{"id":2058,"date":"2020-01-05T20:27:31","date_gmt":"2020-01-05T19:27:31","guid":{"rendered":"https:\/\/rostman.pl\/?p=2058"},"modified":"2020-12-09T22:45:33","modified_gmt":"2020-12-09T21:45:33","slug":"router-debian-cz-2","status":"publish","type":"post","link":"https:\/\/rostman.eu\/index.php\/2020\/01\/05\/router-debian-cz-2\/","title":{"rendered":"Router Debian cz. 2"},"content":{"rendered":"

 <\/p>\n

Instalacja i konfiguracja serwera DHCP<\/h2>\n

Zainstalowanie i skonfigurowanie serwera DHCP na interfejsie eth1 (eth0 \u2013 jest zawsze interfejsem WAN)
\ninstalacja:
\napt-get update<\/code>
\napt-get install isc-dhcp-server<\/code><\/p>\n

edytujemy:
\n\/etc\/default\/isc-dhcp-server<\/code>
\nDodajemy interfejs na kt\u00f3rym ma dzia\u0142a\u0107 server DHCP (je\u015bli mamy kilka interfejs\u00f3w na kt\u00f3rych ma dzia\u0142a\u0107 dhcp to dopisujemy po spacji np. INTERFACES=”eth1 eth2 eth3″ Odpowiednia podsie\u0107 zostanie przyporz\u0105dkowana po adresie ip interfejsu.
\nINTERFACES=”eth1″<\/p>\n


\nEdytujemy:
\n\/etc\/dhcp\/dhcpd.conf<\/code>
\ndodajemy pul\u0119 adresow\u0105<\/p>\n


\nsubnet 192.168.100.0 netmask 255.255.255.0 {
\nrange 192.168.100.50 192.168.100.250;
\noption domain-name-servers 1.1.1.1, 8.8.4.4;
\noption domain-name \"nazwa_firmy.local\";
\noption routers 192.168.100.1;
\noption broadcast-address 192.168.100.255;
\n# 1 day (86400 seconds)
\n# 7 days (7*86400 = 604800 seconds)
\ndefault-lease-time 86400;
\nmax-lease-time 604800;
\n}<\/code><\/p>\n

restartujemy serwis:
\nservice isc-dhcp-server restart<\/code>
\nsprawdzamy czy wszystko ok poleceniem:
\nsystemctl status isc-dhcp-server.service<\/code><\/p>\n

Przekazywanie pakiet\u00f3w<\/h2>\n

Edycja pliku:
\nnano \/etc\/sysctl.conf<\/code>
\n# Uncomment the next line to enable packet forwarding for IPv4
\nnet.ipv4.ip_forward=1<\/p>\n

aby dzia\u0142a\u0142o przed restartem routera:<\/p>\n

echo 1 > \/proc\/sys\/net\/ipv4\/ip_forward<\/code><\/p>\n

Prosty „Firewall”<\/h2>\n

W katalogu domowym roota tworzymy pliki:<\/p>\n

touch firewall && chmod 755 firewall<\/code><\/p>\n

wpisujemy zawarto\u015b\u0107:
\n#!\/bin\/bash
\nmodprobe ip_nat_ftp
\nmodprobe ip_conntrack
\nmodprobe ip_conntrack_ftp
\npublic=172.27.211.50
\niptab=iptables
\n#Najpierw czyscimy
\necho \"Czyscimy i kasujemy wszystkie reguly\"
\n$iptab -F
\n$iptab -X
\n$iptab -t nat -F
\n$iptab -t nat -X
\necho \"Blokujemy wszystko\"
\n$iptab -P INPUT ACCEPT
\n$iptab -P OUTPUT ACCEPT
\n$iptab -P FORWARD ACCEPT
\n$iptab -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
\necho \"Postrouting\"
\n$iptab -A POSTROUTING -t nat -o eth0 -j SNAT --to-source $public
\n<\/code><\/p>\n

ustawiamy serwis rc.local<\/h2>\n

nano \/etc\/systemd\/system\/rc-local.service<\/code>
\nTworzymy plik rc-local.service w lokalizacji \/etc\/systemd\/system o zawarto\u015bci:<\/p>\n

[Install]
\nWantedBy=multi-user.target<\/code><\/p>\n

[Unit]
\nDescription=\/etc\/rc.local
\nConditionPathExists=\/etc\/rc.local<\/p>\n

