Configurazione VPN Linux: differenze tra le versioni

Da AMPR ARI.
Vai alla navigazione Vai alla ricerca
(Creata pagina con "= La VPN di Accesso AMPR ARI= La VPN per l'accesso alla rete AMPR in subnet 44 (nella porzione di rete 44.32.32.0/21 a noi delegata) utilizza il protocollo WireGuard. In fase di attivazione viene consegnato all'utenza un file di configurazione in formato INI WireGuard: esso contiene tutte le informazioni necessarie alla configurazione della VPN per il client nativo che implementa le funzionalità ( https://www.wireguard.com ). == Requisiti e Tools == L'installazione su...")
 
Nessun oggetto della modifica
 
(14 versioni intermedie di uno stesso utente non sono mostrate)
Riga 2: Riga 2:
La VPN per l'accesso alla rete AMPR in subnet 44 (nella porzione di rete 44.32.32.0/21 a noi delegata) utilizza il protocollo WireGuard. In fase di attivazione viene consegnato all'utenza un file di configurazione in formato INI WireGuard: esso contiene tutte le informazioni necessarie alla configurazione della VPN per il client nativo che implementa le funzionalità ( https://www.wireguard.com ).
La VPN per l'accesso alla rete AMPR in subnet 44 (nella porzione di rete 44.32.32.0/21 a noi delegata) utilizza il protocollo WireGuard. In fase di attivazione viene consegnato all'utenza un file di configurazione in formato INI WireGuard: esso contiene tutte le informazioni necessarie alla configurazione della VPN per il client nativo che implementa le funzionalità ( https://www.wireguard.com ).


== Requisiti e Tools ==
== Preparazione del file di configurazione per Linux==
 
L'installazione su OS Linux può presentare dei passaggi dipendenti dalla configurazione attuale della macchina, e richiede comunque una discreta padronanza dell' infrastruttura che si andrà ad integrare.
L'installazione su OS Linux può presentare dei passaggi dipendenti dalla configurazione attuale della macchina, e richiede comunque una discreta padronanza dell' infrastruttura che si andrà ad integrare.


Il file INI fornito da ARI puo' essere utilizzato cosi' come e', con l'accortezza di rimuovere e commentare la riga gdi configurazione riguardante il DNS.
Il file INI fornito da ARI puo' essere utilizzato cosi' come e', con l'accortezza di rimuovere o commentare la riga di configurazione riguardante il DNS e di aggiungere il parametro PersistentKeepalive, inserendo il contenuto del file INI nel file ''/etc/wireguard/wg0.conf''.
 
== Traduzione del file INI in formato RouterOS ==


Consigliamo, per la configurazione della VPN, di inserire il contenuto del file INI nel form del tool messo a disposizione, ad esempio se avessimo ricevuto il seguente file (nell'esempio sono contenuti dati non reali, a solo scopo esemplificativo):
Ad esempio se avessimo ricevuto il seguente file (nell'esempio sono contenuti dati non reali, a solo scopo esemplificativo), il file di configurazione ''/etc/wireguard/wg0.conf'' risulterebbe simile a questo:


<pre>
<pre>
Riga 16: Riga 15:
PrivateKey = PRIVATEKEY1234567890PRIVATEKEY=
PrivateKey = PRIVATEKEY1234567890PRIVATEKEY=
Address = 44.32.32.255/21
Address = 44.32.32.255/21
DNS = 44.32.32.2, 44.60.44.3
#DNS = 44.32.32.2, 44.60.44.3
[Peer]
[Peer]
PublicKey = PUBLICKEY1234567890PUBLICKEY=
PublicKey = PUBLICKEY1234567890PUBLICKEY=
AllowedIPs = 44.0.0.0/9, 44.128.0.0/10
AllowedIPs = 44.0.0.0/9, 44.128.0.0/10
Endpoint = 5.144.187.34:12345
Endpoint = 5.144.187.34:12345
PresharedKey = PRESHAREDKEY1234567890</pre>
PresharedKey = PRESHAREDKEY1234567890
PersistentKeepalive = 20</pre>


Otterremmo la seguente configurazione compatibile con RouterOS dopo averlo inserito e fatto processare dal tool indicato:<br>
Si noti l'introduzione del # per commentare la riga DNS e l'aggiunta del parametro PersistentKeepalive.
<code>/interface/wireguard/add name="wg_ampr_ari" listen-port=51820 private-key="PRIVATEKEY1234567890PRIVATEKEY="<br>
/ip/address/add address="44.32.32.255/21" interface="wg_ampr_ari"<br>
/interface/wireguard/peers/add interface="wg_ampr_ari" endpoint-address="5.144.187.34" endpoint-port="1323X" public-key="PUBLICKEY1234567890PUBLICKEY=" preshared-key="PRESHAREDKEY1234567890=" allowed-address="44.0.0.0/9, 44.128.0.0/10"</code>


