Pritunl on Блог Агапова Максима

Pritunl. Установка и настройка в Ubuntu 18.04

Fri, 03 Apr 2020 13:06:00 +0000

Популярность удаленного доступа нынче выросла из-за сами-знаете-чего, поэтому вот вам шпаргалка по установке удобного VPN-сервера Pritunl на базе Ubuntu 18.04. Третий год уже использую VPS-сервер от vds6.net, рекомендую.

Готовимся

apt update && apt upgrade -y && apt dist-upgrade -y

Ставим необходимые пакеты для работы на сервере на будущее

apt install mc nano git curl gnupg -y

И сразу корректно настроим время и часовой пояс

dpkg-reconfigure tzdata

Выбираем Europe>Moscow

Устанавливаем Pritunl-сервер

sudo tee /etc/apt/sources.list.d/mongodb-org-4.2.list << EOF
deb https://repo.mongodb.org/apt/ubuntu bionic/mongodb-org/4.2 multiverse
EOF

sudo tee /etc/apt/sources.list.d/pritunl.list << EOF
deb http://repo.pritunl.com/stable/apt bionic main
EOF

sudo apt-key adv --keyserver hkp://keyserver.ubuntu.com --recv E162F504A20CDF15827F718D4B7C549A058F8B6B
sudo apt-key adv --keyserver hkp://keyserver.ubuntu.com --recv 7568D9BB55FF9E5287D586017AE645C0CF8E292A
sudo apt-get update
sudo apt-get --assume-yes install pritunl mongodb-org

Перезапускаем VPS-сервер и подключаемся к веб-морде по адресу https://ip-address

Возвращаемся в консоль и вводим команду

pritunl setup-key

Вставляем сгенерированный ключ в поле Enter Setup Key, жмем Save.

После создания базы, для первого входа pritunl попросит ввести логин пароль, который можно сгенерировать командой

sudo pritunl default-password
[undefined][2020-04-03 04:42:00,215][INFO] Getting default administrator password
Administrator default password:
  username: "pritunl"
  password: "q9С2AqPoD1El"

Всё. Дальше все настройки делаем через веб-морду

Не забываем настроить авторизацию на сервер через ssh-ключи

Domoticz. Уведомления в телеграм через VPN

Mon, 18 Nov 2019 18:43:00 +0000

Ага, спасибо Роскомнадзору.

Посвящается всем тем, кто настроил Domoticz на отправку уведомлений через телеграм и удивился, почему уведомления не прилетают. Да потому что https://api.telegram.org прикрыл РКН.

И тут я начинаю понимать, что иметь свой VPS-сервер за 3 бакса с выделенным IP другой страны, уже не роскошь, а необходимость.

Раз. Настраиваем любой VPN-сервер, я использовал Pritunl. Через веб-морду в pritunl создадим нового пользователя, качаем ovpn-профиль и копируем его содержимое в настройки нового подключения прямо через веб-морду keenetic'а

Два. Добавляем маршруты для https://api.telegram.org.

2ip.ru показал, что t.me занимает IP-диапазон 149.154.164.0 - 149.154.167.255
Что соответствует маске /22 или 255.255.252.0

В поле "Адрес шлюза" указываем IP который получил keenetic в VPN-сети.

Проверяем через браузер

Ага, пошло. Теперь проверяем из Domoticz. Настраиваем секцию "Telegram" и жмем Тест. Прилетело - хорошо, нет читаем журнал событий и смотрим что не так.

Преимущества прямых маршрутов том, что через VPN-подключение идёт только трафик на api.telegram.org. Всё остальное летит напрямую.