[Service]
\nType=forking
\nExecStart=\/etc\/rc.local start
\nTimeoutSec=0
\nStandardOutput=tty
\nRemainAfterExit=yes
\nSysVStartPriority=99<\/p>\n

tworzymy plik rc.local w \/etc o zawarto\u015bci:
\nnano \/etc\/rc.local<\/code><\/p>\n

#!\/bin\/sh -e
\n#
\n# rc.local
\n#
\n# This script is executed at the end of each multiuser runlevel.
\n# Make sure that the script will \"exit 0\" on success or any other
\n# value on error.
\n#
\n# In order to enable or disable this script just change the execution
\n# bits.
\n#
\n# By default this script does nothing.
\nexit 0
\n<\/code><\/p>\n

nadajemy uprawnienia do wykonywania rc.local i w\u0142\u0105czamy skrypt:<\/p>\n

chmod +x \/etc\/rc.local
\nsystemctl enable rc-local
\nsystemctl start rc-local.service<\/code><\/p>\n

edytujemy rc.local i dodajemy swoje ustawienia<\/p>\n

Sprawdzamy czy nie ma b\u0142\u0119d\u00f3w:
\nsystemctl status rc-local.service<\/code><\/p>\n

Do pliku \/etc\/rc.local dodajemy przed exit 0
\n# By default this script does nothing.
\n\/root\/firewall<\/strong>
\nexit 0<\/p>\n

OpenVPN<\/h2>\n

touch makeopenvpn && chmod 755 makeopenvpn
\nwpisujemy zawarto\u015b\u0107:
\n#!\/bin\/bash
\nfolder=\/root\/kluczeopenvpn
\ncd \/usr\/share\/easy-rsa
\nsource .\/vars
\n.\/build-key $1
\ncp \/usr\/share\/easy-rsa\/keys\/$1* \/root\/kluczeopenvpn\/
\ncp $folder\/wzor.ovpn $folder\/$1.ovpn
\necho cert $1.crt >> $folder\/$1.ovpn
\necho key $1.key >> $folder\/$1.ovpn
\nzip -j $folder\/$1.zip $folder\/$1.*
\nzip -j $folder\/$1.zip $folder\/ca.crt<\/p>\n

Tworzymy w katalogu domowy root folder kluczeopenvpn
\nmkdir kluczeopenvpn && cd kluczeopenvpn && touch wzor.ovpn
\nzawarto\u015b\u0107 wzor.ovpn:
\nclient
\ndev tun
\nproto udp
\nremote 172.27.211.50 1194
\nresolv-retry infinite
\nnobind
\npersist-key
\nca ca.crt
\nns-cert-type server
\ncipher BF-CBC
\ncomp-lzo
\nverb 3<\/p>\n

Instalujemy dodatkowe programy:
\napt-get update
\napt-get install iptraf nmap rcconf tcpdump zip<\/p>\n

Instalacja i konfiguracja openvpn<\/p>\n

apt-get install openvpn
\nprzechodzimy do scie\u017cki:
\ncd \/usr\/share\/easy-rsa\/<\/p>\n

Kopiujemy plik:
\nroot@wawa:\/usr\/share\/easy-rsa# cp openssl-1.0.0.cnf openssl.cnf
\ndodatkowo zmodyfikowa\u0107 mo\u017cna plik vars o podanie prawid\u0142owych danych:
\nexport KEY_COUNTRY=”US”
\nexport KEY_PROVINCE=”CA”
\nexport KEY_CITY=”SanFrancisco”
\nexport KEY_ORG=”Fort-Funston”
\nexport KEY_EMAIL=”me@myhost.mydomain”
\nexport KEY_OU=”MyOrganizationalUnit”
\ni wydajemy polecenia:
\n. .\/vars
\n.\/clean-all
\n.\/build-ca<\/p>\n

przyk\u0142adowe dane:
\n\/usr\/share\/easy-rsa# .\/build-ca
\nGenerating a 2048 bit RSA private key
\n…………+++
\n…+++
\nwriting new private key to 'ca.key’
\n—–
\nYou are about to be asked to enter information that will be incorporated
\ninto your certificate request.
\nWhat you are about to enter is what is called a Distinguished Name or a DN.
\nThere are quite a few fields but you can leave some blank
\nFor some fields there will be a default value,
\nIf you enter ’.’, the field will be left blank.
\n—–
\nCountry Name (2 letter code) [US]:PL
\nState or Province Name (full name) [CA]:MA
\nLocality Name (eg, city) [SanFrancisco]:WARSAW
\nOrganization Name (eg, company) [Fort-Funston]:NAZWA_FIRMY
\nOrganizational Unit Name (eg, section) [MyOrganizationalUnit]:BIURO
\nCommon Name (eg, your name or your server’s hostname) [Fort-Funston CA]:NAZWA_FIRMY
\nName [EasyRSA]:
\nEmail Address [me@myhost.mydomain]:<\/p>\n