Arrivati a questo punto sarà necessario solamente aprire una finestra terminale di configurazione del router (come ad esempio entrando in SSH, Telnet o aprendo una finestra 'Terminal' accedendo con WinBox) ed incollare il contenuto proposto.
== Esecuzione della configurazione ==


Questa configurazione farà si che il nostro EndPoint VPN possa parlare con la rete AMPR attraverso il terminatore VPN fornito da ARI - Ovviamente la configurazione proposta sarà funzionante al netto di configurazioni specifiche di Packet Filtering e NA(P)T specifiche in funzione delle esigenze del singolo utente.
Per eseguire la configurazione e renderla permanente anche al reboot, occorre eseguire i seguenti comandi:


== Routing e NAT di base ==
<code>systemctl enable wg-quick@wg0<br>
systemctl start wg-quick@wg0<br>
wg addconf wg0 <(wg-quick strip wg0)<br></code>


Comunemente, un router configurato con una interfaccia ad uso locale (con associato un indirizzamento IPv4 locale, per la propria LAN) avrà bisogno di una regola di NAT per poter mascherare gli indirizzi privati dietro l'endpoint pubblico afferente alla rete AMPR appena configurato, nel nostro caso vorremo che il solo accesso per la destinazione alla rete AMPR passi per la VPN, pertanto dovremo assicurarci che il traffico venga correttamente marcato a tale scopo e soprattutto che il traffico entrante nella interfaccia VPN (che ricordiamo essere a tutti gli effetti una interfaccia pubblica, da proteggere con opporture regole di firewall) torni indietro con il corretto mittente e attraverso la corretta interfaccia.
== Controllo dello stato del tunnel ==


Un esempio (non esaustivo, che ogni utente deve necessariamente completare ed adattare alla propria infrastruttura e topologia di rete) per la configurazione di uno scenario simile sarà il seguente;
E' possibile utilizzare il comando ''wg'' per controllare lo stato del tunnel, come nell'esempio seguente:


1. Si definisce una address-list per le destinazioni dell'intero dominio AMPR:<br>
<pre>
<code>/ip/firewall/address-list/add address=44.0.0.0/9 comment="AMPR Network #1" list=AMPR<br>
root@IR4ZZZ-VHF:~# wg
/ip/firewall/address-list/add address=44.128.0.0/10 comment="AMPR Network #2" list=AMPR<br></code>
interface: wg0
 
  public key: PUBLICKEY1234567890PUBLICKEY=
2. Si definisce una Routing-Table dedicata e le corrispondenti regole di instradamento:<br>
  private key: (hidden)
<code>/routing/table/add disabled=no fib name=ARI-AMPR<br>
  listening port: 51820
/ip/route/add check-gateway=ping comment="AMPR" disabled=no distance=1 dst-address=44.0.0.0/9 gateway=44.32.32.1%wg_ampr_ari routing-table=ARI-AMPR scope=30 suppress-hw-offload=no<br>
/ip/route/add check-gateway=ping comment="AMPR" disabled=no distance=1 dst-address=44.128.0.0/10 gateway=44.32.32.1%wg_ampr_ari routing-table=ARI-AMPR scope=30 suppress-hw-offload=no<br></code>
 
3. Si definiscono le regole di mangle / packet-marking considerando la routing-table separata appena creata:<br>
<code>/ip/firewall/mangle/add action=mark-routing chain=prerouting src-address-list=!AMPR dst-address-list=AMPR new-routing-mark=ARI-AMPR passthrough=no<br>
/ip/firewall/mangle/add action=mark-connection chain=input in-interface=wg_ampr_ari new-connection-mark=AMPR-CONNECTION passthrough=yes<br>
/ip/firewall/mangle/add action=mark-connection chain=forward in-interface=wg_ampr_ari new-connection-mark=AMPR-CONNECTION passthrough=yes<br>
/ip/firewall/mangle/add action=mark-routing chain=prerouting connection-mark=AMPR-CONNECTION in-interface=!wg_ampr_ari new-routing-mark=ARI-AMPR passthrough=no<br>
/ip/firewall/mangle/add action=mark-routing chain=output connection-mark=AMPR-CONNECTION new-routing-mark=ARI-AMPR passthrough=no<br>
</code>
<i>Note importanti: La prima regola di mangle così definita nell' esempio è generica, si consiglia di ottimizzarla specificando come src-address il prefisso locale permesso per l' accesso alla rete AMPR (esempio 192.168.0.0/24) eliminando di conseguenza src-address-list=!AMPR.</i>
 