Domoticz. Доступ к серверу из мира без выделенного IP

Sat, 02 Nov 2019 09:46:00 +0000

К сожалению, Йота не предоставляет услуги "белый" IP-адрес физическим лицам, по крайней мере по состоянию на 10.2019. Ростелеком например, подключит 1 выделенный IP-адрес за 100 рублей в месяц. Карельский провайдер Сампо, также за сотку в месяц даст один адрес, ~~а за пять соток аж подсеть из 8 адресов.~~ Раньше я решал эту проблему через самый дешевый VPS-сервер для создания VPN-сети. По деньгам - 120 в месяц. Но свой сервер, есть свой сервер. Можно pritunl поставить, а можно и свой прокси-сервер поднять для телеграма.

А недавно нашел фичу у своего роутера Keenetic KN-1010 - доменное имя 4 уровня. Иными словами, если у вас нет возможности подключить выделенный IP-адрес, или сервисы noip.com не работают, или тупо не хочется тратить время на настройку своего VPS сервера - можно за три секунды настроить доступ с мира к вашим внутренним серверам\ресурсам(например серверу Domoticz) бесплатно. ТОЛЬКО НА РОУТЕРАХ KEENETIC

Всё! Теперь с любого места, можно подключиться к серверу domoticz по адресу pi.myname.keenetic.pro ~~без регистрации и смс~~

Остается мааааленький нюанс. Теперь все кто знает это имя, могут к нему подключиться. Тут надо настроить ограничения доступа из разных подсетей и хотя бы установить пароль на веб-морду уже в самом Domoticz.

Настройка>Настройки>Система

Указываем Имя и Пароль, которые Domoticz будет запрашивать при входе

Локальные сети без имени\пароля я добавил, чтобы не пришлось указывать в исполняемых bash скриптах логин\пароль для авторизации. Да лень короче, столько дописывать. Если скрипты не отрабатывают после добавления 127.0.0.1, надо подправить файл /etc/hosts

127.0.0.1       localhost
#::1            localhost ip6-localhost ip6-loopback
ff02::1         ip6-allnodes
ff02::2         ip6-allrouters

127.0.1.1       raspberrypi

Закомментировал строку с ::1. Можно подправить и оставить только

::1            ip6-localhost ip6-loopback

Если ipv6 нужен

Сей функционал доступен на всей линейке keenetic'ов. Сравнительная таблица
~~Но и это ещё не всё!~~ В придачу подключение идёт по защищенному https с let's encrypt сертификатом. Не надо настраивать certbot, не надо обновлять сертификат каждые три месяца. Удобно? Да канешна!

UPD! Всё таки обновлять сертификат придётся

Padavan. Переадресация портов через VPN

Fri, 23 Nov 2018 08:40:00 +0000

Столкнулся с небольшой проблемой с пробросом портов через VPN соединение. А конкретно, хотел получать доступ к web-интерфейсам камер видеонаблюдения и sonoff'ам с любого устройства в VPN-сети.

До этого приходилось подключаться к raspberry через xrdp и запускать браузер чтобы попасть в web-морду девайсов. Фу.

Схема сети такая (надеюсь доходчиво, рисую впервые)

Собственно, действующие лица
10.0.0.1 - внутренний IP-адрес роутера
10.0.10.9 - IP-адрес роутера в VPN-сети
10.0.0.201 - IP-адрес sonoff'а в локальной сети

Подключаемся к консоли роутера через ssh и набираем

iptables -t nat -A PREROUTING -d 10.0.10.9 -p tcp -m tcp --dport 10201 -j DNAT --to-destination 10.0.0.201:80
iptables -t nat -A POSTROUTING -d 10.0.0.201 -p tcp -m tcp --dport 80 -j SNAT --to-source 10.0.0.1
iptables -t nat -A OUTPUT -d 10.0.10.9 -p tcp -m tcp --dport 80 -j DNAT --to-destination 10.0.0.201
iptables -I FORWARD 1 -i tun0 -o br0 -d 10.0.0.201 -p tcp -m tcp --dport 80 -j ACCEPT

И проверяем в браузере клиента VPN-сети

Сохраним изменения в таблицах маршрутизации, чтобы они не пропали после перезагрузки роутера.

