbindung muss für die einwandfreie VPN-Funktionalität aufrechterhalten werden. Weitere Server können auf die gleiche Weise wie dieser konfiguriert werden, um, falls gewünscht, Redundanz bereitzustellen.
      • client-01: Verbindet sich mit dem VPN-Knoten von server-01 über dessen private Netzwerkschnittstelle
      • client-02: Verbindet sich mit dem VPN-Knoten von server-01 über dessen öffentliche Netzwerkschnittstelle

      Anmerkung: Tinc selbst unterscheidet nicht zwischen Servern (Rechnern, die VPN-Dienste hosten und bereitstellen) und Clients (Rechnern, die sich mit dem sicheren privaten Netzwerk verbinden und es verwenden). Es kann jedoch hilfreich sein, die Funktionsweise von tinc zu verstehen und zu visualisieren, indem Sie sich Ihre Server so vorstellen.

      Hier ist eine Darstellung des VPN, das wir einrichten möchten:

      Tinc VPN-Einrichtung

      Das blaue Feld steht für unser VPN und das rosa Feld für das zugrunde liegende private Netzwerk. Alle drei Server können über das VPN kommunizieren, obwohl das private Netzwerk ansonsten für client-02 nicht zugänglich ist.

      Voraussetzungen

      Wenn Sie diesem Tutorial genau folgen möchten, stellen Sie zwei Ubuntu-18.04-Server (server-01 und client-01) in demselben Datencenter bereit und aktivieren Sie auf jedem das private Netzwerk. Erstellen Sie dann einen weiteren Ubuntu-18.04-Server (client-02) in einem separaten Datencenter. Jeder Server sollte über einen administrativen Benutzer und eine mit ufw konfigurierte Firewall verfügen. Um dies einzurichten, folgen Sie unserem Leitfaden für die Ersteinrichtung des Servers für Ubuntu 18.04.

      Zusätzlich müssen wir später in diesem Tutorial einige Dateien zwischen den einzelnen Rechnern mit scp übertragen. Aus diesem Grund müssen Sie auf jedem Ihrer Server SSH-Schlüssel generieren, die SSH-Schlüssel von client-01 und client-02 zu der Datei authorized_keys von server-01 und dann den SSH-Schlüssel von server-01 zu den Dateien authorized_keys von client-01 und client-02 hinzufügen. Hilfe für das Einrichten finden Sie in unserem Leitfaden So richten Sie SSH-Schlüssel unter Ubuntu 18.04 ein.

      Schritt 1 – Installieren von Tinc

      Tinc ist aus den Standard-APT-Repositorys von Ubuntu verfügbar, d. h., wir können es mit nur wenigen Befehlen installieren.

      Sofern Sie dies nicht kürzlich getan haben, führen Sie auf jedem Server den folgenden Befehl aus, um die jeweiligen Paketindizes zu aktualisieren:

      All servers

      Installieren Sie dann tinc auf jedem Server, indem Sie den folgenden Befehl ausführen:

      All servers

      Damit haben Sie tinc auf jedem Ihrer Server installiert. Sie müssen jedoch einige Änderungen an der Konfiguration von tinc auf jedem Rechner vornehmen, damit Ihr VPN ausgeführt werden kann. Beginnen wir mit der Aktualisierung von server-01.

      Schritt 2 – Konfigurieren des Tinc-Servers

      Tinc erfordert, dass jeder Rechner, der Teil des VPN sein wird, die folgenden drei Konfigurationskomponenten aufweist:

      • Tinc-Konfigurationsdateien: Es gibt drei verschiedene Dateien, die den tinc-Daemon konfigurieren:
        • tinc.conf, die den Netznamen, das Netzwerkgerät, über das VPN ausgeführt wird, und andere VPN-Optionen definiert;
        • tinc-up, ein Skript, das das in tinc.conf definierte Netzwerkgerät nach dem Start von tinc aktiviert;
        • tinc-down, die das Netzwerkgerät deaktiviert, wenn tinc stoppt.
      • Öffentliche/private Schlüsselpaare: Tinc verwendet öffentliche/private Schlüsselpaare, damit nur Benutzer mit gültigen Schlüsseln auf das VPN zugreifen können.
      • Host-Konfigurationsdateien: Jeder Rechner (oder Host) im VPN hat seine eigene Konfigurationsdatei, die die tatsächliche IP-Adresse des Hosts und das Subnetz, in dem tinc ihn bedient, enthält.

      Tinc verwendet einen Netznamen, um ein tinc-VPN von einem anderen zu unterscheiden. Dies ist hilfreich, wenn Sie mehrere VPNs einrichten möchten. Es wird jedoch empfohlen, einen Netznamen selbst dann zu verwenden, wenn Sie nur ein VPN konfigurieren wollen. Sie können Ihrem VPN einen beliebigen Netznamen geben, aber der Einfachheit halber nennen wir unser VPN netname.

      Erstellen Sie auf server-01 die Konfigurationsverzeichnisstruktur für das VPN:

      server-01

      • sudo mkdir -p /etc/tinc/netname/hosts

      Verwenden Sie Ihren bevorzugten Texteditor, um eine Datei tinc.conf zu erstellen. Wir verwenden hier nano:

      server-01

      • sudo nano /etc/tinc/netname/tinc.conf

      Fügen Sie der leeren Datei die folgenden Zeilen hinzu. Diese konfigurieren einen tinc-Knoten namens server_01​​​ mit einer Netzwerkschnittstelle namens tun0, die IPv4 verwenden wird:

      server-01:/etc/tinc/netname/tinc.conf

      Name = server_01
AddressFamily = ipv4
Interface = tun0

      Warnung: Beachten Sie, dass der Wert nach der Anweisung Name einen Unterstrich (_) anstatt eines Bindestrichs (-) enthält. Dies ist wichtig, da tinc verlangt, dass der Wert Name nur alphanumerische oder Unterstrich-Zeichen enthält. Wenn Sie hier einen Bindestrich verwenden, werden Sie bei dem Versuch, das VPN später in diesem Leitfaden zu starten, auf einen Fehler stoßen.

      Speichern und schließen Sie die Datei nach dem Hinzufügen dieser Zeilen. Wenn Sie nano verwendet haben, drücken Sie STRG+X, Y, dann die EINGABETASTE.

      Erstellen Sie als Nächstes eine Host-Konfigurationsdatei namens server_01 im Unterverzeichnis hosts. Letztendlich werden die Client-Knoten diese Datei zur Kommunikation mit server-01 verwenden:

      server-01

      • sudo nano /etc/tinc/netname/hosts/server_01

      Auch hier ist zu beachten, dass der Name dieser Datei einen Unterstrich und keinen Bindestrich enthält. Auf diese Weise entspricht er der Anweisung Name in der Datei tinc.conf, was es tinc ermöglicht, den öffentlichen RSA-Schlüssel des Servers automatisch an diese Datei anzuhängen, wenn wir die Datei später generieren.

      Fügen Sie die folgenden Zeilen in die Datei ein und stellen Sie sicher, dass die öffentliche IP-Adresse von server-01 enthalten ist:

      server-01:/etc/tinc/netname/hosts/server_01

      Address = server-01_public_IP_address
Subnet = 10.0.0.1/32

      Das Feld Address gibt an, wie sich andere Knoten mit diesem Server verbinden werden, und Subnet gibt an, welches Subnetz dieser Daemon bedienen wird. Speichern und schließen Sie die Datei.

      Erzeugen Sie als Nächstes mit dem folgenden Befehl ein Paar öffentlicher und privater RSA-Schlüssel für diesen Host:

      server-01

      • sudo tincd -n netname -K4096

      Nach Ausführung dieses Befehls werden Sie dazu aufgefordert, die Dateinamen einzugeben, unter denen tinc die öffentlichen und privaten RSA-Schlüssel speichern wird:

      Output
      . . .
Please enter a file to save private RSA key to [/etc/tinc/netname/rsa_key.priv]:
Please enter a file to save public RSA key to [/etc/tinc/netname/hosts/server_01]:

      Drücken Sie die EINGABETASTE, um bei jeder Eingabeaufforderung die Standardspeicherorte zu akzeptieren; dadurch wird tinc angewiesen, den privaten Schlüssel in einer Datei namens rsa_key.priv zu speichern und den öffentlichen Schlüssel an die Host-Konfigurationsdatei server_01 anzuhängen.

