Quelltext der Seite OpenVPN mit pfsense

Konfiguration von pfsense als openVPN exit node.

== Authentifizierungsmethode ==

Als erstes sollte man sich überlegen wie die Anmeldung auf dem openVPN Server vonstatten gehen soll. In unserem Beispiel verwenden wir die Möglichkeit uns per Zertifikat, Benutzername und Passwort über den internen LDAP Server anzumelden. Anzumerken sei noch das die Authentifizierung über LDAP nur mit einem passenden Zertifakt funktioniert.

=== LDAP ===
Unter '''System''' / '''User Manager''' / '''Servers''' wird die Authentifizierung über LDAP eingerichtet. '''Base DN''' und '''Authentication Container''' sind dem Teil des LDAP-Verzeichnisses anzupassen, in welchem man die authorisierten Benutzer eingerichtet hat. Zudem kann man die Suche mit dem '''Extended Query''' verfeinern, wenn man nur eine bestimmte Gruppe zulassen will, z.B. ''memberOf=cn=vpn,o=discordia,dc=holy,dc=cow''<ref name="memberof">Für die Funktion '''memberOf''' müssen zusätzlich die Module und Overlay '''memberOf''' in der Konfigurationsdatenbank aktiviert und '''slapd''' neu gestartet werden.</ref>.

== openVPN Konfiguration ==

Den grössten Teil der Konfiguration wurde durch den Konfigurations Assisstenten von pfsense übernommen. Alle Menüpunkte sind selbsterklärend und einfach verständlich beschrieben. Alternativ kann man auch eine manuelle Konfiguration vorgezogen werden.

=== VPN Nutzer einrichten ===

Es sollte für jeden VPN Nutzer ein eigenes User Zertifikat im pfsense erstellt werden. Dies hat den Vorteil dass diese einzeln zurückgezogen ("revoked") werden können, beispielsweise im Falle eines Verlustes.

Im pfsense kann dies unter ''System --> Cert. Manager --> Certificates --> +Add'' gemacht werden.

Als Methode haben wir ''Create an internal Certificate'' gewählt.

Als ''Descriptive name'': <username>_vpn

''Frage: Was sollte als am besten als CN gewählt werden ?''

Die erforderlichen Daten zur Anwendung im VPN können nun unter ''VPN --> OpenVPN --> Client Export --> OpenVPN Clients'' heruntergeladen werden.

Unter dem entsprechenden Zertifikat ''Standard Configurations --> Archive''.

'''Achtung: Diese Daten sollten nur über eine sichere Verbindung übertragen und geheim gehalten werden.'''

Am besten auch gegenüber anderen Mitarbeitern, da anscheinend keine Verknüpfung von Zertifikat und Login (ldap) besteht.

== Client Einrichtung ==

n/a


== Siehe auch ==
[[Swisscom, VPN und jitsi]]

[[Category: Systemadministration]]