iptables-save

Padavan. Настройка клиента OpenVPN

Mon, 08 Oct 2018 09:17:00 +0000

К сожалению в прошивке от padavan нет удобной функции настройки клиента OpenVPN через загрузку конфигурационного файла *.ovpn. Тут всё надо делать ручками.
Открываем файл с настройками *.ovpn (в моем случае этот файл я получил с сервера Pritunl)

setenv UV_ID bb9ce423315e4b5gb57eb912bbd1c5a2
setenv UV_NAME winter-trees-6155
client
dev tun
dev-type tun
remote 8.2.3.4 17222 udp
remote-random
nobind
persist-tun
cipher AES-128-CBC
auth SHA1
verb 2
mute 3
push-peer-info
ping 10
ping-restart 60
hand-window 70
server-poll-timeout 4
reneg-sec 2592000
sndbuf 393216
rcvbuf 393216
max-routes 1000
remote-cert-tls server
comp-lzo no
key-direction 1

-----BEGIN CERTIFICATE-----
MIIFcjCCA1qgAwIBAgIJAJy4iAl+5DamMA0GCSqGSIb3DQEBCwUAMEYxITAfBgNV
G3+pzFHjMsOCkynNU66q6cPhf/TVY7pnFhuXNYm7SLMwakbEGLriEZsy1ISeS+u/
y9mK+nZx
-----END CERTIFICATE-----


#
# 2048 bit OpenVPN static key
#
-----BEGIN OpenVPN Static key V1-----
c71c986f794d75842679ae2a960b3e11
8d8eacf066ea6ca71c749e9b5f5669c5
-----END OpenVPN Static key V1-----


-----BEGIN CERTIFICATE-----
MIIFgDCCA2igAwIBAgIIQULeQC24iH0wDQYJKoZIhvcNAQELBQAwRjEhMB8GA1UE
XCtV1L6ldQZvn0IXwXFJCHaCOoc=
-----END CERTIFICATE-----


-----BEGIN PRIVATE KEY-----
MIIJRAIBADANBgkqhkiG9w0BAQEFAASCCS4wggkqAgEAAoICAQDAJRccgRiz4RBl
65HHcodt/pc5kyx/DRR5goP0Tog0abeJ3eICjy1CgeNlr4ojFrzUrqxtl+Str0we
db6QDIOj7p0XSgrnIPeS7xZUc3fAUwaq
-----END PRIVATE KEY-----

Чтобы не палиться, ключи обрезаны. На самом деле они гораздо длиннее.

Переходим в настройках роутера в VPN клиент и выставляем настройки как на скриншоте

Раскрываем "Расширенная конфигурация OpenVPN" и вставляем туда свои настройки подключения из файла

setenv UV_ID bb9ce423315e4b5gb57eb912bbd1c5a2
setenv UV_NAME winter-trees-6155
client
dev tun
dev-type tun
remote 8.2.3.4 17222 udp
remote-random
nobind
persist-tun
cipher AES-128-CBC
auth SHA1
verb 2
mute 3
push-peer-info
ping 10
ping-restart 60
hand-window 70
server-poll-timeout 4
reneg-sec 2592000
sndbuf 393216
rcvbuf 393216
max-routes 1000
remote-cert-tls server
comp-lzo no
key-direction 1

После этого, во вкладке Сертификаты/ключи OpenVPN копируем и вставляем из файла по порядку
ca.crt (Root CA Certificate):
всё что между и

