OpenVPN - 版の履歴

Kusanaginoturugi: Category:仮想プライベートネットワーク

2024-08-14T14:05:59Z

← 古い版		2024年8月14日 (水) 23:05時点における版
1行目:		1行目:
	[[Category:~~Virtual Private Network~~]]		[[Category:仮想プライベートネットワーク]]
	[[de:OpenVPN]]		[[de:OpenVPN]]
	[[en:OpenVPN]]		[[en:OpenVPN]]

Kusanaginoturugi: テンプレート:Expansion を削除

2023-04-05T07:53:26Z

テンプレート:Expansion を削除

← 古い版		2023年4月5日 (水) 16:53時点における版
402行目:		402行目:

	==== Automatically connect to VPN via CLI ====		==== Automatically connect to VPN via CLI ====

	{{Expansion\|Add a brief introduction describing what this actually does.}}

	List connections		List connections

Kusanaginoturugi: /* 公開鍵基盤 (PKI) をスクラッチから作成 */ スクラッチも良いけど、よりわかりやすく

2023-02-10T01:08:48Z

公開鍵基盤 (PKI) をスクラッチから作成: スクラッチも良いけど、よりわかりやすく

← 古い版		2023年2月10日 (金) 10:08時点における版
42行目:		42行目:
	{{Note\|フリーの VPN プロバイダの多くは [[PPTP サーバー\|PPTP]] を提供しており、簡単に設定することが可能です。ただし、[http://poptop.sourceforge.net/dox/protocol-security.phtml セキュアではありません]。}}		{{Note\|フリーの VPN プロバイダの多くは [[PPTP サーバー\|PPTP]] を提供しており、簡単に設定することが可能です。ただし、[http://poptop.sourceforge.net/dox/protocol-security.phtml セキュアではありません]。}}

	== 公開鍵基盤 (PKI) を~~スクラッチ~~から作成 ==		== 公開鍵基盤 (PKI) を最初から作成する ==

	スクラッチから OpenVPN をセットアップする場合、[[Wikipedia:ja:公開鍵基盤\|公開鍵基盤 (PKI)]] を作成する必要があります。詳しくは [[Easy-RSA]] の記事に書かれています。必要な証明書・秘密鍵・関連ファイルが作成できたら、{{ic\|/etc/openvpn/server}} に以下のファイルが存在するはずです:		スクラッチから OpenVPN をセットアップする場合、[[Wikipedia:ja:公開鍵基盤\|公開鍵基盤 (PKI)]] を作成する必要があります。詳しくは [[Easy-RSA]] の記事に書かれています。必要な証明書・秘密鍵・関連ファイルが作成できたら、{{ic\|/etc/openvpn/server}} に以下のファイルが存在するはずです:

Kusanaginoturugi: /* トラブルシューティング */ 記事を追加

2023-02-10T01:06:15Z

トラブルシューティング: 記事を追加

← 古い版		2023年2月10日 (金) 10:06時点における版
795行目:		795行目:

	ping の間隔を小さくすることでトンネルの安定性を上げることができますが、発生するトラフィックが増大します。接続環境によっては10秒以下に設定してみてください。		ping の間隔を小さくすることでトンネルの安定性を上げることができますが、発生するトラフィックが増大します。接続環境によっては10秒以下に設定してみてください。

			=== PID files not present ===

			The default systemd service file for openvpn-client does not have the --writepid flag enabled, despite creating /run/openvpn-client. If this breaks a configuration (such as an i3bar VPN indicator), simply change {{ic\|openvpn-client@.service}} using a [[drop-in snippet]]:

			[Service]
			ExecStart=
			ExecStart=/usr/sbin/openvpn --suppress-timestamps --nobind --config %i.conf --writepid /run/openvpn-client/%i.pid

			=== Route configuration fails with systemd-networkd ===

			When using [[systemd-networkd]] to manage network connections and attempting to tunnel all outgoing traffic through the VPN, OpenVPN may fail to add routes. This is a result of systemd-networkd attempting to manage the tun interface before OpenVPN finishes configuring the routes. When this happens, the following message will appear in the OpenVPN log.

			openvpn[458]: RTNETLINK answers: Network is unreachable
			openvpn[458]: ERROR: Linux route add command failed: external program exited with error status: 2

