Guide: configurer openvpn sur les routeurs asus

Le serveur OpenVPN sur ces routeurs est une fonctionnalité qui a commencé avec l'excellent mod du firmware RMerlin (basé à son tour sur l'implémentation OpenVPN faite sur le firmware du routeur Tomato relativement populaire), heureusement depuis la version 374.2050 du firmware officiel ce L'option est incluse par défaut et est extrêmement simple à configurer.

Cela ne signifie pas que nous ne pouvons pas configurer tous les détails comme par le passé, mais plusieurs tâches fastidieuses sont automatisées, telles que la génération de clés publiques et privées qui devaient auparavant être effectuées manuellement, permettant l'authentification par certificat sans avoir besoin de trop de temps ou de connaissances pour utilisateur.

Pourquoi utiliser OpenVPN au lieu du serveur PPTP habituel?

La réponse est simple, c'est une méthode beaucoup plus sécurisée (voir) que le serveur PPTP qui est couramment utilisé dans les environnements domestiques et les routeurs en raison de sa simplicité, il est relativement standard, il n'est pas beaucoup plus cher en ressources, il est beaucoup plus flexible et bien que Une chose fastidieuse à mettre en place est très confortable une fois familiarisé avec l'environnement.

En fait, il est facile de configurer un serveur PPTP sur un ordinateur Windows, sans installer de logiciel supplémentaire, en suivant les guides tels que celui disponible sur. Mais il vaut bien mieux le configurer sur le routeur, qui en plus de nous épargner l'exigence de rediriger les ports et de créer des règles de pare-feu, est toujours activé pour accepter les connexions. Et s'il peut être plus sécurisé que PPTP, c'est-à-dire la méthode que nous expliquerons avec OpenVPN, bien mieux.

Remarque: Vous pouvez également configurer un serveur OpenVPN sur un PC ordinaire, au cas où vous n'auriez pas de routeur avec ce firmware ou compatible avec DD-WRT / OpenWRT. Pour les utilisateurs intéressés par ce point, nous vous recommandons de suivre l'article correspondant sur le wiki Debian, qui détaille parfaitement les étapes à suivre dans

Manuel de configuration étape par étape

Il ne s'agit pas d'un guide de configuration exhaustif, mais d'un premier contact pour faire fonctionner un serveur de base qui peut ensuite être configuré pour convenir à chaque utilisateur.

Les étapes à suivre sont les suivantes:

1. Nous nous connectons au routeur à partir de n'importe quel navigateur, en entrant l'IP dans la barre d'adresse (par défaut 192.168.1.1, bien que dans ce guide ce sera 10.20.30.1), en nous identifiant avec notre nom d'utilisateur et mot de passe (par défaut admin / admin sur les routeurs Asus, mais si nous suivons ce guide, ils devraient prendre du temps pour changer) Nous allons dans le menu VPN dans les options avancées, et dans l'onglet OpenVPN sélectionnez la première instance (Serveur 1), placez le commutateur en position ON. Ce n'est pas nécessaire, mais il est recommandé d'ajouter des utilisateurs pour notre VPN, dans ce cas, nous avons choisi des tests / tests comme utilisateur / mot de passe, nous recommandons bien sûr d'utiliser un mot de passe plus robuste pour l'utiliser dans un environnement réel. Nous cliquons sur le bouton "+" pour ajouter l'utilisateur et nous pouvons déjà appliquer les modifications avec le bouton Appliquer situé en bas de la page.

   

   FACULTATIF Lors de l'activation du serveur, nous voyons qu'une liste déroulante est apparue dans laquelle nous pouvons sélectionner Configuration avancée et modifier les paramètres dont nous avons besoin. Dans notre cas, nous utiliserons la configuration par défaut. Si nous voulons forcer l'utilisation du nom d'utilisateur et du mot de passe, c'est ici qu'il faut le faire

   

   Pour les utilisateurs qui souhaitent une configuration entièrement manuelle, il est possible de générer nos propres certificats / clés pour les utilisateurs que nous voulons utiliser easy-rsa, comme décrit dans. Dans ce cas, le plus simple est de générer les clés à partir du PC et de configurer les trois valeurs nécessaires en cliquant sur le lien suivant (les clés est une mauvaise traduction de "clés", clés, dans le firmware):

   

   Ce type de configuration est assez avancé, il est donc recommandé aux utilisateurs qui souhaitent s'y aventurer de configurer et de tester un serveur avec des clés auto-générées en premier. Ce n'est pas une bonne pratique pour un néophyte de configurer le serveur de cette manière sans expérience préalable.