-----BEGIN CERTIFICATE-----
MIIFcjCCA1qgAwIBAgIJAJy4iAl+5DamMA0GCSqGSIb3DQEBCwUAMEYxITAfBgNV
G3+pzFHjMsOCkynNU66q6cPhf/TVY7pnFhuXNYm7SLMwakbEGLriEZsy1ISeS+u/
y9mK+nZx
-----END CERTIFICATE-----

client.crt (Client Certificate):
все что между и

-----BEGIN CERTIFICATE-----
MIIFgDCCA2igAwIBAgIIQULeQC24iH0wDQYJKoZIhvcNAQELBQAwRjEhMB8GA1UE
XCtV1L6ldQZvn0IXwXFJCHaCOoc=
-----END CERTIFICATE-----

client.key (Client Private Key) - secret:
все что между и

ta.key (TLS Auth Key) - secret:
все что между и

#
# 2048 bit OpenVPN static key
#
-----BEGIN OpenVPN Static key V1-----
c71c986f794d75842679ae2a960b3e11
8d8eacf066ea6ca71c749e9b5f5669c5
-----END OpenVPN Static key V1-----

Если в вашем конфиге нет TLS Auth Key, значит смените Проверка HMAC сигнатуры (TLS-Auth) на НЕТ

Двигаем ползунок Включить VPN-клиент? и смотрим новый tun интерфейс, если не появился - смотрим логи

cat /tmp/syslog.log

Как настроить переадресацию портов с VPN-подключением

Pritunl. Установка и настройка в Ubuntu 16.04

Tue, 11 Sep 2018 13:47:00 +0000

Решил наконец связать все устройства в разных домах в одну сеть, при помощи pritunl. Никаких проблем с установкой, а тем более с настройкой и добавлением новых клиентов. Купил для этих целей VPS-сервер за 2,5$ в месяц с выделенным IP-адресом. Как бонус, можно настроить отдельную подсеть для своего VPN-сервера.

Установка pritunl сервера на Ubuntu 16.04

apt update && apt upgrade -y && apt dist-upgrade -y

Необходимые пакеты на будущее

apt install mc nano git curl -y

И сразу корректно настроим время и часовой пояс

dpkg-reconfigure tzdata

Выбираем Europe>Moscow.

sudo tee -a /etc/apt/sources.list.d/mongodb-org-3.6.list << EOF
deb http://repo.mongodb.org/apt/ubuntu xenial/mongodb-org/3.6 multiverse
EOF
sudo tee -a /etc/apt/sources.list.d/pritunl.list << EOF
deb http://repo.pritunl.com/stable/apt xenial main
EOF
sudo apt-key adv --keyserver hkp://keyserver.ubuntu.com --recv 2930ADAE8CAF5059EE73BB4B58712A2291FA4AD5
sudo apt-key adv --keyserver hkp://keyserver.ubuntu.com --recv 7568D9BB55FF9E5287D586017AE645C0CF8E292A
sudo apt update
sudo apt --assume-yes install pritunl mongodb-org
sudo systemctl start pritunl mongod
sudo systemctl enable pritunl mongod

Перезагружаемся и переходим на страницу https://ip-address

Возвращаемся в консоль и вводим команду

pritunl setup-key

Вставляем сгенерированный ключ в поле Enter Setup Key, жмем Save.

Получаем сертификат Let's Encrypt
Останавливаем в консоли апач

service apache2 stop

В настройках сервера через веб-морду в поле Web Console Port переназначаем порт на любой акромя 443 или 80, вписываем наше доменное имя в поле "Lets Encrypt Domain".
Запускаем апач

service apache2 start

Жмем Save.
Теперь подключение защищено SSL-сертификатом.

Доменное имя получил на nic.ru, всего 179 рублей в год.

Чтобы весь трафик ходил через VPS-сервер, т.е. с его IP-адреса

Если надо просто объединить всех в одну сеть, оставляем одну Virtual Network 10.0.9.0/24 к примеру

Если не удается увидеть устройства внутри одной сети, проверь настройки IP на каждой машине. На windows были проблемы с автоматическим получением IP-адреса через DHCP. Pritunl-клиент писал, что адрес получен 10.0.8.4, но вот в сетевых подключениях был 169.43.23.231. Помогла банальная перезагрузка клиентской машины.

И вообще, очень часто помогает передернуть сетевое подключение TAP - Windows Adapter.

Установка Pritunl в Ubuntu 18.04 практически ни чем не отличается