			From systemd-233, systemd-networkd can be configured to ignore the tun connections and allow OpenVPN to manage them. To do this, create the following file:

			{{hc\|1=/etc/systemd/network/90-tun-ignore.network\|2=
			[Match]
			Name=tun*

			[Link]
			Unmanaged=true
			}}

			[[Restart]] {{ic\|systemd-networkd.service}} to apply the changes. To verify that the changes took effect, start the previously problematic OpenVPN connection and run {{ic\|networkctl}}. The output should have a line similar to the following:

			7 tun0 none routable unmanaged

			=== tls-crypt unwrap error: packet too short ===

			This error shows up in the server log when a client that does not support tls-crypt, or a client that is misconfigured to use tls-auth while the server is configured to use tls-crypt, attempts to connect.

			To support clients that do not support tls-crypt, replace {{ic\|tls-crypt ta.key}} with {{ic\|tls-auth ta.key 0}} (the default) in {{ic\|server.conf}}. Also replace {{ic\|tls-crypt ta.key}} with {{ic\|tls-auth ta.key 1}} (the default) in {{ic\|client.conf}}.

			=== NetworkManager fails to connect using imported configuration ===

			There is a known upstream bug [https://bugs.kde.org/show_bug.cgi?id=396530][https://bugs.launchpad.net/ubuntu/+source/network-manager-openvpn/+bug/1847144][https://gitlab.gnome.org/GNOME/NetworkManager-openvpn/-/issues/54] in conjunction with importing existing OpenVPN configurations (''.ovpn'' files) under KDE via the GUI ({{Pkg\|plasma-nm}} ''not'' {{Pkg\|nm-connection-editor}}) that causes certain advanced options such as {{ic\|tls-crypt}} to be silently ignored. The created NetworkManager connection profile will therefore be incomplete and the connection ultimately fails.

			Logs might reveal errors such as the following:

			TLS Error: TLS handshake failed
			TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)

			A workaround is to resort to NetworkManager's command-line utility ''nmcli'' to import the connection profile as is shown in [[#CLI configuration]].

			=== OpenVPN connection fails after update to OpenSSL3 ===

			There exists an issue with PKCS#12 encoded user certificates/private key files (usually denoted by a ''.pfx'' or ''.p12'' file ending) with OpenSSL3, c.f. also [https://bbs.archlinux.org/viewtopic.php?pid=2067602]. This leads to connections which worked perfectly before updating to OpenSSL3 not being able to connect with the following log messages produced (in this case via NetworkManager):

			{{bc\|
			nm-openvpn[14025]: WARNING: No server certificate verification method has been enabled. See https://openvpn.net/howto.html#mitm for more info.
			nm-openvpn[14025]: NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
			nm-openvpn[14025]: OpenSSL: error:0308010C:digital envelope routines::unsupported
			nm-openvpn[14025]: OpenSSL: error:11800071:PKCS12 routines::mac verify failure
			nm-openvpn[14025]: Decoding PKCS12 failed. Probably wrong password or unsupported/legacy encryption
			nm-openvpn[14025]: SIGUSR1[soft,private-key-password-failure] received, process restarting
			}}

			The reason is that older versions of OpenSSL used algorithms, which are now deprecated, to encrypt the PKCS#12 files.

			To solve this issue the PKCS#12 file must be re-encrypted with a non-legacy algorithm.

			{{bc\|
			$ cd path/to/the/pfx-file
			$ mv mykeys.pfx mykeys.pfx.bak
			$ openssl pkcs12 -in mykeys.pfx.bak -out mykeys.pfx -aes256 -legacy
			}}

	== 参照 ==		== 参照 ==

Kusanaginoturugi: /* update-systemd-resolved スクリプト */ 記事を追加

2023-02-10T01:05:20Z

update-systemd-resolved スクリプト: 記事を追加

← 古い版		2023年2月10日 (金) 10:05時点における版
712行目:		712行目:
	up /etc/openvpn/update-systemd-resolved		up /etc/openvpn/update-systemd-resolved
	down-pre /etc/openvpn/update-systemd-resolved		down-pre /etc/openvpn/update-systemd-resolved

			=== Override DNS servers using NetworkManager ===

			By default {{pkg\|networkmanager-openvpn}} plugin appends DNS servers provided by OpenVPN to {{ic\|/etc/resolv.conf}}.