      Als Nächstes erstellen Sie tinc-up, das Skript, das bei jedem Start des VPNs netname ausgeführt wird:

      server-01

      • sudo nano /etc/tinc/netname/tinc-up

      Fügen Sie die folgenden Zeilen hinzu:

      server-01:/etc/tinc/netname/tinc-up

      #!/bin/sh
ip link set $INTERFACE up
ip addr add 10.0.0.1/32 dev $INTERFACE
ip route add 10.0.0.0/24 dev $INTERFACE

      Im Folgenden wird erläutert, was jede dieser Zeilen bewirkt:

      • ip link …: setzt den Status der virtuellen Netzwerkschnittstelle von tinc auf up
      • ip addr …: fügt der virtuellen Netzwerkschnittstelle von tinc die IP-Adresse 10.0.0.1 mit einer Netzmaske von 32 hinzu, wodurch die anderen Rechner im VPN die IP-Adressse von server-01 als 10.0.0.1 sehen.
      • ip route …: fügt eine Route (10.0.0.0/24) hinzu, die über die virtuelle Netzwerkschnittstelle von tinc erreicht werden kann.

      Speichern und schließen Sie die Datei nach dem Hinzufügen dieser Zeilen.

      Als Nächstes erstellen Sie ein Skript, um die virtuelle Netzwerkschnittstelle zu entfernen, wenn Ihr VPN gestoppt wird:

      server-01

      • sudo nano /etc/tinc/netname/tinc-down

      Fügen Sie die folgenden Zeilen hinzu:

      server-01:/etc/tinc/netname/tinc-down

      #!/bin/sh
ip route del 10.0.0.0/24 dev $INTERFACE
ip addr del 10.0.0.1/32 dev $INTERFACE
ip link set $INTERFACE down

      Diese Zeilen haben die entgegengesetzte Wirkung wie die des Skripts tinc-up:

      • ip route …: Löscht die Route 10.0.0.0/24
      • ip addr …: löscht die IP-Adresse 10.0.0.1 aus der virtuellen Netzwerkschnittstelle von tinc
      • ip link …: setzt den Status der virtuellen Netzwerkschnittstelle von tinc auf down

      Speichern und schließen Sie die Datei und machen Sie dann diese beiden neuen Netzwerkskripte ausführbar:

      server-01

      • sudo chmod 755 /etc/tinc/netname/tinc-*

      Fügen Sie als letzten Schritt der Konfiguration von server-01 eine Firewall-Regel hinzu, die den Datenverkehr über Port 655, den Standardport von tinc, zulässt:

      server-01

      server-01 ist nun vollständig konfiguriert und Sie können mit der Einrichtung Ihrer Client-Knoten fortfahren.

      Schritt 3 – Konfigurieren der Client-Knoten

      Ihre beiden Client-Rechner benötigen eine etwas andere Konfiguration als der Server, obwohl der Prozess im Allgemeinen recht ähnlich ist.

      Aufgrund der Einrichtung, die wir in diesem Leitfaden anstreben, werden wir client-01 und client-02 fast identisch, mit nur wenigen kleinen Unterschieden zwischen ihnen, konfigurieren. Daher müssen viele der in diesem Schritt gegebenen Befehle auf beiden Rechnern ausgeführt werden. Beachten Sie jedoch, dass, wenn client-01 oder client-02 einen bestimmten Befehl oder eine spezielle Konfiguration erfordern, diese Anweisungen in einem blauen bzw. roten Befehlsblock angezeigt werden.

      Replizieren Sie sowohl auf client-01 als auch auf client-02 die auf server-01 erstellte Verzeichnisstruktur:

      client-01 & client-02

      • sudo mkdir -p /etc/tinc/netname/hosts

      Erstellen Sie dann eine Datei tinc.conf:

      client-01 & client-02

      • sudo nano /etc/tinc/netname/tinc.conf

      Fügen Sie auf beiden Rechnern die folgenden Zeilen in die Datei ein:

      client-01 & client-02 /etc/tinc/netname/tinc.conf

      Name = node_name
AddressFamily = ipv4
Interface = tun0
ConnectTo = server_01

      Stellen Sie sicher, dass Sie node_name durch den Namen des jeweiligen Client-Knotens ersetzen. Auch hier ist darauf zu achten, dass dieser Name einen Unterstrich (_) und keinen Bindestrich verwendet.

      Beachten Sie, dass diese Datei eine Anweisung ConnectTo enthält, die auf server_01 verweist, während die Datei tinc.conf von server-01 diese Anweisung nicht enthält. Indem Sie keine Anweisung ConnectTo auf server-01 einbinden, bedeutet dies, dass server-01 nur auf eingehende Verbindungen lauscht. Dies funktioniert für unsere Einrichtung, da es keine Verbindung mit anderen Rechnern herstellt.

      Speichern und schließen Sie die Datei.

      Erstellen Sie als Nächstes auf jedem Client-Knoten eine Host-Konfigurationsdatei. Achten Sie auch hier darauf, dass der Dateinamen mit einem Unterstrich statt eines Bindestrichs geschrieben wird:

      client-01 & client-02

      • sudo nano /etc/tinc/netname/hosts/node_name

      Fügen Sie für client-01 diese Zeile hinzu:

      client-01:/etc/tinc/netname/hosts/client_01

      Subnet = 10.0.0.2/32

      Fügen Sie für client-02 diese Zeile hinzu:

      client-02:/etc/tinc/netname/hosts/client_02

      Subnet = 10.0.0.3/32

      Beachten Sie, dass jeder Client ein anderes Subnetz hat, das tinc bedienen wird. Speichern und schließen Sie die Datei.

      Erzeugen Sie als Nächstes auf jedem Client-Rechner die Schlüsselpaare:

      client-01 & client-02

      • sudo tincd -n netname -K4096

      Wie auch bei server-01 drücken Sie bei der Aufforderung zur Dateiauswahl zum Speichern der RSA-Schlüssel die EINGABETASTE, um die Standardauswahl zu akzeptieren.

      Erstellen Sie anschließend das Startskript für die Netzwerkschnittstelle auf jedem Client:

      client-01 & client-02

      • sudo nano /etc/tinc/netname/tinc-up

      Fügen Sie für client-01 diese Zeilen hinzu:

      client-01:/etc/tinc/netname/tinc-up

      #!/bin/sh
ip link set $INTERFACE up
ip addr add 10.0.0.2/32 dev $INTERFACE
ip route add 10.0.0.0/24 dev $INTERFACE

      Fügen Sie für client-02 Folgendes hinzu:

      client-02:/etc/tinc/netname/tinc-up

      #!/bin/sh
ip link set $INTERFACE up
ip addr add 10.0.0.3/32 dev $INTERFACE
ip route add 10.0.0.0/24 dev $INTERFACE

      Speichern und schließen Sie jede Datei.

      Erstellen Sie als Nächstes auf jedem Client das Stoppskript für die Netzwerkschnittstelle:

      client-01 & client-02

      • sudo nano /etc/tinc/netname/tinc-down

      Fügen Sie auf client-01 den folgenden Inhalt in die leere Datei ein:

      client-01:/etc/tinc/netname/tinc-down

      #!/bin/sh
ip route del 10.0.0.0/24 dev $INTERFACE
ip addr del 10.0.0.2/32 dev $INTERFACE
ip link set $INTERFACE down

      Fügen Sie auf client-02 Folgendes hinzu:

      client-02:/etc/tinc/netname/tinc-down

      #!/bin/sh
ip route del 10.0.0.0/24 dev $INTERFACE
ip addr del 10.0.0.3/32 dev $INTERFACE
ip link set $INTERFACE down

      Speichern und schließen Sie die Dateien.

      Machen Sie Netzwerkskripte ausführbar, indem Sie auf jedem Client-Rechner den folgenden Befehl ausführen:

      client-01 & client-02

      • sudo chmod 755 /etc/tinc/netname/tinc-*

      Öffnen Sie zum Schluss Port 655 auf jedem Client:

      client-01 & client-02

      Zu diesem Zeitpunkt sind die Client-Knoten fast, wenn auch nicht ganz, eingerichtet. Sie benötigen noch den öffentlichen Schlüssel, den wir im vorherigen Schritt auf server-01 erstellt haben, um die Verbindung zum VPN zu authentifizieren.

      Schritt 4 – Verteilen der Schlüssel

      Jeder Knoten, der direkt mit einem anderen Knoten kommunizieren möchte, muss öffentliche Schlüssel ausgetauscht haben, die sich innerhalb der Host-Konfigurationsdateien befinden. In unserem Fall muss server-01 öffentliche Schlüssel mit den anderen Knoten austauschen.