4. Si definisce la regola di NAT (IP Masquerade) per la traslazione IP privato / pubblico dedicata alla sola destinazione AMPR:<br>
<code>/ip/firewall/nat/add action=masquerade chain=srcnat comment="AMPR VPN NAT" dst-address-list=AMPR out-interface=wg_ampr_ari<br>
</code>
<i>Note importanti: La regola di NAT così definita è generica, si consiglia di ottimizzarla specificando come src-address il prefisso locale permesso per l'accesso alla rete AMPR (esempio 192.168.0.0/24). Controllare l' ordine delle regole inserite, potrebbe essere necessario spostare la regola (più selettiva) appena creata in posizione di priorità rispetto ad altre già attive nel proprio router.</i>
<br><br>
Se tutto ha funzionato correttamente (e se il contesto personale del router/firewall è stato modificato a dovere, adattando quanto necessario) la rete locale dovrebbe essere mascherata dietro l'indirizzo IP AMPR (appartenente alla 44.32.32.0/21) comunicato in fase di attiazione. Un semplice traceroute verso 44.32.32.1 dovrebbe confermare la configurazione mostrando l'IP raggiungibile ad un solo HOP di distanza.
 
== Pubblicazione di un servizio su rete AMPR ==
In aggiunta, sarà anche possibile ora pubblicare un servizio (ad esempio un WebServer) accessibile dalla rete AMPR, semplicemente configurando un NA(P)T (nell'esempio seguente si utilizza l'IP AMPR configurato nell'esempio sopra, ovvero il 44.32.32.255 e l' IP privato del server 192.168.0.10 che risponde in porta 80/TCP:
 
<code>/ip/firewall/nat add action=dst-nat chain=dstnat comment="AMPR WebServer NAT" dst-address=44.32.32.255 dst-port=80 in-interface=wg_ampr_ari protocol=tcp to-addresses=192.168.0.10 to-ports=80
</code>


Anche in questo caso sarà necessario adattare opportune regole di restrizione e/o packet-filtering in modo da garantire la sicurezza di accesso necessaria all'applicativo esposto.
peer: PUBLICKEY1234567890PUBLICKEY=
  preshared key: (hidden)
  endpoint: 5.144.187.34:13236
  allowed ips: 44.0.0.0/9, 44.128.0.0/10
  latest handshake: 1 minute, 39 seconds ago
  transfer: 176.71 KiB received, 188.63 KiB sent</pre>

Versione attuale delle 23:48, 25 ott 2024

La VPN di Accesso AMPR ARI

La VPN per l'accesso alla rete AMPR in subnet 44 (nella porzione di rete 44.32.32.0/21 a noi delegata) utilizza il protocollo WireGuard. In fase di attivazione viene consegnato all'utenza un file di configurazione in formato INI WireGuard: esso contiene tutte le informazioni necessarie alla configurazione della VPN per il client nativo che implementa le funzionalità ( https://www.wireguard.com ).

Preparazione del file di configurazione per Linux

L'installazione su OS Linux può presentare dei passaggi dipendenti dalla configurazione attuale della macchina, e richiede comunque una discreta padronanza dell' infrastruttura che si andrà ad integrare.

Il file INI fornito da ARI puo' essere utilizzato cosi' come e', con l'accortezza di rimuovere o commentare la riga di configurazione riguardante il DNS e di aggiungere il parametro PersistentKeepalive, inserendo il contenuto del file INI nel file /etc/wireguard/wg0.conf.

Ad esempio se avessimo ricevuto il seguente file (nell'esempio sono contenuti dati non reali, a solo scopo esemplificativo), il file di configurazione /etc/wireguard/wg0.conf risulterebbe simile a questo: 

[Interface]
ListenPort = 51820
PrivateKey = PRIVATEKEY1234567890PRIVATEKEY=
Address = 44.32.32.255/21
#DNS = 44.32.32.2, 44.60.44.3
[Peer]
PublicKey = PUBLICKEY1234567890PUBLICKEY=
AllowedIPs = 44.0.0.0/9, 44.128.0.0/10
Endpoint = 5.144.187.34:12345
PresharedKey = PRESHAREDKEY1234567890
PersistentKeepalive = 20

Si noti l'introduzione del # per commentare la riga DNS e l'aggiunta del parametro PersistentKeepalive.

Esecuzione della configurazione

Per eseguire la configurazione e renderla permanente anche al reboot, occorre eseguire i seguenti comandi:

systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0
wg addconf wg0 <(wg-quick strip wg0)

Controllo dello stato del tunnel

E' possibile utilizzare il comando wg per controllare lo stato del tunnel, come nell'esempio seguente: 

root@IR4ZZZ-VHF:~# wg
interface: wg0
  public key: PUBLICKEY1234567890PUBLICKEY=
  private key: (hidden)
  listening port: 51820

peer: PUBLICKEY1234567890PUBLICKEY=
  preshared key: (hidden)
  endpoint: 5.144.187.34:13236
  allowed ips: 44.0.0.0/9, 44.128.0.0/10
  latest handshake: 1 minute, 39 seconds ago
  transfer: 176.71 KiB received, 188.63 KiB sent
Estratto da "https://wiki.ampr.ari.it/index.php?title=Configurazione_VPN_Linux&oldid=17792"