1. Nous avons déjà le serveur qui fonctionne. Maintenant, nous devons transférer les certificats aux clients pour une connexion sécurisée. Vous pouvez voir des exemples détaillés des fichiers server.conf et client.conf (respectivement, client.ovpn et server.ovpn dans Windows) avec des commentaires et de la documentation, mais dans notre cas, il est beaucoup plus facile d'utiliser le bouton Exporter

   Le fichier que nous obtiendrons ressemblera à ceci (clés supprimées pour des raisons de sécurité):

   

   Le paramètre que j'ai marqué est l'adresse de notre serveur, qui n'a probablement pas été configurée correctement dans certains cas où le DDNS ne "connaît" pas l'adresse vers laquelle il pointe (comme dans mon cas, j'utilise Dnsomatic pour avoir une adresse qui pointe toujours vers mon IP dynamique).

   Bien que la configuration correcte soit la suivante, avec une adresse fixe, il n'y a pas de problème si vous n'avez pas de DDNS configuré, pour tester, vous pouvez remplir ce champ avec l'IP WAN de notre routeur (l'IP externe, c'est-à-dire celle qui peut être voir à http://cualesmiip.com ou http://echoip.com), avec l'inconvénient que chaque fois que notre IP change, nous devons éditer le document pour le refléter. Étant donné que la connexion est établie avec le routeur, nous n'avons évidemment pas à rediriger les ports, nous n'avons qu'à configurer le client. Nous téléchargeons la dernière version sur son site Web https://openvpn.net/index.php/download/community-downloads.html, dans notre cas, ce sera Windows et 64 bits. L'installation est simple et nous ne la détaillerons pas. Pour une utilisation générale, il n'est pas nécessaire de modifier les options par défaut.

   

   Maintenant, selon la version installée, nous devons copier le fichier que nous avons précédemment exporté (nous l'avons appelé client1.ovpn) dans le répertoire de configuration du client. Sous Windows, ce répertoire sera Program Files / OpenVPN / config / (Program Files (x86) / OpenVPN / config / dans le cas de la version 32 bits). Il ne reste plus qu'à exécuter le client en tant qu'administrateur, il nous demandera un nom d'utilisateur et un mot de passe en plus des certificats qui sont déjà dans le fichier de configuration si nous l'avons configuré pour le faire. Sinon, nous entrons directement. Si tout s'est bien passé, nous verrons un enregistrement similaire à celui-ci dans le journal (capture prise dans un scénario sans validation de mot de passe). L'icône sur l'écran vert de la barre des tâches confirme que nous sommes connectés et nous informera de l'adresse IP virtuelle attribuée à l'ordinateur à partir duquel nous avons lancé le client dans le VPN.

   

À partir de ce moment, l'équipement se comportera comme s'il était physiquement connecté au réseau local géré par le routeur dans lequel nous avons configuré le serveur OpenVPN.

Nous pouvons surveiller toutes les connexions de ce type à partir de notre routeur. Par exemple, en le configurant comme nous l'avons décrit et en vous connectant à partir de l'ordinateur portable, nous verrons quelque chose comme ça dans la section VPN-> État VPN

Remarque: Parfois, il est problématique de se connecter à un VPN à partir de notre propre réseau (logiquement, car c'est une utilisation plutôt artificielle pour essayer de connecter un réseau local avec lui-même via un VPN), si quelqu'un a des problèmes avec le fonctionnement du Après avoir suivi toutes les étapes, il serait fortement recommandé d'essayer la connexion de données d'un téléphone mobile (via un modem, par exemple), avec une pointe USB 3G / 4G, ou directement depuis un autre emplacement.

Nous espérons que ce guide vous sera utile pour augmenter la sécurité de vos connexions au réseau domestique depuis l'étranger. Vous encourage à laisser des questions ou des commentaires dans les commentaires.