      Austauschen von Schlüsseln zwischen server-01 und client-01

      Kopieren Sie auf client-01 seine Host-Konfigurationsdatei auf server-01. Da sich sowohl client-01 als auch server-01 im selben Datencenter befinden und beide über ein aktiviertes privates Netzwerk verfügen, können Sie hier die private IP-Adresse von server01 verwenden:

      client-01

      • scp /etc/tinc/netname/hosts/client_01 sammy@server-01_private_IP:/tmp

      Kopieren Sie dann auf server-01 die Host-Konfigurationsdatei von client-01 in das Verzeichnis /etc/tinc/netname/hosts/:

      server-01

      • sudo cp /tmp/client_01 /etc/tinc/netname/hosts/

      Kopieren Sie dann, während Sie sich noch auf server-01 befinden, dessen Host-Konfigurationsdatei nach client-01:

      server-01

      • scp /etc/tinc/netname/hosts/server_01 user@client-01_private_IP:/tmp

      Kopieren Sie auf client-01 die Datei von server-01 an den entsprechenden Ort:

      client-01

      • sudo cp /tmp/server_01 /etc/tinc/netname/hosts/

      Bearbeiten Sie auf client-01 die Host-Konfigurationsdatei von server-01, damit das Feld Address auf die private IP-Adresse von server-01 gesetzt wird. Auf diese Weise verbindet sich client-01 über das private Netzwerk mit dem VPN:

      client-01

      • sudo nano /etc/tinc/netname/hosts/server_01

      Ändern Sie die Anweisung Address so, dass sie auf die private IP-Adresse von server-01 verweist:

      client-01:/etc/tinc/netname/hosts/server_01

      Address = server-01_private_IP
Subnet = 10.0.0.1/32

      Speichern und beenden. Gehen wir jetzt zu unserem verbleibenden Knoten, client-02.

      Austauschen von Schlüsseln zwischen server-01 und client-02

      Kopieren Sie auf client-02 seine Host-Konfigurationsdatei auf server-01:

      client-02

      • scp /etc/tinc/netname/hosts/client_02 sammy@server-01_public_IP:/tmp

      Kopieren Sie dann auf server-01 die Host-Konfigurationsdatei von client_02 an den entsprechenden Ort:

      server-01

      • sudo cp /tmp/client_02 /etc/tinc/netname/hosts/

      Kopieren Sie dann die Host-Konfigurationsdatei von server-01 nach client-02:

      server-01

      • scp /etc/tinc/netname/hosts/server_01 user@client-02_public_IP:/tmp

      Kopieren Sie auf client-02 die Datei von server-01 an den entsprechenden Ort:

      client-02

      • sudo cp /tmp/server_01 /etc/tinc/netname/hosts/

      Angenommen, Sie richten nur zwei Client-Knoten ein, dann sind Sie mit der Verteilung der öffentlichen Schlüssel fertig. Wenn Sie jedoch ein größeres VPN erstellen, ist jetzt ein guter Zeitpunkt, um die Schlüssel zwischen diesen anderen Knoten auszutauschen. Denken Sie daran, dass, wenn zwei Knoten direkt miteinander kommunizieren sollen (ohne einen Weiterleitungsserver dazwischen), sie ihre Schlüssel/Host-Konfigurationsdateien ausgetauscht haben müssen und auf die realen Netzwerkschnittstellen des jeweils anderen zugreifen können müssen. Es ist außerdem in Ordnung, die Konfigurationsdatei jedes Hosts einfach auf jeden Knoten im VPN zu kopieren.

      Schritt 5 – Testen der Konfiguration

      Starten Sie tinc auf jedem Knoten, beginnend mit server-01, mit dem folgenden Befehl:

      All servers

      • sudo tincd -n netname -D -d3

      Dieser Befehl enthält das Flag -n, das auf den Netznamen für unser VPN netname verweist. Dies ist nützlich, wenn Sie mehr als ein VPN eingerichtet haben und Sie angeben müssen, welches Sie starten möchten. Es enthält auch das Flag -D, das die Gabelung und Trennung von tinc verhindert sowie den automatischen Neustartmechanismus von tinc deaktiviert. Schließlich enthält es das Flag -d, das tinc anweist, im Debug-Modus mit einem Debug-Level von 3 zu laufen.

      Anmerkung: Wenn es um den tinc-Daemon geht, zeigt ein Debug-Level von 3 jede zwischen zwei beliebigen Servern ausgetauschte Anfrage, einschließlich Authentifizierungsanforderungen, Schlüsselaustausch und Aktualisierungen von Verbindungslisten. Höhere Debug-Level zeigen mehr Informationen über den Netzwerkverkehr an, aber im Moment geht es nur darum, ob die Knoten miteinander kommunizieren können. Daher ist ein Level von 3 ausreichend. In einem Produktivszenario würden Sie jedoch zu einem niedrigeren Debug-Level wechseln wollen, um die Festplatten nicht mit Protokolldateien zu füllen.

      Sie können mehr über die Debug-Level von tinc erfahren, indem Sie die offizielle Dokumentation durchsehen.

      Nachdem der Daemon auf jedem Knoten gestartet wurde, sollten Sie eine Ausgabe mit den Namen der einzelnen Knoten sehen, wenn sie sich mit server-01 verbinden. Testen wir jetzt die Verbindung über das VPN.

      Pingen Sie in einem separaten Fenster auf client-02 die VPN IP-Adresse von client-01 an. Dieser haben wir zuvor 10.0.0.2 zugewiesen:

      client-02

      Der Ping sollte korrekt funktionieren und Sie sollten in den anderen Fenstern einige Debug-Ausgaben über die Verbindung im VPN sehen. Dies zeigt an, dass client-02 über das VPN über server-01 mit client-01 kommunizieren kann. Drücken Sie STRG+C, um den Ping zu beenden.

      Sie können die VPN-Schnittstellen auch für jede andere Netzwerkkommunikation verwenden, z. B. für Anwendungsverbindungen, das Kopieren von Dateien und SSH.

      Beenden Sie in jedem Debug-Fenster des tinc-Daemons den Daemon durch drücken von STRG+.

      Schritt 6 – Konfigurieren von Tinc zum Starten beim Booten

      Ubuntu-Server verwenden systemd als standardmäßigen Systemmangager, um das Starten und Ausführen von Prozessen zu steuern. Aus diesem Grund können wir das VPN netname so aktivieren, dass es beim Booten mit einem einzigen systemctl-Befehl automatisch gestartet wird.

      Führen Sie den folgenden Befehl auf jedem Knoten aus, um das tinc-VPN so einzustellen, dass es bei jedem Booten des Rechners startet:

      All servers

      • sudo systemctl enable tinc@netname

      Tinc ist so konfiguriert, dass es auf jedem Rechner beim Booten startet, und Sie können es mit dem Befehl systemctl steuern. Wenn Sie es jetzt starten möchten, führen Sie den folgenden Befehl auf jedem Ihrer Knoten aus:

      All servers

      • sudo systemctl start tinc@netname

      Anmerkung: Wenn Sie mehrere VPN haben, aktivieren oder starten jedes sofort, so wie hier:

      All servers

      • sudo systemctl start tinc@natename_01 tinc@netname_02 … tinc@netname_n

      Damit ist Ihr tinc-VPN vollständig konfiguriert und wird auf jedem Ihrer Knoten ausgeführt.

      Zusammenfassung

      Nachdem Sie dieses Tutorial durchgearbeitet haben, sollten Sie nun eine gute Grundlage haben, um Ihr VPN entsprechend Ihren Bedürfnissen auszubauen. Tinc ist sehr flexibel und jeder Knoten kann so konfiguriert werden, dass er sich mit jedem anderen Knoten (auf den er über das Netzwerk zugreifen kann) verbindet, sodass er als Mesh-VPN fungieren kann, ohne sich auf einen einzelnen Knoten zu verlassen.



      Source link

      Como instalar o Tinc e configurar um VPN básico no Ubuntu 18.04


      Introdução

      O Tinc é um programa daemon para Rede Virtual Privada (VPN), de código aberto,com recursos úteis como a criptografia, compressão opcional e o roteamento em malha automático que pode, de maneira oportuna, rotear o tráfego da VPN diretamente entre os servidores. Tais recursos diferenciam o tinc de outras soluções para VPN e fazem com que ele seja uma boa escolha para a criação de uma VPN a partir das diversas redes pequenas, geograficamente distribuídas.

      Neste tutorial, vamos revisar como usar o tinc para criar uma VPN segura na qual seus servidores podem se comunicar como se estivessem em uma rede local. Também vamos demonstrar como usar o tinc para configurar um túnel seguro em uma rede privada. Vamos usar servidores Ubuntu 18.04, mas as configurações podem ser adaptadas para uso com qualquer outro SO.