Konfiguracja certyfikatu i klucza dla servera:
\n.\/build-key-server server<\/p>\n

przyk\u0142adowe dane:
\n\/usr\/share\/easy-rsa# .\/build-key-server server
\nGenerating a 2048 bit RSA private key
\n………+++
\n…………….+++
\nwriting new private key to 'server.key’
\n—–
\nYou are about to be asked to enter information that will be incorporated
\ninto your certificate request.
\nWhat you are about to enter is what is called a Distinguished Name or a DN.
\nThere are quite a few fields but you can leave some blank
\nFor some fields there will be a default value,
\nIf you enter ’.’, the field will be left blank.
\n—–
\nCountry Name (2 letter code) [US]:PL
\nState or Province Name (full name) [CA]:MA
\nLocality Name (eg, city) [SanFrancisco]:WARSAW
\nOrganization Name (eg, company) [Fort-Funston]:NAZWA_FIRMY
\nOrganizational Unit Name (eg, section) [MyOrganizationalUnit]:BIURO
\nCommon Name (eg, your name or your server’s hostname) [server]:NAZWA_FIRMY
\nName [EasyRSA]:
\nEmail Address [me@myhost.mydomain]:<\/p>\n

Please enter the following 'extra’ attributes
\nto be sent with your certificate request
\nA challenge password []:
\nAn optional company name []:
\nUsing configuration from \/usr\/share\/easy-rsa\/openssl-1.0.0.cnf
\nCheck that the request matches the signature
\nSignature ok
\nThe Subject’s Distinguished Name is as follows
\ncountryName :PRINTABLE:’PL’
\nstateOrProvinceName :PRINTABLE:’MA’
\nlocalityName :PRINTABLE:’WARSAW’
\norganizationName :PRINTABLE:’Nazwa firmy’
\norganizationalUnitName:PRINTABLE:’BIURO’
\ncommonName :PRINTABLE:’Nazwa firmy’
\nname :PRINTABLE:’EasyRSA’
\nemailAddress :IA5STRING:’me@myhost.mydomain’
\nCertificate is to be certified until May 18 09:23:10 2025 GMT (3650 days)
\nSign the certificate? [y\/n]:y<\/p>\n

1 out of 1 certificate requests certified, commit? [y\/n]y
\nWrite out database with 1 new entries
\nData Base Updated<\/p>\n

Generate Diffie Hellman parameters
\n.\/build-dh<\/p>\n

tworzymy i edytujemy plik konfiguracyjny:
\nnano \/etc\/openvpn\/server.conf
\no zawarto\u015bci:<\/p>\n

port 1194
\nproto udp
\ndev tun
\ntopology subnet #istotne je\u015bli \u0142\u0105czy si\u0119 du\u017co klient\u00f3w
\nserver 10.9.8.0 255.255.255.0 # internal tun0 connection IP<\/p>\n

ca \/etc\/openvpn\/ca.crt # generated keys
\ncert \/etc\/openvpn\/server.crt
\nkey \/etc\/openvpn\/server.key # keep secret
\ndh \/etc\/openvpn\/dh2048.pem<\/p>\n

ifconfig-pool-persist ipp.txt
\npush „route 172.28.181.0 255.255.255.0”
\npush „dhcp-option DNS 8.8.8.8”
\npush „dhcp-option DOMAIN nazwa_firmy.local”
\nkeepalive 10 120
\ncomp-lzo
\nuser nobody
\ngroup nogroup
\npersist-key
\npersist-tun
\nstatus openvpn-status.log
\nverb 3
\n#crl-verify crl.pem<\/p>\n

Skopiwa\u0107 klucze i certyfikaty do \/etc\/openvpn\/:
\ncp \/usr\/share\/easy-rsa\/keys\/* \/etc\/openvpn\/
\ncp \/usr\/share\/easy-rsa\/keys\/* \/root\/kluczeopenvpn\/<\/p>\n

wykonanie restartu servera:
\nreboot<\/p>\n

Opcja SITEtoSITE<\/h2>\n

 <\/p>\n

Mamy ju\u017c wygenerowane certyfikaty dla serwera i klienta<\/p>\n

Wirtualna sie\u0107 dla OpenVPN: 10.8.0.0\/24<\/p>\n

Serwer:<\/p>\n

adresacja sieci lokalnej: 192.168.100.1\/24
\nadres publiczny: 172.27.211.50<\/p>\n

