Настройка Virtual Private Network на AWS EC2 c OpenVPN на Linux

[cagami]

>настраиваем переадресацию (IP forwarding) (при выключении/перезапуске сервера это повторяем):
а зачем каждый раз повторять?
нельзя разве добавить сразу?
/etc/modules
/etc/sysctl.conf
sudo apt-get install iptables-persistent
service iptables-persistent save

[ageyev]

Согласен.

[ADSapozhnikov]

А чем это отличается от обычной настройки OpenVPN?
Если брался Amazon, то имело бы смысл затронуть настройку VPC и ElasticIP. Держать VPN на динамике не круто. Предположим у вас по каким-то причинам упадет система и вам нужно будет поднимать новый сервер, пусть даже из образа системы. Всем клиентам придется перенастраивать адрес и т.д.

[ageyev]

От обычной — тем что это простая установка подходящая для личных нужд пользователя Linux, для которой не надо быть админом, и которую можно сделать бесплатно.

Про Elastic IP — согласен.

[shad_spb]

Как минимум, автор забыл упомянуть, что на файрволле EC2 таже необходимо открыть порт 1194 на входящий трафик, причем в его случае это должен быть UDP протокол (dev tun).
В случае использования TAP, открывается TCP.

[ageyev]

Type: All traffic
Protocol: All
Port Range: 0-65535
Source: My IP

[baldr]

Спасибо за статью, очень пригодилась!
А можете пояснить что за адреса 10.4.0.1/2?

[ADSapozhnikov]

устанавливает виртуальный адрес сервера

# 10.4.0.1 is our local VPN endpoint
# 10.4.0.2 is our remote VPN endpoint
ifconfig 10.4.0.1 10.4.0.2
Детальнее можно глянуть в мане по OpenVPN =)

[AlexanderRS]

у меня на сервере

netstat -nlpt

не выдавал 1194 порт в листе
Я поправил файл: /lib/systemd/system/openvpn.service
строки выглядят так:

ExecStart=/bin/true --config /etc/openvpn/openvpn.conf
ExecReload=/bin/true --config /etc/openvpn/openvpn.conf

После правок:

systemctl daemon-reload
systemctl restart openvpn
netstat -nlpt

появилась строчка:

Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:1194            0.0.0.0:*               LISTEN      -         

после этой процедуры получилось соедениться с vpn

[AlexanderRS]

Странным образом инстанс на aws перезагружается и некоторые настройки слетают. Допилил, чтобы оно работало стабильно.

1. добавим модуль в список постоянно загружаемых

echo "iptable_nat" > /etc/modules

2.включим форвардинг для ip4. В файл /etc/sysctl.conf: добавить (раскомментировать)

net.ipv4.ip_forward=1

3. настроим iptables и сделаем настройки загружаемыми при перезапуске

iptables -t nat -A POSTROUTING -s 10.4.0.1/2 -o eth0 -j MASQUERADE

apt install iptables-persistent

Установщик предложит сохранить правила и после перезапуска будет применять их.
Если потом потребуется добавить новое правило, нужно будет добавить его в iptables и выполнить

dpkg-reconfigure iptables-persistent

Все манипуляции через sudo, естественно.