Mise en place d’un serveur OpenVPN

# Pour utiliser ce fichier pour un client Windows,
# renommer simplement l'extension en .ovpn
# Il faudra modifier si besoin la section Windows
# de ce fichier
# Sur Windows, pour définir des chemins penser à
# utiliser des trouves anti-slash comme ci-dessous.
# "C:Program FilesOpenVPNconfigfoo.key"

#---
# Authentification et sécurisation
#

# Clé et certificats SSL/TLS.
# Il est conseillé d'avoir des certificats séparés
# pour chaque client.
# Par contre, on peut avoir qu'un seul
# Certificat Autoritaire.
# La clé serveur ne doit jamais être distribuée, si
# cela arrive, il faudra en générer une nouvelle.
ca ca.crt
cert mon-serveur.macompagnie.fr.crt
key mon-serveur.macompagnie.fr.key

# Certificat Diffie-Hellman.
dh dh2048.pem

# Déclaration de la clé tls-auth
# Le second paramètre doit être 0 sur le serveur
# et 1 sur le(s) client(s).
;tls-auth ta.key 0

# Utilisation de la cryptographie Cipher.
;cipher BF-CBC # Blowfish (default)
;cipher AES-128-CBC # AES
;cipher DES-EDE3-CBC # Triple-DES

#---
# Configuration de la connexion
#

# Adresse IP sur laquelle OpenVPN doit écouter.
;local a.b.c.d

# Port TCP/UDP sur lequel OpenVPN doit écouter.
# Pour plusieurs intances serveur, il faudra un port pour
# chacune d'elles.
# Bien penser aussi à ouvrir les ports concernés pour laisser
# passer le trafic réseau.
port 1194

# Protocole de transport des données.
;proto tcp
proto udp

# Type d'interface à utiliser pour la connexion.
# tap permet de créer un tunnel Ethernet alors que tun
# permet de faire un tunnel IP routé.
# En cas d'utilisation d'une interface tap, il faudra au
# préalable créer cette interface.
;dev tap
dev tun

#---
# Configuration générale
#

# Nombre maximum de clients autorisés à se connecter.
;max-clients 100

# Activation de la compression du trafic circulant
# dans le tunnel VPN.
comp-lzo

# Toutes les 10 secondes un test de connectivité est effectué.
# Passée une période de 120 secondes sans réponse, l'hôte distant
# est déclaré arrêté.
keepalive 10 120

# Options persistantes malgré un redémarrage.
# On ne relit pas les clés de cryptographie,
# On ne réinitialise pas l'interface virtuelle.
persist-key
persist-tun

# Attribution d'un pool d'adresses au serveur qu'il
# pourra fournir aux clients se connectant.
# Ici, le serveur prendra l'adresse IP 10.8.0.1 pour lui
# et laissera le reste pour les clients.
# Commenter cette directive en cas d'utilisation d'un pont
# Ethernet.
server 10.8.0.0 255.255.255.0

# Configure OpenVPN pour faire du pont Ethernet et utiliser
# un DHCP-proxy. Ainsi les clients VPN pourront accéder aux
# serveurs DHCP et DNS.
# Il faut d'abord utiliser les fonctions de pontage de
# l'OS pour rassembler la carte physique et la carte virtuelle
# TAP.
# Note : Ce mode ne fonctionne qu'avec des clients comme Windows,
# où l'interface virtuelle TAP est liée à un client DHCP.
;server-bridge

# Configure OpenVPN pour faire du pont Ethernet.
# Il faut d'abord utiliser les fonctions de pontage de
# l'OS pour rassembler la carte physique et la carte virtuelle
# TAP. Ensuite, il ne reste plus à définir manuellement les
# paramètres réseau du pont ainsi que la plage d'adresses
# IP utilisable pour les clients VPN, ici de 10.8.0.50
# à 10.8.0.100.
# Commenter cette directive en cas d'utilisation d'un pont
# Ethernet.
;server-bridge 10.8.0.4 255.255.255.0 10.8.0.50 10.8.0.100

# En plus de fournir un tunnel VPN, OpenVPN est capable
# d'envoyer des paramètres aux clients comme des routes.
# Les clients peuvent ainsi joindre des sous-réseaux
# accessibles à partir du serveur.
# Ne pas oublier que ces sous-réseaux devront connaître
# le réseau virtuel pour pouvoir répondre aux clients VPN.
;push "route 192.168.10.0 255.255.255.0"
;push "route 192.168.20.0 255.255.255.0"

# Il est aussi possible d'envoyer aux clients des paramètres
# spécifiques à Windows comme l'adresse d'un serveur DNS ou un
# serveur WINS.
# CAVEAT: http://openvpn.net/faq.html#dhcpcaveats
;push "dhcp-option DNS 208.67.222.222"
;push "dhcp-option DNS 208.67.220.220"

# Si activée, cette directive va forcer les clients à rediriger
# tout leur trafic Internet vers le VPN, comme par exemple
# la navigation Web, les requêtes DNS, ...
# Il faudra par ailleurs que la machine hébergeant le serveur VPN
# utilise NAT ou un pont Ethernet pour que ceci fonctionne correctement.
;push "redirect-gateway def1 bypass-dhcp"

# Répertoire contenant les configurations personnalisées des clients.
# Le répertoire "/etc/openvpn/ccd" n'existe pas de base, il faudra le créer.
# Les fichiers doivent porter le Common Name du certificat associé.
;client-config-dir /etc/openvpn/ccd

# Activée, cette directive permet aux clients VPN de pouvoir
# communiquer les uns avec les autres.
# Par défaut, un client ne peut voir que le serveur.
# Pour forcer les clients à ne voit que le servuer, il faudra
# aussi configurer en conséquence le pare-feu.
;client-to-client