Klient:<\/p>\n

adresacja sieci lokalnej: 192.168.200.1\/24
\nadres publiczny: bez znaczenia<\/p>\n

Pliki Konfiguracyjne<\/p>\n

Serwer:<\/p>\n

\/etc\/openvpn\/server.conf<\/p>\n

#
\nport 1194
\nproto udp
\ndev tun
\nserver 10.8.0.0 255.255.255.0 # internal tun0 connection IP<\/p>\n

ca \/etc\/openvpn\/ca.crt # generated keys
\ncert \/etc\/openvpn\/server.crt
\nkey \/etc\/openvpn\/server.key # keep secret
\ndh \/etc\/openvpn\/dh2048.pem<\/p>\n

client-config-dir ccd # folder \/etc\/openvpn\/ccd ma zawiera\u0107 pliki z konfiguracj\u0105 poszczeg\u00f3lnych klient\u00f3w (konkretnie linijk\u0119 „iroute adres maska” z podsieci\u0105 u klienta – trasa dla openVPN
\ntopology subnet # „nowa” topologia sieci – ka\u017cdy klient dostaje jeden adres IP, zamiast marnowa\u0107 4 sztuki
\npush „route 192.168.100.0 255.255.255.0” # wysy\u0142am klientowi adresacj\u0119 podsieci po stronie serwera
\nroute 192.168.200.0 255.255.255.0 # ustawienie trasy do sieci zdalnej (dla kernela)
\nkeepalive 10 120 # keepalice co 10 sek. po 120 sek. uznaj po\u0142aczenie z martwe
\ncomp-lzo # kompresja
\nuser nobody
\ngroup nogroup
\npersist-key # persist-key i persist-tun s\u0105 potrzebne, \u017ceby nie-root m\u00f3g\u0142 restartowa\u0107 po\u0142\u0105czenia (chyba tak to lecia\u0142o)
\npersist-tun
\nstatus openvpn-status.log
\ncipher AES-256-CBC #Przyzwoite szyfrowanie (domy\u015blne Blowfish-CBC jest s\u0142abe
\nverb 3 # 3 to zwyk\u0142y poziom log\u00f3w. Przy 4 i 5 jest za du\u017co informacji<\/p>\n

#crl-verify crl.pem # sprawdzanie wa\u017cno\u015bci\/odwo\u0142a\u0144 certyfikat\u00f3w. Wymaga samodzielnego generowanie i kopiowania crl: openssl ca -config \/usr\/share\/easy-rsa\/openssl.cnf -gencrl -out \/etc\/openvpn\/crl.pem<\/p>\n

\/etc\/openvpn\/ccd\/abu – ka\u017cdy klient musi mie\u0107 sw\u00f3j plik w folderze „CCD”. Tu wpisujemy tylko adresacj\u0119 sieci lokalnej po stronie klienckiej. Nazwa pliku zgodna z CN (common name)<\/strong><\/span> w certyfikacie klienta<\/p>\n

iroute 192.168.200.0 255.255.255.0<\/p>\n

Klient:<\/p>\n

\/etc\/openvpn\/abu<\/span><\/strong>.conf<\/p>\n

#
\nclient
\nremote 172.27.211.50
\nresolv-retry infinite
\nport 1194
\nproto udp
\ndev tun0<\/p>\n

ca ca.crt
\ncert abu.crt
\nkey abu.key<\/p>\n

persist-tun
\npersist-key
\ncomp-lzo
\nkeepalive 10 120<\/p>\n

cipher AES-256-CBC
\nuser nobody
\ngroup nogroup
\nverb 3
\nstatus openvpn-status.log<\/p>\n