			To verify that the correct DNS server(s) are configured, see {{ic\|resolvectl status}} if systemd-resolved is in use, for other resolvers see [[Domain name resolution]].

	== L2 Ethernet ブリッジ ==		== L2 Ethernet ブリッジ ==

Kusanaginoturugi: /* update-resolv-conf スクリプト */ 記事を追加

2023-02-10T01:04:53Z

update-resolv-conf スクリプト: 記事を追加

@@ 662行目: / 662行目: @@
 up /etc/openvpn/client/client.up
 plugin /usr/lib/openvpn/plugins/openvpn-plugin-down-root.so "/etc/openvpn/client/client.down tun0"}}
 === update-resolv-conf スクリプト ===

Kusanaginoturugi: /* Troubleshooting */ 一部飜訳

2023-02-10T01:04:01Z

Troubleshooting: 一部飜訳

← 古い版		2023年2月10日 (金) 10:04時点における版
423行目:		423行目:
	systemctl restart NetworkManager		systemctl restart NetworkManager

	==== ~~Troubleshooting~~ ====		==== トラブルシューティング ====

	===== ~~No certificate password~~ =====		===== 証明書パスワードなし =====

	If you get:		If you get:

Kusanaginoturugi: /* 全てのクライアントの通信をサーバーにルーティング */ 飜訳

2022-11-01T02:57:10Z

全てのクライアントの通信をサーバーにルーティング: 飜訳

← 古い版		2022年11月1日 (火) 11:57時点における版
444行目:		444行目:
	== 全てのクライアントの通信をサーバーにルーティング ==		== 全てのクライアントの通信をサーバーにルーティング ==

	{{Note\|~~There are potential pitfalls when routing all traffic through a~~ VPN ~~server. Refer to~~ [http://openvpn.net/index.php/open-source/documentation/howto.html#redirect the OpenVPN documentation on this topic] ~~for more information.~~}}		{{Note\|VPN サーバーを介してすべてのトラフィックをルーティングする場合、潜在的な落とし穴があります。詳細については、[http://openvpn.net/index.php/open-source/documentation/howto.html#redirect the OpenVPN documentation on this topic] を参照してください。}}

	デフォルトでは OpenVPN サーバーから直接送受信されたトラフィックしか VPN を通過しません。ウェブのトラフィックなど全てのトラフィックを VPN を通過させたい場合、まずはサーバーの設定ファイル ({{ic\|/etc/openvpn/server/server.conf}}) に以下を追加してください [http://openvpn.net/index.php/open-source/documentation/howto.html#redirect]:		デフォルトでは OpenVPN サーバーから直接送受信されたトラフィックしか VPN を通過しません。ウェブのトラフィックなど全てのトラフィックを VPN を通過させたい場合、まずはサーバーの設定ファイル ({{ic\|/etc/openvpn/server/server.conf}}) に以下を追加してください [http://openvpn.net/index.php/open-source/documentation/howto.html#redirect]:

Kusanaginoturugi: rm related article.

2022-09-02T23:46:02Z

rm related article.