      Objetivos

      Para abranger vários casos de uso, este tutorial define como conectar um nó de cliente à VPN em uma interface de rede privada e outro à uma pública. No entanto, você pode adaptar essa configuração para atender às suas próprias necessidades. Você precisará apenas planejar como vai querer que seus servidores acessem uns aos outros, adaptando os exemplos apresentados neste tutorial às suas próprias necessidades. Se você estiver adaptando esses procedimentos à sua própria configuração, certifique-se de substituir os valores destacados nos exemplos pelos seus próprios valores. Porem, pode ser que você prefira primeiro seguir o tutorial da forma como foi escrito, no intuito de garantir que você entenda os componentes e processos envolvidos, antes de modificar essas instruções.

      Para ajudar a deixar as coisas claras, este tutorial irá referir-se aos servidores desta forma:

      • servidor-01: todos os nós da VPN serão conectados a esse computador e a conexão deverá ser mantida para o funcionamento adequado da VPN. Se quiser, servidores adicionais podem ser configurados da mesma maneira para proporcionar redundância.
      • cliente-01: conecta-se ao nó da VPN do server-01, usando sua interface de rede privada.
      • cliente-02: conecta-se ao nó da VPN no servidor-01 por uma interface de rede pública.

      Nota: o próprio Tinc não sabe diferenciar os servidores (computadores que hospedam e entregam os serviços da VPN) dos clientes (as máquinas que se conectam à rede privada segura e a utilizam). Porém, pode ser ser útil entender e visualizar como o tinc funciona, pensando nos seus servidores dessa forma.

      Apresentamos abaixo, um diagrama da VPN que queremos configurar:

      Configuração da VPN Tinc

      A caixa azul representa nossa VPN e a rosa representa a rede privada subjacente. Todos os três servidores podem se comunicar na VPN, embora a rede privada, de qualquer forma, fique inacessível para o cliente-02.

      Pré-requisitos

      Caso queira seguir de maneira exata este, providencie dois servidores Ubuntu 18.04. (servidor-01 e cliente-01) no mesmo datacenter e habilite a conexão em rede privada em cada um. Depois, crie outro servidor Ubuntu 18.04 (cliente-02) em um datacenter separado. Cada servidor deverá ter um usuário administrativo e um firewall configurado com o ufw. Para configurar isso, siga nosso guia de configuração inicial de servidor para o Ubuntu 18.04.

      Além disso, mais adiante, neste tutorial, precisaremos transferir alguns arquivos entre cada computador usando o scp. Por isso, você precisará gerar chaves SSH em cada um dos seus servidores, adicionar ambas chaves SSH do cliente-01 e do cliente-02 ao arquivo authorized-keys do servidor-01 e, em seguida, adicionar a chave SSH do servidor-01 a ambos arquivos authorized_keys – do cliente-01 e do cliente-02. Para ajudar na configuração disso tudo, consulte nosso guia sobre Como configurar chaves SSH no Ubuntu 18.04.

      Passo 1 — Instalando o Tinc

      O Tinc está disponível nos repositórios padrão da ferramenta APT do Ubuntu, o que significa que podemos instalá-lo com apenas alguns comandos.

      Caso não tenha feito isso recentemente, execute o seguinte comando em cada servidor para atualizar seus respectivos índices de pacotes:

      All servers

      Então, instale o tinc em cada servidor executando o seguinte comando:

      All servers

      Com isso, você instalou o tinc em cada um dos seus servidores. No entanto, para colocar sua VPN em funcionamento, você precisará fazer algumas alterações na configuração do tinc em cada máquina. Vamos começar atualizando o servidor-01.

      Passo 2 — Configurando o servidor do Tinc

      O Tinc exige que cada computador que fizer parte da VPN tenha os três componentes de configuração a seguir:

      • Arquivos de configuração do Tinc: há três arquivos distintos que configuram o daemon do tinc:
        • tinc.conf, que define o netname, o dispositivo de rede no qual a VPN irá executar e outras opções da VPN;
        • tinc-up, um script que ativa o dispositivo de rede definido em tinc.conf após a inicialização do tinc;
        • tinc-down, que desativa o dispositivo de rede sempre que o tinc parar.
      • Pares de chaves públicas/privadas: o Tinc usa pares de chaves públicas/privadas para garantir que apenas os usuários com chaves válidas possam acessar a VPN.
      • Arquivos de configuração de host: cada máquina (ou host) na VPN tem seu próprio arquivo de configuração que contém o endereço IP real do host e a sub-rede onde o tinc a atenderá.

      O Tinc usa um netname para distinguir uma VPN da outra. Isso é útil nos casos em que você queira configurar várias VPN. Porém, é recomendável que você use um netname, mesmo se você estiver planejando configurar apenas uma VPN. Você pode dar à sua VPN o nome que quiser, mas, para simplificar, vamos chamar nossa VPN de netname.

      No servidor-01, crie a estrutura de diretórios de configuração para a VPN:

      server-01

      • sudo mkdir -p /etc/tinc/netname/hosts

      Use seu editor de texto preferido para criar um arquivo tinc.conf. Aqui, usaremos o nano:

      server-01

      • sudo nano /etc/tinc/netname/tinc.conf

      Adicione as linhas a seguir ao arquivo em branco. Essas linhas configuram um nó do tinc chamado server_01 com uma interface de rede chamada tun0, a qual usará o IPv4:

      server-01:/etc/tinc/netname/tinc.conf

      Name = server_01
AddressFamily = ipv4
Interface = tun0

      Aviso: note que o valor depois da diretriz Name inclui um sublinhado (_) em vez de um hífen (-). Isso é importante, pois o tinc exige que o valor Name contenha apenas caracteres alfanuméricos ou sublinhados. Se usar um hífen aqui, você encontrará um erro quando tentar iniciar a VPN mais tarde neste guia.

      Salve e feche o arquivo após adicionar essas linhas. Se usou o nano, salve e feche o arquivo, pressionando as teclas CTRL+X,Ye, depois ENTER.

      Em seguida, crie um arquivo de configuração do host, chamado server_01 no subdiretório hosts. No fim das contas, os nós do cliente usarão este arquivo para se comunicar com o servidor-01:

      server-01

      • sudo nano /etc/tinc/netname/hosts/server_01

      Novamente, note que o nome desse arquivo contém um sublinhado, em vez de um hífen. Dessa forma, ele se alinha com a diretiva de Name no arquivo tinc.conf, o que permitirá que o tinc anexe automaticamente a chave RSA pública do servidor a esse arquivo quando a gerarmos mais tarde.

      Adicione as linhas a seguir ao arquivo, certificando-se de incluir o endereço IP público do servidor-01:

      server-01:/etc/tinc/netname/hosts/server_01

      Address = server-01_public_IP_address
Subnet = 10.0.0.1/32

      O campo Address especifica como outros nós se conectarão a esse servidor e o campo Subnet especifica qual sub-rede este daemon irá atender. Salve e feche o arquivo.

      Em seguida, gere um par de chaves RSA – pública e privada – para esse host, com o seguinte comando:

      server-01

      • sudo tincd -n netname -K4096

      Após executar esse comando, você será solicitado a digitar os nomes dos arquivos onde o tinc salvará as chaves RSA pública e privada:

      Output
      . . .
Please enter a file to save private RSA key to [/etc/tinc/netname/rsa_key.priv]:
Please enter a file to save public RSA key to [/etc/tinc/netname/hosts/server_01]:

      Pressione ENTER para aceitar os locais padrão em cada prompt; fazer isso dirá ao tinc para armazenar a chave privada em um arquivo chamado rsa_key.priv e anexar a chave pública ao arquivo de configuração de host do server_01.

      Em seguida, crie o tinc-up, o script que será executado sempre que a VPN netname for iniciada:

      server-01

      • sudo nano /etc/tinc/netname/tinc-up

      Adicione as linhas seguintes:

      server-01:/etc/tinc/netname/tinc-up

      #!/bin/sh
ip link set $INTERFACE up
ip addr add 10.0.0.1/32 dev $INTERFACE
ip route add 10.0.0.0/24 dev $INTERFACE

      Descrevemos abaixo o que cada uma dessas linhas faz:

      • ip link ...: define o status da interface de rede virtual do tinc como up
      • ip addr ...: adiciona o endereço IP 10.0.0.1 com uma máscara de rede de 32 à interface da rede virtual do tinc, o que fará com que as outras máquinas na VPN vejam o endereço IP do servidor-01 como 10.0.0.1
      • ip route ...: adiciona uma rota (10.0.0.0/24), a qual pode ser alcançada na interface da rede virtual do tinc.

      Salve e feche o arquivo após adicionar essas linhas.

