2020年4月6日スポンサーリンクAWSで、以前OpenVPNを構築した時は、easy-rsaがバージョン2だったのですが、今構築しようとすると、easy-rsaがバージョン3となっています。2は標準パッケージにOpenVPNが入ってないので使いません。目次:easy-rsaのバージョン2とバージョン3で大きな違いコマンドがeasy-rsaのみとなりました。Forwarding設定Tunnelbrick設定ファイルAWS設定OpenVPNをインストールしたサーバにEIPを設定OpenVPNをインストールしたサーバにセキュリティグループを追加し設定OpenVPN経由でアクセスさせたいPrivateネットワークのサーバに対して、セキュリティグループからのアクセスを許可Privateネットワークのルートテーブルに、VPNクライアント側のセグメントから、OpenVPNをインストールしたサーバへのルーティングを設定OpenVPNをインストールしたサーバで送信元/送信先の変更チェックを無効に設定スポンサーリンクeasy-rsaのバージョン2とバージョン3で大きな違いコマンドがeasy-rsaのみとなりました。コマンド実行前にvarsを実行する必要がなくなりました。「cn_only」というCommonNameのみ入力すれば鍵が作成されるモードがデフォルトとなり、鍵を作成するための情報をもったvarsファイルを作成する意味がなくなったためです。今までと同様のモード「org」に変更することも可能です。作成の手順としては今までとほぼ同じです。それでは構築していきます。--enablerepo=epel/usr/share/easy-rsaに導入されます。/usr/share/easy-rsa/3/pki認証局を作成前にのみ実行します。メッセージからpkiディレクトリが作成されています。phrase」のみです。Nameしか聞かれていません。Nameもデフォルトにしました。/usr/share/easy-rsa/3/pki/dh.pemサーバ証明書と秘密鍵の作成nopassオプションでパスフレーズを不要にしています。Updatedここで入力したのは認証局の作成の時に設定したパスワードのみです。Updatedわたしは、OpenVPNのWindowsクライアント用にvpnux、Mac用にTunnelbrickを使っています。※vpnuxは1.4.6.2以上を利用してください。古いvpnuxでは接続できますが通信に失敗します。両方のクライアントともパスワードが保存できるので、だれでもセットアップしてつなげられないようにパスワードを設定しています。最初のパスフレーズが、クライアント証明書のパスワード、後のパスフレーズが認証局作成時のパスワードですを入力します。作成されたファイルは、pkiディレクトリ内の各サブディレクトリに保管されています。“route”のところはVPNのサブネットのIPアドレスになります。IPアドレスにあわせて変更してください。0の行があるので1に変更してください。-pTunnelbrick設定ファイル接続テストはMacを利用して行いました。Tunnelbrickはこちらからダウンロードできます。1280AWS設定OpenVPNをインストールしたサーバにEIPを設定OpenVPNをインストールしたサーバにセキュリティグループを追加し設定OpenVPN経由でアクセスさせたいPrivateネットワークのサーバに対して、セキュリティグループからのアクセスを許可Privateネットワークのルートテーブルに、VPNクライアント側のセグメントから、OpenVPNをインストールしたサーバへのルーティングを設定OpenVPNをインストールしたサーバで送信元/送信先の変更チェックを無効に設定AWSに慣れている方ならここまでで設定が一気に終わると思います。ここからはAWS設定について詳細に解説します。OpenVPNをインストールしたサーバにEIPを設定この作業でグローバルIPアドレスを取得します。IP」をクリックします。「新しいアドレスの割り当て」をクリックします。「割り当て」をクリックします。IPが割り当てられました。「閉じる」をクリックします。IPの一覧にも表示されました。IPをOpenVPNサーバにアタッチします。IPを選択し、「アクション」-「アドレスの関連付け」をクリックします。OpenVPNの「インスタンス」「プライベートIP」を選択し、「関連付け」をクリックします。OpenVPNをインストールしたサーバにセキュリティグループを追加し設定server1というセキュリティグループを作成します。ダッシュボードを表示し、「セキュリティグループ」をクリックします。「セキュリティグループの作成」をクリックします。「セキュリティグループ名」「説明」を入力し、「VPC」を選択します。「ルールの追加」をクリックします。カスタムUDPを選択、ポートは1194を入力、ソースは0.0.0.0/0を入力します。「作成」をクリックします。OpenVPN経由でアクセスさせたいPrivateネットワークのサーバに対して、セキュリティグループからのアクセスを許可Privateネットワークのサーバに設定されているセキュリティグループに追加します。引き続きセキュリティグループで作業します。OpenVPN経由でアクセスさせたいサーバに設定されているセキュリティグループを選択します。インバウンドタブで「編集」をクリックします。「ルールの追加」をクリックします。「すべてのトラフィック」をクリックします。「ソースでセキュリティグループ」を選択します。セキュリティグループを選択にするには「sg」と入力することにより一覧が表示されます。セキュリティグループがたくさん存在する場合は、セキュリティグループからコピーしてきましょう。すべてのトラフィックではなくもっとポートを絞ることも可能です。「保存」をクリックします。「VPC」-「ルートテーブル」をクリックします。プライベートネットワークのルートテーブルを選択し、「ルート」タブをクリックし、「編集」をクリックします。「別のルートを追加」をクリックします。送信先に今回OpenVPNの設定でクライアントへのIPアドレス付与した「10.200.0.0/24」を入力し、ターゲットにOpenVPNがインストールされたインスタンスを選択し、「保存」をクリックします。ターゲット入力時に「i」を入力するとインスタンスの一覧が表示されます。この状態になれば設定完了です。プライベートサブネットへのアクセスは、10.200.0.0/24からになりますので、あわせてセキュリティグループの設定が必要です。このルールを追加し、「保存」をクリックします。OpenVPNをインストールしたサーバで送信元/送信先の変更チェックを無効に設定OpenVPNをインストールしたサーバを選択し、「アクション」-「ネットワーキング」-「送信元/送信先の変更チェック」をクリックします。「はい、無効化する」をクリックします。同じオペレーションで、すぐに有効化することもできます。Linux】GLPI(オープンソース資産管理ツール)インストール7CentOS7でnamed-chrootが起動しない場合の対応。selinuxの無効化が鍵でした。