← 古い版		2022年9月3日 (土) 08:46時点における版
8行目:		8行目:
	{{Related\|Linux Containers で OpenVPN サーバー}}		{{Related\|Linux Containers で OpenVPN サーバー}}
	{{Related\|Easy-RSA}}		{{Related\|Easy-RSA}}
	{{Related\|Airvpn}}
	{{Related articles end}}		{{Related articles end}}
	この記事では、小規模な事業やプライベートでの利用に適している、[http://openvpn.net OpenVPN] の基本的なインストールと設定について説明します。詳しい情報は [https://community.openvpn.net/openvpn/wiki/Openvpn24ManPage OpenVPN 2.4 man ページ] や [http://openvpn.net/index.php/open-source/documentation OpenVPN ドキュメント] を見て下さい。OpenVPN は堅牢で高い柔軟性を持つ [[Wikipedia:VPN\|VPN]] デーモンです。[[Wikipedia:SSL/TLS\|SSL/TLS]] セキュリティ, [[Wikipedia:Bridging_(networking)\|Ethernet ブリッジ]], [[Wikipedia:Proxy_server\|プロキシ]]や [[Wikipedia:Network address translation\|NAT]] による [[Wikipedia:Transmission_Control_Protocol\|TCP]] や [[Wikipedia:User_Datagram_Protocol\|UDP]] の[[Wikipedia:Tunneling_protocol\|トンネリング]]をサポートしています。さらに、動的 IP アドレスと [[Wikipedia:Dynamic_Host_Configuration_Protocol\|DHCP]] をサポートしており、数百あるいは数千までのユーザーに対応し、主要な OS プラットフォームで動作します。		この記事では、小規模な事業やプライベートでの利用に適している、[http://openvpn.net OpenVPN] の基本的なインストールと設定について説明します。詳しい情報は [https://community.openvpn.net/openvpn/wiki/Openvpn24ManPage OpenVPN 2.4 man ページ] や [http://openvpn.net/index.php/open-source/documentation OpenVPN ドキュメント] を見て下さい。OpenVPN は堅牢で高い柔軟性を持つ [[Wikipedia:VPN\|VPN]] デーモンです。[[Wikipedia:SSL/TLS\|SSL/TLS]] セキュリティ, [[Wikipedia:Bridging_(networking)\|Ethernet ブリッジ]], [[Wikipedia:Proxy_server\|プロキシ]]や [[Wikipedia:Network address translation\|NAT]] による [[Wikipedia:Transmission_Control_Protocol\|TCP]] や [[Wikipedia:User_Datagram_Protocol\|UDP]] の[[Wikipedia:Tunneling_protocol\|トンネリング]]をサポートしています。さらに、動的 IP アドレスと [[Wikipedia:Dynamic_Host_Configuration_Protocol\|DHCP]] をサポートしており、数百あるいは数千までのユーザーに対応し、主要な OS プラットフォームで動作します。

Kusanaginoturugi: /* アップデート systemd-resolved スクリプト */ 節タイトル変更

2022-09-02T01:33:56Z

アップデート systemd-resolved スクリプト: 節タイトル変更

← 古い版		2022年9月2日 (金) 10:33時点における版
678行目:		678行目:
	{{Note\|When using {{ic\|openresolv}} with the ''-p'' or ''-x'' options in a script (as both the included {{ic\|client.up}} and {{ic\|update-resolv-conf}} scripts currently do), a DNS resolver like {{Pkg\|dnsmasq}} or {{Pkg\|unbound}} is required for {{ic\|openresolv}} to correctly update {{ic\|/etc/resolv.conf}}. In contrast, when using the default DNS resolution from {{ic\|libc}} the ''-p'' and ''-x'' options must be removed in order for {{ic\|/etc/resolv.conf}} to be correctly updated by {{ic\|openresolv}}. For example, if the script contains a command like {{ic\|resolvconf -p -a }} and the default DNS resolver from {{ic\|libc}} is being used, change the command in the script to be {{ic\|resolvconf -a }}.}}		{{Note\|When using {{ic\|openresolv}} with the ''-p'' or ''-x'' options in a script (as both the included {{ic\|client.up}} and {{ic\|update-resolv-conf}} scripts currently do), a DNS resolver like {{Pkg\|dnsmasq}} or {{Pkg\|unbound}} is required for {{ic\|openresolv}} to correctly update {{ic\|/etc/resolv.conf}}. In contrast, when using the default DNS resolution from {{ic\|libc}} the ''-p'' and ''-x'' options must be removed in order for {{ic\|/etc/resolv.conf}} to be correctly updated by {{ic\|openresolv}}. For example, if the script contains a command like {{ic\|resolvconf -p -a }} and the default DNS resolver from {{ic\|libc}} is being used, change the command in the script to be {{ic\|resolvconf -a }}.}}