      Em seguida, crie um script para remover a interface da rede virtual quando sua VPN for interompida:

      server-01

      • sudo nano /etc/tinc/netname/tinc-down

      Adicione as linhas seguintes:

      server-01:/etc/tinc/netname/tinc-down

      #!/bin/sh
ip route del 10.0.0.0/24 dev $INTERFACE
ip addr del 10.0.0.1/32 dev $INTERFACE
ip link set $INTERFACE down

      Estas linhas causam os efeitos opostos aos do script tinc-up:

      • ip route ...: exclui a rota 10.0.0.0/24
      • ip addr ...: exclui o endereço IP 10.0.0.1 da interface da rede virtual do tinc
      • ip link ...: define o status da interface da rede virtual do tinc como down

      Salve e feche o arquivo e, em seguida, torne esses dois novos scripts de rede executáveis:

      server-01

      • sudo chmod 755 /etc/tinc/netname/tinc-*

      Como passo final na configuração do servidor-01, adicione uma regra de firewall que permitirá o tráfego pela porta 655 – porta padrão do tinc:

      server-01

      O servidor-01 agora está totalmente configurado e você pode prosseguir com a configuração dos nós do seu cliente.

      Passo 3 — Configurando os nós do cliente

      Ambas as máquinas do seu cliente precisarão de uma configuração ligeiramente diferente da configuração do servidor, embora o processo seja no geral bastante parecido.

      Por conta da configuração que estamos almejando neste guia, vamos configurar o cliente-01 e cliente-02 de maneira quase idêntica, com apenas pequenas diferenças entre eles. Assim, muitos dos comandos dados neste passo devem ser executados em ambas as máquinas. Note, entretanto, que se o cliente-01 ou** cliente-02** precisarem de um comando específico ou de uma configuração especial, essas instruções serão exibidas em um bloco de comandos azul ou vermelho, respectivamente.

      Replique a estrutura de diretórios que você criou no servidor-01 no cliente-01 e no cliente-02:

      client-01 & client-02

      • sudo mkdir -p /etc/tinc/netname/hosts

      Depois, crie um arquivo tinc.conf:

      client-01 & client-02

      • sudo nano /etc/tinc/netname/tinc.conf

      Adicione as linhas a seguir ao arquivo de ambas as máquinas:

      client-01 & client-02 /etc/tinc/netname/tinc.conf

      Name = node_name
AddressFamily = ipv4
Interface = tun0
ConnectTo = server_01

      Certifique-se de substituir o node_name pelo nome de nó do cliente respectivo. Novamente, certifique-se de que esse nome use um sublinhado (_) em vez de um hífen.

      Note que esse arquivo contém uma diretiva ConnectTo apontando para o servidor_01, ao passo que o arquivo tinc.conf do servidor-01 não incluiu essa diretiva. Ao deixar de incluir uma instrução ConnectTo no servidor-01, isso significa que o servidor-01 escutará apenas as conexões de entrada. Isso funcionará para a nossa configuração, uma vez que ela não se conectará a nenhuma outra máquina.

      Salve e feche o arquivo.

      Em seguida, crie um arquivo de configuração de host no nó de cada cliente. Novamente, certifique-se de que o nome do arquivo seja escrito com um sublinhado em vez de um hífen:

      client-01 & client-02

      • sudo nano /etc/tinc/netname/hosts/node_name

      Para o cliente-01, adicione esta linha:

      client-01:/etc/tinc/netname/hosts/client_01

      Subnet = 10.0.0.2/32

      Para o cliente-02, adicione esta linha:

      client-02:/etc/tinc/netname/hosts/client_02

      Subnet = 10.0.0.3/32

      Note que cada cliente tem uma sub-rede diferente que o tinc atenderá. Salve e feche o arquivo.

      Em seguida, gere os pares de chaves na máquina de cada cliente:

      client-01 & client-02

      • sudo tincd -n netname -K4096

      Novamente, assim como você fez com o servidor-01, quando foi solicitado a selecionar arquivos para armazenar as chaves RSA, pressione ENTER para aceitar as escolhas padrão.

      Em seguida, crie o script de inicialização da interface da rede em cada cliente:

      client-01 & client-02

      • sudo nano /etc/tinc/netname/tinc-up

      Para o cliente-01, adicione estas linhas:

      client-01:/etc/tinc/netname/tinc-up

      #!/bin/sh
ip link set $INTERFACE up
ip addr add 10.0.0.2/32 dev $INTERFACE
ip route add 10.0.0.0/24 dev $INTERFACE

      Para o cliente-02, adicione o seguinte:

      client-02:/etc/tinc/netname/tinc-up

      #!/bin/sh
ip link set $INTERFACE up
ip addr add 10.0.0.3/32 dev $INTERFACE
ip route add 10.0.0.0/24 dev $INTERFACE

      Salve e feche cada arquivo.

      Em seguida, crie o script de parada da interface da rede em cada cliente:

      client-01 & client-02

      • sudo nano /etc/tinc/netname/tinc-down

      No cliente-01, adicione o seguinte conteúdo ao arquivo em branco:

      client-01:/etc/tinc/netname/tinc-down

      #!/bin/sh
ip route del 10.0.0.0/24 dev $INTERFACE
ip addr del 10.0.0.2/32 dev $INTERFACE
ip link set $INTERFACE down

      No cliente-02, adicione o seguinte:

      client-02:/etc/tinc/netname/tinc-down

      #!/bin/sh
ip route del 10.0.0.0/24 dev $INTERFACE
ip addr del 10.0.0.3/32 dev $INTERFACE
ip link set $INTERFACE down

      Salve e feche os arquivos.

      Torne os scripts de rede executáveis, usando o comando a seguir na máquina de cada cliente:

      client-01 & client-02

      • sudo chmod 755 /etc/tinc/netname/tinc-*

      Por fim, abra a porta 655 em cada cliente:

      client-01 & client-02

      Neste ponto, os nós do cliente estarão quase prontos – mas não totalmente. Eles ainda precisam da chave pública que criamos no servidor-01 no passo anterior para autenticar a conexão com a VPN.

      Passo 4 — Distribuindo as chaves

      Cada nó que quiser se comunicar diretamente com outro nó deve ter trocado as chaves públicas, as quais ficam dentro dos arquivos de configuração do host. No nosso caso, o servidor-01 precisa trocar chaves públicas com os outros nós.

      Troque as chaves entre o servidor-01 e o cliente-01

      No cliente-01, copie seu arquivo de configuração de host para o servidor-01. Como tanto o cliente-01 quanto o servidor-01 estão no mesmo datacenter e ambos têm a rede privada habilitada, você pode usar o endereço IP privado do server01 aqui:

      client-01

      • scp /etc/tinc/netname/hosts/client_01 sammy@server-01_private_IP:/tmp

      Em seguida, no servidor-01, copie o arquivo de configuração do host do cliente-01 para o diretório /etc/tinc/netname/hosts/:

      server-01

      • sudo cp /tmp/client_01 /etc/tinc/netname/hosts/

      Na sequência, enquanto ainda estiver no servidor-01, copie seu arquivo de configuração do host para o cliente-01:

      server-01

      • scp /etc/tinc/netname/hosts/server_01 user@client-01_private_IP:/tmp

      No cliente-01, copie o arquivo do servidor-01 para o local apropriado:

      client-01

      • sudo cp /tmp/server_01 /etc/tinc/netname/hosts/

      No cliente-01, edite o arquivo de configuração de host do** servidor-01** para que o campo Address seja definido para o endereço IP privado do servidor-01. Dessa forma, o cliente-01 se conectará à VPN através da rede privada:

      client-01

      • sudo nano /etc/tinc/netname/hosts/server_01

      Altere a diretiva de Address para que aponte para o endereço IP privado do servidor-01:

      client-01:/etc/tinc/netname/hosts/server_01

      Address = server-01_private_IP
Subnet = 10.0.0.1/32

      Salve e saia. Agora, vamos prosseguir com o nó restante, no cliente-02.

      Troque as chaves entre o servidor-01 e o cliente-02

      No cliente-02, copie seu arquivo de configuração de host para o servidor-01.

      client-02

      • scp /etc/tinc/netname/hosts/client_02 sammy@server-01_public_IP:/tmp

      Na sequência, no servidor-01, copie o arquivo de configuração de host do client_02 para o local adequado:

      server-01

      • sudo cp /tmp/client_02 /etc/tinc/netname/hosts/

      Depois, copie o arquivo de configuração de host do servidor-01 para o cliente-02:

      server-01

      • scp /etc/tinc/netname/hosts/server_01 user@client-02_public_IP:/tmp

      No cliente-02, copie o arquivo do servidor-01 para o local apropriado:

      client-02

      • sudo cp /tmp/server_01 /etc/tinc/netname/hosts/

      Presumindo-se que você esteja configurando apenas dois nós de cliente, neste ponto você terá terminado de distribuir as chaves públicas. No entanto, se estiver criando uma VPN maior, agora é uma boa hora para trocar as chaves entre esses outros nós. Lembre-se de que, caso queira que dois nós se comuniquem diretamente entre si (sem um servidor de encaminhamento entre eles), eles precisarão ter trocado seus arquivos de configuração de chaves/hosts e um precisará ter acesso à interface da rede real do outro. Além disso, é aceitável copiar apenas o arquivo de configuração de cada host para todo nó na VPN.