# Il est possible de générer un certificat client commun
# à différent client.
# Cependant ce type d'utilisation n'est pas conseillé pour
# raison de sécurité ; à ne faire qu'à des fins de tests.
# Ceci est dans le cas où le "Common name" du certificat est commun
# pour tous les clients VPN.
;duplicate-cn

#---
# Journalisation
#

# Garde une trace client <-> adresse IP virtuelle ainsi
# en cas de redémarrage d'OpenVPN, le serveur est capable d'assigner
# à nouveau la même adresse IP aux clients se reconnectant.
ifconfig-pool-persist ipp.txt

# Fichier de journalisation permettant d'avoir une trace
# des connexions courantes.
# Il est actualisé toutes les minutes.
status openvpn-status.log

# Par défaut, les fichiers de journalisation iront se placer
# dans syslog pour Linux et dans C:Program FilesOpenVPNlog pour
# Windows, si OpenVPN est lancé comme démon/service.
# Les directives suivantes permettent de changer cela. Cependant, il
# ne faut jamais les utiliser en même temps.
# log va vider le fichier de journalisation au démarrage d'OpenVPN
# alors que log-append va ajouter les nouvelles entrées à la suite de
# l'existant.
;log openvpn.log
;log-append openvpn.log

# Niveau de verbosité utilisé pour les fichiers de
# journalisation.
verb 3

# Ne journalise pas plus de n messages consécutifs similaires.
;mute 20

#---
# Spécifique à Linux
#

# Après initialisation, on réduit les droits du
# démon par mesure de sécurité.
;user nobody
;group nogroup

#---
# Spécifique à Windows
#

# Pour utiliser ce fichier pour un client Windows,
# renommer simplement l'extension en .ovpn
# Il faudra modifier si besoin la section Windows
# de ce fichier
# Sur Windows, pour définir des chemins penser à
# utiliser des trouves anti-slash comme ci-dessous.
# "C:Program FilesOpenVPNconfigfoo.key"

#---
# Configuration propre au client
#

# FQDN/IP du serveur, ainsi que son port d'écoute.
# Il est possible définir plusieurs serveurs en
# duplicant la ligne ci-dessous.
remote mon-serveur.macompagnie.fr 1194

# Clé et certificats SSL/TLS.
# Il est conseillé d'avoir des certificats séparés
# pour chaque client.
# Par contre, on peut avoir qu'un seul
# Certificat Autoritaire.
ca ca.crt
cert pc-portable.macompagnie.fr.crt
key pc-portable.macompagnie.fr.key

#---
# Partie devant être identique avec le serveur
#

# Protocole de transport des données.
;proto tcp
proto udp

# Type d'interface à utiliser pour la connexion.
# tap permet de créer un tunnel Ethernet alors que tun
# permet de faire un tunnel IP routé.
# tap sera plus utilisé pour faire un pont d'interfaces,
# cela implique d'avoir déjà créé une interface du genre tap0.
;dev tap
dev tun

# Activation de la compression du trafic circulant
# dans le tunnel VPN.
comp-lzo

# Déclaration de la clé tls-auth
# Le second paramètre doit être 0 sur le serveur
# et 1 sur le(s) client(s).
;tls-auth ta.key 1

# Utilisation de la cryptographie Cipher.
;cipher BF-CBC # Blowfish (default)
;cipher AES-128-CBC # AES
;cipher DES-EDE3-CBC # Triple-DES

#---
# Configuration générale
#

# Activation du mode client, ainsi, nous pourrons
# récupérer certaines directives du serveur.
client

# Niveau de verbosité utilisé pour les fichiers de
# journalisation.
verb 3

# Ne journalise pas plus de n messages consécutifs similaires.
;mute 20

# Si plusieurs serveurs ont précédemment été déclarés,
# il est possible de faire de l'équilibrage de charge
# via ce paramètre. Sinon on utilise l'ordre de
# déclaration des serveurs.
;remote-random

# Permet de résoudre indéfiniment le
# FQDN du serveur OpenVPN. Très utile
# sur des machines qui ne sont pas connectées en permanence
# à Internet tels que les ordinateurs portables.
resolv-retry infinite

# La plupart des clients n'ont pas besoin d'être liés
# un port local spécifique. Un port est attribué
# dynamiquement.
nobind

# Options persistantes malgré un redémarrage.
# On ne relit pas les clés de cryptographie,
# On ne réinitialise pas l'interface virtuelle.
persist-key
persist-tun

# Si le client est connecté à Internet via un proxy,
# il faut définir les informations ici.
# Si le proxy demande une authentification, consulter
# le manuel.
;http-proxy-retry # retry on connection failures
;http-proxy [proxy server] [proxy port #]

# Désactive l'affiche des messages d'avertissement
# concernant la duplication de paquet qui sont la plupart
# du temps de faux indicateurs sur un réseau Wifi.
# Avec cette option, on dispose toujours de la protection
# associée à la duplication de paquet tout en désactivant
# la verbosité.
;mute-replay-warnings

# Vérification de la présence de la directive nsCertType
# contenue dans le certificat du serveur.
# Elle permet d'être protéger contre de potentielles attaques.
# Voir ici pour plus d'informations : http://openvpn.net/howto.html#mitm
#
# Cette directive est normalement insérée si l'on génère le certificat
# du serveur via le script build-key-server présent dans le dossier
# easy-rsa.
ns-cert-type server

#---
# Spécifique à Linux
#

# Après initialisation, on réduit les droits du
# démon par mesure de sécurité.
;user nobody
;group nogroup

#---
# Spécifique à Windows
#