	=== ~~アップデート~~ systemd-resolved スクリプト ===		=== update-systemd-resolved スクリプト ===

	systemd-229 から、[[systemd-networkd]] の {{ic\|systemd-resolved.service}} には DBus を使ってリンクごとに DNS の設定を管理することができる API が用意されています。{{ic\|/etc/resolv.conf}} が {{ic\|systemd-resolved}} によって管理されている場合、{{pkg\|openresolv}} などのツールは上手く動かない場合があります。さらに、{{ic\|/etc/nsswitch.conf}} ファイルで {{ic\|dns}} のかわりに {{ic\|resolve}} を使っている場合は全く動作しません。[https://github.com/jonathanio/update-systemd-resolved update-systemd-resolved] スクリプトは DBus を通して OpenVPN と {{ic\|systemd-resolved}} をリンクし DNS レコードを更新します。		systemd-229 から、[[systemd-networkd]] の {{ic\|systemd-resolved.service}} には DBus を使ってリンクごとに DNS の設定を管理することができる API が用意されています。{{ic\|/etc/resolv.conf}} が {{ic\|systemd-resolved}} によって管理されている場合、{{pkg\|openresolv}} などのツールは上手く動かない場合があります。さらに、{{ic\|/etc/nsswitch.conf}} ファイルで {{ic\|dns}} のかわりに {{ic\|resolve}} を使っている場合は全く動作しません。[https://github.com/jonathanio/update-systemd-resolved update-systemd-resolved] スクリプトは DBus を通して OpenVPN と {{ic\|systemd-resolved}} をリンクし DNS レコードを更新します。

← 古い版		2022年9月3日 (土) 08:46時点における版
8行目:		8行目:
	{{Related\|Linux Containers で OpenVPN サーバー}}		{{Related\|Linux Containers で OpenVPN サーバー}}
	{{Related\|Easy-RSA}}		{{Related\|Easy-RSA}}
	{{Related\|Airvpn}}
	{{Related articles end}}		{{Related articles end}}
	この記事では、小規模な事業やプライベートでの利用に適している、[http://openvpn.net OpenVPN] の基本的なインストールと設定について説明します。詳しい情報は [https://community.openvpn.net/openvpn/wiki/Openvpn24ManPage OpenVPN 2.4 man ページ] や [http://openvpn.net/index.php/open-source/documentation OpenVPN ドキュメント] を見て下さい。OpenVPN は堅牢で高い柔軟性を持つ [[Wikipedia:VPN\|VPN]] デーモンです。[[Wikipedia:SSL/TLS\|SSL/TLS]] セキュリティ, [[Wikipedia:Bridging_(networking)\|Ethernet ブリッジ]], [[Wikipedia:Proxy_server\|プロキシ]]や [[Wikipedia:Network address translation\|NAT]] による [[Wikipedia:Transmission_Control_Protocol\|TCP]] や [[Wikipedia:User_Datagram_Protocol\|UDP]] の[[Wikipedia:Tunneling_protocol\|トンネリング]]をサポートしています。さらに、動的 IP アドレスと [[Wikipedia:Dynamic_Host_Configuration_Protocol\|DHCP]] をサポートしており、数百あるいは数千までのユーザーに対応し、主要な OS プラットフォームで動作します。		この記事では、小規模な事業やプライベートでの利用に適している、[http://openvpn.net OpenVPN] の基本的なインストールと設定について説明します。詳しい情報は [https://community.openvpn.net/openvpn/wiki/Openvpn24ManPage OpenVPN 2.4 man ページ] や [http://openvpn.net/index.php/open-source/documentation OpenVPN ドキュメント] を見て下さい。OpenVPN は堅牢で高い柔軟性を持つ [[Wikipedia:VPN\|VPN]] デーモンです。[[Wikipedia:SSL/TLS\|SSL/TLS]] セキュリティ, [[Wikipedia:Bridging_(networking)\|Ethernet ブリッジ]], [[Wikipedia:Proxy_server\|プロキシ]]や [[Wikipedia:Network address translation\|NAT]] による [[Wikipedia:Transmission_Control_Protocol\|TCP]] や [[Wikipedia:User_Datagram_Protocol\|UDP]] の[[Wikipedia:Tunneling_protocol\|トンネリング]]をサポートしています。さらに、動的 IP アドレスと [[Wikipedia:Dynamic_Host_Configuration_Protocol\|DHCP]] をサポートしており、数百あるいは数千までのユーザーに対応し、主要な OS プラットフォームで動作します。