      Passo 5 — Testando a configuração

      Em cada nó, começando pelo servidor-01, inicie o tinc com o seguinte comando:

      All servers

      • sudo tincd -n netname -D -d3

      Esse comando inclui um sinalizador -n, que aponta para o netname de nossa VPN, netname. Isso será útil se você tiver mais de uma VPN configurada e precisar especificar qual deles você deseja iniciar. Ele também inclui o sinalizador -D, que impede o tinc de bifurcar e desconectar, bem como desabilita o mecanismo de reinício automático do tinc. Por fim, ele inclui o sinalizador -d, que diz ao tinc para ser executado no modo de depuração, com um nível de depuração de 3.

      Nota: em se tratando do daemon do tinc, um nível de depuração de 3 mostrará cada pedido trocado entre quaisquer dois servidores, incluindo pedidos de autenticação, troca de chaves e atualizações da lista de conexão. Os níveis de depuração mais elevados mostram mais informações acerca do tráfego de rede, mas, por enquanto, estamos preocupados apenas se os nós podem se comunicar entre si, de modo que um nível de 3 será suficiente. Entretanto, em um cenário de produção, você talvez queira mudar para um nível de depuração inferior, de modo a não sobrecarregar os discos com arquivos de registro.

      Você pode aprender mais sobre os níveis de depuração do tinc, revisando a documentação oficial.

      Após iniciar o daemon em cada nó, você deve ver o resultado com os nomes de cada nó à medida em que se conectam ao servidor-01. Agora, vamos testar a conexão através da VPN.

      Numa janela separada, no cliente-02, execute um ping para o endereço IP daVPN do cliente-01. Anteriormente, nós atribuímos o endereço 10.0.0.2:

      client-02

      O ping deverá funcionar corretamente e você deverá ver algum resultado de depuração nas outras janelas sobre a conexão na VPN. Isso indica que o cliente-02 consegue se comunicar pela VPN, através do servidor-01 com o cliente-01. Pressione CTRL+C para parar o ping.

      Você também pode usar as interfaces com a VPN para fazer qualquer outra comunicação em rede, como conexões de aplicativo, copiar arquivos e SSH.

      Em cada janela de depuração do daemon do tinc, saia do daemon pressionando CTRL+.

      Passo 6 — Configurando o tinc para iniciar na inicialização

      Os servidores com Ubuntu usam o systemd como o gerenciador de sistema padrão para controlar os processos de inicialização e execução. Por conta disso, podemos habilitar a VPN netname para iniciar automaticamente na inicialização com um único comando systemctl.

      Execute o comando a seguir em cada nó para configurar a VPN do tinc para iniciar sempre que a máquina for inicializada:

      All servers

      • sudo systemctl enable tinc@netname

      O tinc está configurado para iniciar na inicialização de cada uma das suas máquinas e você pode controlar isso com o comando systemctl. Caso queira iniciá-lo agora, execute o seguinte comando em cada um dos seus nós:

      All servers

      • sudo systemctl start tinc@netname

      Nota: se tiver várias VPNs, habilite ou inicie cada um deles de uma vez, desta forma:

      All servers

      • sudo systemctl start tinc@natename_01 tinc@netname_02 … tinc@netname_n

      Com isso, sua VPN do tinc estará totalmente configurada e em funcionamento em cada um dos seus nós.

      Conclusão

      Agora que você concluiu este tutorial, já deve ter uma boa base para criar sua própria VPN para atender às suas necessidades. O tinc é bastante flexível e qualquer nó pode ser configurado para se conectar a qualquer outro nó (que ele possa acessar através de rede), de modo que ele pode atuar como uma malha de VPN, sem depender de um nó específico.



      Source link

      Cómo instalar Tinc y configurar una VPN básica en Ubuntu 18.04


      Introducción

      Tinc es un demonio de red virtual privada (VPN) de código abierto equipado con funciones útiles, como el cifrado, la compresión opcional y el direccionamiento automático de mesh que puede dirigir de forma oportuna el tráfico de VPN directamente entre servidores. Estas funciones diferencian a Tinc de otras soluciones de VPN y hacen que sea un buena opción para crear una VPN a partir de muchas redes pequeñas distribuidas geográficamente.

      En este tutorial, se abordará la manera de usar Tinc para crear una VPN segura a través de la cual nuestros servidores puedan comunicarse como si estuviesen en una red local. También se mostrará la manera de usar Tinc para configurar un túnel seguro en una red privada. Usaremos servidores de Ubuntu 18.04, pero las configuraciones pueden adaptarse para su emplearse con cualquier otro SO.

      Objetivos

      Para abarcar varios casos de uso, en este tutorial se describe la forma de conectar un nodo cliente a la VPN a través de una interfaz de red privada y otro a través de una pública. Sin embargo, puede adaptar esta configuración para que se adecue a sus necesidades. Solo necesitará planificar la forma en que desea que sus servidores accedan unos a otros y adaptar los ejemplos presentados en este tutorial a sus necesidades. Si adapta esto a su propia configuración, asegúrese de sustituir los valores resaltados en los ejemplos por sus propios valores. Sin embargo, puede ser interesante primero seguir el tutorial tal como está escrito para asegurarse de comprender los componentes y procesos implicados antes de modificar estas instrucciones.

      A los efectos de aportar claridad, en este tutorial se hará referencia a los servidores de la siguiente manera:

      • server-01: todos los nodos VPN se conectarán a esta máquina y la conexión debe mantenerse para que la VPN funcione correctamente. Pueden configurarse servidores adicionales de la misma forma que este, para proporcionar redundancia si se desea.
      • client-01: se conecta al nodo VPN server-01 usando su interfaz de red privada.
      • client-02: se conecta al nodo VPN server-01 a través de la interfaz de red pública.

      Nota: Tinc no diferencia entre servidores (máquinas que alojan y ofrecen servicios VPN) y clientes (máquinas que se conectan y utilizan la red privada segura), pero considerar sus servidores de esta forma puede ser útil para comprender y visualizar el funcionamiento de Tinc.

      A continuación, se muestra un digrama de la VPN que deseamos configurar:

      Configuración de VPN de Tinc

      El cuadro azul representa nuestra VPN y el rosa la red privada subyacente. Los tres servidores pueden comunicarse a través de la VPN, aunque la red privada sea inaccesible para client-02.

      Requisitos previos

      Si desea seguir este tutorial con exactitud, proporcione dos servidores de Ubuntu 18.04 (server-01 *y *client-01) en el mismo centro de datos y habilite la red privada en cada uno de ellos. A continuación, cree otro servidor de Ubuntu 18.04 (client-02) en un centro de datos distinto. Cada servidor debería tener un usuario administrativo y un firewall configurado con ufw. Para configurar esto, siga la guía de configuración inicial de servidores para Ubuntu 18.04.

      Además, posteriormente en este tutorial , deberá transferir algunos archivos entre cada máquina usando scp. Debido a esto, necesitará generar claves SSH en cada uno de sus servidores, añadir las claves SSH de client-01 y client-02 al archivo authorized_keys de server-01, y luego añadir la clave SSH de server-01 a los archivos authorized_keys de client-01 y client-02. Para obtener ayuda al configurar esto, consulte nuestra guía Cómo configurar claves SSH en Ubuntu 18.04.

      Paso 1: Instalar Tinc

      Tinc está disponible en los repositorios predeterminados de Ubuntu APT, lo cual significa que podemos instalarlo con solo unos comandos.

      Si no lo hizo recientemente, ejecute el siguiente comando en cada servidor para actualizar sus índices de paquetes respectivos:

      All servers

      A continuación, instale Tinc en cada servidor ejecutando el siguiente comando:

      All servers

      Con eso, habrá instalado Tinc en cada uno de sus servidores. Sin embargo, deberá realizar algunos cambios en la configuración de Tinc en cada máquina para dejar lista su VPN. Comenzaremos actualizando server-01.