W\u0142\u0105czenie us\u0142ugi podczas startu<\/p>\n

systemctl enable openvpn@abu<\/span><\/strong>.service\r\n\r\nWystartowanie serwisu:<\/pre>\n
service openvpn@abu<\/span><\/strong> start\r\n\r\nsprawdzenie statusu:<\/pre>\n
service openvpn@abu<\/span><\/strong> status\r\n\r\nTrzeba jeszcze doda\u0107 routing po stronie serwera:\r\nroute add -net 192.168.100.0<\/span><\/strong> netmask 255.255.255.0<\/span><\/strong> gw 10.8.0.2<\/strong><\/span> dev tun0<\/span><\/strong>\r\nw firewallu clienta doda\u0107:\r\niptables -t nat -o tun+ -A POSTROUTING -s 10.8.0.0\/24<\/span><\/strong> -d 172.28.181.0\/24<\/span><\/strong> -j SNAT --to-source 192.168.100.1<\/span><\/strong><\/pre>\n
Odwo\u0142aj cert w folderze domowym root<\/p>\n
zrobi\u0107 skrypt odwolajcertyfikat o zawarto\u015bci:
\ncd \/usr\/share\/easy-rsa\/
\nsource .\/vars
\n.\/revoke-full $1
\ncp \/usr\/share\/easy-rsa\/keys\/crl.pem \/etc\/openvpn\/
\nmv \/root\/kluczeopenvpn\/$1* \/root\/odwolaneCertyfikaty\/
\nnadanie uprawnie\u0144 do wykonywania:
\nchmod 755 \/root\/odwolajcertyfikat
\nAktualizacje CRL<\/p>\n
Wpisa\u0107 do pliku: \/root\/generujcrl.sh:<\/p>\n
#!\/bin\/bash
\ncd \/usr\/share\/easy-rsa
\nsource .\/vars
\nopenssl ca -config \/usr\/share\/easy-rsa\/openssl.cnf -gencrl -out \/etc\/openvpn\/crl.pem<\/p>\n
Wykona\u0107:<\/p>\n
chmod +x \/root\/generujcrl.sh<\/p>\n
cp \/usr\/share\/easy-rsa\/openssl-1.0.0.cnf \/usr\/share\/easy-rsa\/openssl.cnf<\/p>\n
Dopisa\u0107 do pliku\/usr\/share\/easy-rsa\/vars (niekt\u00f3re wiersze ju\u017c s\u0105, wystarczy poprawi\u0107 warto\u015bci):<\/p>\n
export KEY_COUNTRY=”PL”
\nexport KEY_PROVINCE=”mazowieckie”
\nexport KEY_CITY=”Warszawa”
\nexport KEY_ORG=”Nazwa Firmy”
\nexport KEY_EMAIL=”domyslny@adres.ip”
\nexport KEY_OU=”IT”
\nexport KEY_CN=”CommonName”
\nexport KEY_ALTNAMES=”AltName”
\nexport KEY_NAME=”KeyName”<\/p>\n
uruchomi\u0107:<\/p>\n
crontab -e:<\/p>\n
i dopisa\u0107:<\/p>\n
#Aktualizacja CRL dla OpenVPN:<\/p>\n
0 1 * * * \/root\/generujcrl.sh<\/p>\n
Stworzy\u0107 folder \/root\/odwolaneCertyfikaty<\/p>\n
dopisa\u0107 w \/root\/odwolajCert:<\/p>\n
mv \/root\/kluczeopenvpn\/$1* \/root\/odwolaneCertyfikaty\/<\/p>\n","protected":false},"excerpt":{"rendered":"
  Instalacja i konfiguracja serwera DHCP Zainstalowanie i skonfigurowanie serwera DHCP na interfejsie eth1 (eth0 \u2013 jest zawsze interfejsem WAN) instalacja: apt-get update apt-get install isc-dhcp-server edytujemy: \/etc\/default\/isc-dhcp-server Dodajemy interfejs na kt\u00f3rym ma dzia\u0142a\u0107 server DHCP (je\u015bli mamy kilka interfejs\u00f3w na kt\u00f3rych ma dzia\u0142a\u0107 dhcp to dopisujemy po spacji np. INTERFACES=”eth1 eth2 eth3″ Odpowiednia podsie\u0107 […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[41],"tags":[140,134,141,142],"_links":{"self":[{"href":"https:\/\/rostman.eu\/index.php\/wp-json\/wp\/v2\/posts\/2058"}],"collection":[{"href":"https:\/\/rostman.eu\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/rostman.eu\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/rostman.eu\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/rostman.eu\/index.php\/wp-json\/wp\/v2\/comments?post=2058"}],"version-history":[{"count":3,"href":"https:\/\/rostman.eu\/index.php\/wp-json\/wp\/v2\/posts\/2058\/revisions"}],"predecessor-version":[{"id":2364,"href":"https:\/\/rostman.eu\/index.php\/wp-json\/wp\/v2\/posts\/2058\/revisions\/2364"}],"wp:attachment":[{"href":"https:\/\/rostman.eu\/index.php\/wp-json\/wp\/v2\/media?parent=2058"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/rostman.eu\/index.php\/wp-json\/wp\/v2\/categories?post=2058"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/rostman.eu\/index.php\/wp-json\/wp\/v2\/tags?post=2058"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}