      Paso 2: Configurar el servidor Tinc

      Tinc exige que cada máquina que forma parte de la VPN tenga los tres siguientes componentes de configuración:

      • Archivos de configuración de Tinc: tres archivos distintos que configuran el demonio de Tinc.
        • tinc.conf, que define el nombre de red, el dispositivo de red a través del cual funcionará la VPN y otras opciones de la VPN;
        • tinc-up, una secuencia de comandos que activa el dispositivo de red definido en tinc.conf tras iniciar Tinc;
        • tinc-down, que desactiva el dispositivo de red cuando Tinc se detiene.
      • Pares de claves púbicas y privadas: Tinc utiliza pares de claves públicas y privadas para garantizar que solo los usuarios con claves válidas puedan acceder a la VPN.
      • Archivos de configuración de host: cada máquina (o host) en la VPN tiene su propio archivo de configuración que contiene la dirección IP real del host y la subred en la cual Tinc la presentará.

      Tinc utiliza un nombre de red para distinguir una VPN Tinc de otra. Esto es útil en los casos en los que desee configurar varias VPN, pero se le recomienda utilizar un nombre de red aun cuando solo planee configurar una VPN. Puede dar a su VPN el nombre de red que deee, pero para simplificar las cosas invocaremos a nuestra VPN netname.

      En server-01, cree la estructura de directorios de configuración para la VPN:

      server-01

      • sudo mkdir -p /etc/tinc/netname/hosts

      Utilice el editor de texto que prefiera para crear un archivo tinc.conf. En este caso, utilizaremos nano:

      server-01

      • sudo nano /etc/tinc/netname/tinc.conf

      Añada las líneas siguientes al archivo vacío. Con estas se configura un nodo de Tinc llamado server_01 con una interfaz de red llamada tun0 que usará IPv4:

      server-01:/etc/tinc/netname/tinc.conf

      Name = server_01
AddressFamily = ipv4
Interface = tun0

      Advertencia: Observe cómo el valor que sigue a la directiva Name incluye un guión bajo (_) en vez de uno convencional (-). Esto es importante, ya que Tinc requiere que el valor Name contenga solo caracteres alfanuméricos o guiones bajos. Si utiliza un guión aquí, verá un error cuando intente iniciar la VPN más adelante en esta guía.

      Guarde y cierre el archivo después de añadir estas líneas. Si utiliza nano, podrá hacerlo presionando CTRL+X, Y y luego ENTER.

      A continuación, cree un archivo de configuración de host llamado server_01 en el subdirectorio hosts. En última instancia, los nodos clientes utilizarán este archivo para comunicarse con server-01:

      server-01

      • sudo nano /etc/tinc/netname/hosts/server_01

      Una vez más, observe que el nombre de este archivo contiene un guión bajo en vez de uno convencional. De esta forma, se alinea con la directiva Name en el archivo tinc.conf, lo que permitirá que Tinc anexe automáticamente la clave RSA pública del servidor a este archivo cuando la generemos más adelante.

      Añada las siguientes líneas al archivo; asegúrese de incluir la dirección IP pública de server-01:

      server-01:/etc/tinc/netname/hosts/server_01

      Address = server-01_public_IP_address
Subnet = 10.0.0.1/32

      El campo Address especifica la forma en que los otros nodos se conectarán a este servidor, y Subnet especifica la subred que presentará este demonio. Guarde y cierre el archivo.

      A continuación, genere un par de claves RSA pública y privada para este host con el siguiente comando:

      server-01

      • sudo tincd -n netname -K4096

      Después de ejecutar este comando, se le solicitará introducir los nombres de los archivos en los que Tinc guardará las claves RSA pública y privada:

      Output
      . . .
Please enter a file to save private RSA key to [/etc/tinc/netname/rsa_key.priv]:
Please enter a file to save public RSA key to [/etc/tinc/netname/hosts/server_01]:

      Pulse ENTER para aceptar las ubicaciones predeterminadas de cada solicitud; con esto, se indicará a Tinc que almacene la clave privada en un archivo llamado rsa_key.priv y que anexe la clave pública al archivo de configuración de host server_01.

      Luego cree tinc-up, la secuencia de comandos que se ejecutará siempre que se inicie la VPN netname:

      server-01

      • sudo nano /etc/tinc/netname/tinc-up

      Añada las siguientes líneas:

      server-01:/etc/tinc/netname/tinc-up

      #!/bin/sh
ip link set $INTERFACE up
ip addr add 10.0.0.1/32 dev $INTERFACE
ip route add 10.0.0.0/24 dev $INTERFACE

      Aquí verá lo que hace cada una de estas líneas:

      • ip link ...: fija el estado de la interfaz de red virtual de Tinc en el valor up.
      • ip addr ...: añade la dirección IP 10.0.0.1 con una máscara de red de 32 a la interfaz de red virtual de Tinc, lo que hará que las otras máquinas de la VPN vean la dirección IP de server-01 como 10.0.01.
      • ip route ...: añade una ruta (10.0.0.0/24) a la que se puede llegar en la interfaz de red virtual de Tinc.

      Guarde y cierre el archivo después de añadir estas líneas.

      A continuación, cree una secuencia de comandos para eliminar la interfaz de red virtual cuando se detenga su VPN:

      server-01

      • sudo nano /etc/tinc/netname/tinc-down

      Añada las siguientes líneas:

      server-01:/etc/tinc/netname/tinc-down

      #!/bin/sh
ip route del 10.0.0.0/24 dev $INTERFACE
ip addr del 10.0.0.1/32 dev $INTERFACE
ip link set $INTERFACE down

      Estas líneas tienen el efecto opuesto que ofrecen las de la secuencia de comandos tinc-up:

      • ip route ...: elimina la ruta 10.0.0.0/24.
      • ip addr: elimina la dirección IP 10.0.0.1 de la interfaz de red virtual de Tinc.
      • ip link ...: fija el estado de la interfaz de red virtual de Tinc en el valor down.

      Guarde y cierre el archivo, y luego haga que estas nuevas secuencias de comandos de red sean ejecutables:

      server-01

      • sudo chmod 755 /etc/tinc/netname/tinc-*

      Como paso final para configurar server-01, añada una regla de firewall que permita el tráfico a través del puerto 655, el predeterminado de Tinc:

      server-01

      server-01 quedará, ahora, completamente configurado y usted podrá pasar a configurar sus nodos clientes.

      Paso 3: Configurar los nodos clientes

      Ambas máquinas clientes requerirán una configuración ligeramente diferente en comparación con el servidor, aunque el proceso generalmente será bastante similar.

      Debido a la configuración que intentamos realizar en esta guía, configuraremos client-01 y client-02 de forma casi indéntica con solo unas pequeñas diferencias ente ellos. Por lo tanto, muchos de los comandos proporcionados en este paso deben ejecutarse en ambas máquinas. Tenga en cuenta, sin embargo, que si client-01 o client-02 requieren un comando específico o una configuración especial, esas instrucciones se mostrarán en un bloque de comandos azul o rojo, respectivamente.

      En client-01 y client-02, replique la estructura del directorio que creó en server-01:

      client-01 & client-02

      • sudo mkdir -p /etc/tinc/netname/hosts

      A continuación, cree un archivo tinc.conf:

      client-01 & client-02

      • sudo nano /etc/tinc/netname/tinc.conf

      Añada las siguientes líneas al archivo en ambas máquinas:

      client-01 & client-02 /etc/tinc/netname/tinc.conf

      Name = node_name
AddressFamily = ipv4
Interface = tun0
ConnectTo = server_01

      Asegúrese de sustituir node_name por el nombre del nodo cliente respectivo. Una vez más, asegúrese de que en este nombre se utilice un guión bajo (_) en vez de uno convencional.

      Observe que este archivo contiene una directiva ConnectTo que apunta a server_01, mientras que en el archivo tinc.conf de server-01 no se incluyó esta directiva. Al no incluir una instrucción ConnectTo en server-01, server-01 solo escuchará las conexiones entrantes. Esto funciona para nuestra configuración, ya que no se conectará a ninguna otra máquina.

      Guarde y cierre el archivo.

      A continuación, cree un archivo de configuración de host en cada nodo cliente. Una vez más, asegúrese de que el nombre del archivo se escriba con un guión bajo en lugar de uno convencional:

      client-01 & client-02

      • sudo nano /etc/tinc/netname/hosts/node_name

      Para client-01, añada esta línea:

      client-01:/etc/tinc/netname/hosts/client_01

      Subnet = 10.0.0.2/32

      Para client-02, añada esta línea:

      client-02:/etc/tinc/netname/hosts/client_02

      Subnet = 10.0.0.3/32

      Tenga en cuenta que cada cliente tiene una subred diferente que Tinc presentará. Guarde y cierre el archivo.

      A continuación, genere los pares de claves en cada máquina cliente:

      client-01 & client-02

      • sudo tincd -n netname -K4096

      Una vez más, como lo hizo con server-01, cuando se le solicite seleccionar archivos para guardar las claves RSA, pulse ENTER para aceptar las opciones predeterminadas.

      Tras eso, cree la secuencia de comandos de inicio de la interfaz de red en cada cliente:

      client-01 & client-02

      • sudo nano /etc/tinc/netname/tinc-up

      Para client-01, añada estas líneas:

      client-01:/etc/tinc/netname/tinc-up

      #!/bin/sh
ip link set $INTERFACE up
ip addr add 10.0.0.2/32 dev $INTERFACE
ip route add 10.0.0.0/24 dev $INTERFACE

      Para client-02, añada lo siguiente:

      client-02:/etc/tinc/netname/tinc-up

      #!/bin/sh
ip link set $INTERFACE up
ip addr add 10.0.0.3/32 dev $INTERFACE
ip route add 10.0.0.0/24 dev $INTERFACE

      Guarde y cierre cada archivo.

      A continuación, cree la secuencia de comandos de detención de la interfaz de red en cada cliente:

      client-01 & client-02

      • sudo nano /etc/tinc/netname/tinc-down

      En client-01, añada el siguiente contenido al archivo vacío:

      client-01:/etc/tinc/netname/tinc-down

      #!/bin/sh
ip route del 10.0.0.0/24 dev $INTERFACE
ip addr del 10.0.0.2/32 dev $INTERFACE
ip link set $INTERFACE down

      En client-02, añada lo siguiente:

      client-02:/etc/tinc/netname/tinc-down

      #!/bin/sh
ip route del 10.0.0.0/24 dev $INTERFACE
ip addr del 10.0.0.3/32 dev $INTERFACE
ip link set $INTERFACE down

      Guarde y cierre los archivos.

      Haga que las secuencias de comandos de red sean ejecutables aplicando el siguiente comando a cada máquina cliente:

      client-01 & client-02

      • sudo chmod 755 /etc/tinc/netname/tinc-*

      Por último, abra el puerto 655 en cada cliente:

      client-01 & client-02

      En este momento, los nodos cliente están casi configurados (aunque no del todo). Aún necesitan la clave pública que creamos en server-01 en el paso anterior para autenticar la conexión con la VPN.

      Paso 4: Distribuir las claves

      Cada nodo que intente comunicarse directamente con otro debe haber intercambiado claves públicas, que están dentro de los archivos de configuración de host. En nuestro caso, server-01 necesita intercambiar claves públicas con los otros nodos.

      Intercambiar claves entre server-01 y client-01

      En client-01, copie su archivo de configuración host a server-01. Ya que client-01 y server-01 están en el mismo centro de datos y ambos tienen la red privada habilitada, puede usar la dirección IP privada de server-01 aquí:

      client-01

      • scp /etc/tinc/netname/hosts/client_01 sammy@server-01_private_IP:/tmp

      A continuación, en server-01, copie el archivo de configuración de host de client-01 al directorio /etc/tinc/netname/hosts/:

      server-01

      • sudo cp /tmp/client_01 /etc/tinc/netname/hosts/

      A continuación, dentro de server-01, copie su archivo de configuración de host a client-01:

      server-01

      • scp /etc/tinc/netname/hosts/server_01 user@client-01_private_IP:/tmp

      En client-01, copie el archivo de server-01 a la ubicación correspondiente:

      client-01

      • sudo cp /tmp/server_01 /etc/tinc/netname/hosts/

      En client-01, edite el archivo de configuración host server-01 de modo que el campo Address se fije en la dirección IP privada de server-01. De esta forma, client-01 se conectará a la VPN a través de la red privada:

      client-01

      • sudo nano /etc/tinc/netname/hosts/server_01

      Cambie la directiva Address para que apunte a la dirección IP privada de server-01:

      client-01:/etc/tinc/netname/hosts/server_01

      Address = server-01_private_IP
Subnet = 10.0.0.1/32

      Guarde y cierre el archivo. Ahora, continuaremos con nuestro nodo restante: client-02.

      Intercambiar claves entre server-01 y client-02

      En client-02, copie su archivo de configuración de host a server-01:

      client-02

      • scp /etc/tinc/netname/hosts/client_02 sammy@server-01_public_IP:/tmp

      A continuación, en server-01 copie el archivo de configuración de host client-02 a la ubicación apropiada:

      server-01

      • sudo cp /tmp/client_02 /etc/tinc/netname/hosts/

      Luego copie el archivo de configuración de host server-01 a client-02:

      server-01

      • scp /etc/tinc/netname/hosts/server_01 user@client-02_public_IP:/tmp

      En client-02, copie el archivo de server-01 a la ubicación apropiada:

      client-02

      • sudo cp /tmp/server_01 /etc/tinc/netname/hosts/

      Suponiendo que solo configure dos nodos clientes, habrá terminado de distribuir las claves públicas. Sin embargo, si crea una VPN más grande este será un buen momento para intercambiar las claves entre esos otros nodos. Recuerde que si desea que dos nodos se comuniquen directamente entre ellos (sin un servidor de reenvío de por medio), tienen que haber intercambiado sus claves y archivos de configuración de host y deben poder acceder a las interfaces de red reales de cada uno. Además, está bien copiar simplemente cada archivo de configuración de host a cada nodo en la VPN.

      Paso 5: Probar la configuración

      En cada nodo, comenzando por server-01, inicie Tinc con el siguiente comando:

      All servers

      • sudo tincd -n netname -D -d3

      Este comando incluye el indicador -n, que apunta al nombre de red de nuestra VPN: netname. Esto es útil si tiene más de una VPN configurada y necesita especificar la que desee iniciar. También incluye el indicador -D, que evita que Tinc se bifurque y se desconecte, y deshabilita el mecanismo de reinicio automático de Tinc. Por último, incluye el indicador -d, que solicita a Tinc ejecutarse en modo depuración, con un nivel de depuración de 3.

      Nota: Cuando se trata del demonio de Tinc, un nivel de depuración 3 mostrará cada solicitud intercambiada entre dos servidores cualesquiera; se incluyen las solicitudes de autenticación, los intercambios de claves y las actualizaciones de listas de conexión. Los niveles de depuración más altos muestran más información a través del tráfico de red, pero por ahora solo nos interesa si los nodos pueden comunicarse entre ellos. Por ello, un nivel 3 será suficiente. En un escenario de producción, sin embargo, le convendrá aplicar un cambio a un nivel de depuración más bajo para no llenar los discos con archivos de registro.

      Puede obtener más información sobre los niveles de depuración de Tinc revisando la documentación oficial.

      Después de iniciar el demonio en cada nodo, debería ver un resultado con los nombres de cada nodo a medida que estos se conecten a server-01. Ahora, probaremos la conexión a través de la VPN.

      En una ventana independiente, en client-02, aplique ping a la dirección IP VPN de client-01. Previamente, le asignamos el valor 10.0.0.2:

      client-02

      El ping debería funcionar correctamente y debería ver en las otras ventanas algún resultado de depuración relacionado con la conexión en la VPN. Esto indica que client-02 puede comunicarse a través de la VPN y mediante server-01 *con *client-01. Pulse CTRL+C para dejar de hacer ping.

      También puede usar las interfaces de la VPN para otras comunicaciones de red, como conexiones de aplicaciones, copia de archivos y SSH.

      En cada ventana de depuración del demonio de Tinc, cierre el demonio pulsando CTRL+.

      Paso 6: Configurar Tinc para que se inicie en el arranque

      Los servidores de Ubuntu utilizan systemd como administrador de sistema predeterminado para controlar el inicio y los procesos en ejecución. Debido a esto, podemos habilitar la VPN netname para que se inicie automáticamente en el arranque con un único comando systemctl.

      Ejecute el siguiente comando en cada nodo para determinar que la VPN de Tinc se inicie siempre que la máquina arranque:

      All servers

      • sudo systemctl enable tinc@netname

      Tinc está configurado para iniciarse en el arranque de cada una de sus máquinas y usted puede controlar esto con el comando systemctl. Si desea iniciarlo ahora, ejecute el siguiente comando en cada uno de sus nodos:

      All servers

      • sudo systemctl start tinc@netname

      Nota: Si tiene varias VPN, las habilita o inicia a la vez, como se muestra a continuación:

      All servers

      • sudo systemctl start tinc@natename_01 tinc@netname_02 … tinc@netname_n

      Con esto, su VPN Tinc quedará completamente configurada y activa en cada uno de sus nodos.

      Conclusión

      Ahora que completó este tutorial, debería disponer de una buena base para crear las VPN que se adapten a sus necesidades. Tinc es muy flexible, y cualquier nodo puede configurarse para conectarse a cualquier otro (al que pueda acceder a través de la red), con lo cual puede actuar como una VPN “mesh” sin depender de un nodo individual.



      Source link

      Forgot Your Password ?