Thiết lập OpenVPN trên DD-WRT Router – Phần 1

Dương Nguyễn

Quản trị mạng – Các kết nối VPN cho phép bạn có thể truy cập file từ xa hoặc kết nối văn phòng từ xa với nhau qua các kênh an toàn trên Internet. Chúng thậm chí rất có ích trong việc bảo vệ các kết nối trên Internet hoặc các Wi-Fi hotspot công cộng, có thể giấu lưu lượng Internet trước những kẻ rình mò cục bộ.

Nếu không nhiều người dùng VPN, bạn có thể xem xét đến việc thiết lập một máy chủ VPN cho riêng mình bằng phần mềm router DD-WRT. Nếu có một router không dây tương thích, bạn có thể load phần mềm trên nó. Cách thức này cho phép bạn cho được một máy chủ và khách OpenVPN và nhiều tính năng thú vị khác. Bạn có thể thiết lập các kết nối truy cập từ xa hoặc các kết nối site-to-site để kết nối các văn phòng với nhau.

DD-WRT hỗ trợ hai giao thức VPN khác: Point-to-Point Tunneling Protocol (PPTP), giao thức rất phổ biến nhưng có lỗ hổng và OpenVPN, giao thức sử dụng Secure Sockets Layer (SSL) và Transport Layer Security (TLS) cung cấp giải pháp an toàn hơn. Trong hướng dẫn gồm có hai phần này, chúng ta sẽ thiết lập và sử dụng OpenVPN.

Trong phần đầu tiên của loạt bài gồm có hai phần này, chúng tôi sẽ giới thiệu cho các bạn cách sử dụng router với phần mềm DD-WRT, thay đổi địa chỉ IP và subnet của router với nhiều lý do, tạo các chứng chỉ SSL. Trong phần thứ hai, chúng tôi sẽ giới thiệu về việc cấu hình OpenVPN server, tạo các kịch bản tường lửa và khởi động, cấu hình máy khách, sau đó là test thử.

Hướng dẫn này được thực thiện bằng cách sử dụng biến thể VPn của DD-WRT v24-SP2. Để tạo các chứng chỉ SSL và các máy khách, chúng tôi đã sử dụng OpenVPN 2.1.1. Các bước trong việc sử dụng các phiên bản phần mềm khác hoặc OpenVPN có thể khác biệt.

Sử dụng Router với phiên bản VPN của DD-WRT

Đầu tiên cần bảo đảm bạn đang sử dụng một router không dây tương thích DD-WRT và có đủ không gian lưu trữ NVRAM. Bạn có thể theo các chỉ dẫn để sử dụng hoặc upload phiên bản VPN của DD-WRT cho router của mình.

Để kiểm tra về khả năng có sẵn của NVRAM, bạn phải sử dụng Telnet hoặc SSH với router. Có thể download và sử dụng PuTTY. Chọn Telnet với tư cách là kiểu kết nối Connection Type và nhập vào địa chỉ IP của router (192.168.1.1). Sau đó, với DD-WRT Login, nhập vào “root”. Nếu bạn đã tạo mật khẩu thông qua panel điều khiển trên web, hãy sử dụng nó; bằng không, sử dụng đăng nhập mặc định "admin".

Khi đăng nhập thông qua Telnet, nhập vào lệnh dưới đây:

nvram show | grep size

Nếu có hơn 5.200 byte thì dung lượng này hoàn toàn ổn.

Thay đổi IP và Subnet của router

Cần nhớ rằng, kết nối VPN kết hối hai hoặc nhiều mạng. Do đó cần bảo đảm subnet của mạng và các IP không bị xung đột. Vì vậy nếu bạn có kế hoạch sử dụng các kết nối VPN từ Internet hoặc các Wi-Fi hotspot công cộng, hãy bảo đảm sao cho mạng nội bộ của bạn và mạng VPN không được thiết lập cùng một subnet.

Do DD-WRT sử dụng một IP chung 192.168.1.1 nên chúng ta nên thay đổi IP này:

Bắt đầu bằng cách kết nối đến router và triệu gọi giao diện điều khiển web bằng cách nhập vào địa chỉ IP (192.168.1.1) vào trình duyệt. Sau đó, kích tab Setup và trong vùng Router IP, thay đổi Local IP Address thành 192.168.2.1, và kích Apply Settings.

Lúc này, bạn phải sử dụng IP mới (192.168.2.1) để đăng nhập vào panel điều khiển DD-WRT.

Tạo các chứng chỉ máy chủ và máy khách

Bạn phải download và cài đặt OpenVPN trên máy tính bằng cách sử dụng Windows Installer. Có thể sử dụng các máy tính Linux để thực hiện điều này, tuy nhiên chúng tôi sẽ sử dụng các máy tính Windows. Khi đã cài đặt, đây là cách bắt đầu:

Mở Command Prompt: kích Start, đánh cmd, và nhấn Enter.
Sau đó chuyển sang thư mục khác bằng cách đánh: cd C:Program FilesOpenVPNeasy-rsa
Chạy file .bat để tạo các file cấu hình bằng cách đánh: init-config
Để mở cửa sổ nhắc lệnh Command Prompt cho sử dụng sau này.

Mở cửa sổ Computer và duyệt đến thư mục C:Program FilesOpenVPNeasy-rsa. Kích phải vào file vars.bat và kích Edit. Sau đó bạn phải thiết lập tất cả các thiết lập dưới đây:

KEY_COUNTRY
KEY_PROVINCE
KEY_CITY
KEY_ORG
KEY_EMAIL

Bạn có thể thay đổi các giá trị mặc định, giá trị sau dấu bằng của mỗi tham số. Cần lưu các thay đổi của mình khi thực hiện xong công việc.

Quay trở lại cửa sổ nhắc lệnh Command Prompt và khởi tạo PKI bằng cách nhập vào các lệnh dưới đây:

vars
clean-all
build-ca

Sau khi tạo lệnh cuối cùng, bạn sẽ thấy nhắc nhở các tham số vừa thiết lập trong file vars.bat. Kích Enter để chấp nhận các tham số đó. Bạn có thể để trống phần Organizational Unit Name. Mặc dù vậy cần phải nhập vào phần Common Name. Khá nhiều thứ có thể làm việc. Chúng tôi đã sử dụng "OpenVPN-CA".

Lúc này bạn có thể tạo một chứng chỉ và khóa riêng cho máy chủ bằng cách nhập vào lệnh dưới đây:

build-key-server server

Khi được nhắc nhở về các tham số lần nữa. Chấp nhận các giá trị mặc định cho những thứ bạn thiết lập trong file vars.bat. Với phần Common Name, nhập "server". Bảo đảm nhập vào mật khẩu an toàn mà bạn sẽ nhớ hoặc lưu ở địa điểm an toàn nào đó. Khi được nhắc để ký và cam kết chứng chỉ, nhập vào "y".

Lúc này bạn có thể tạo các chứng chỉ cho máy khách hoặc máy tính sẽ kết nối với máy chủ OpenVPN trên DD-WRT router. Bạn phải tạo mỗi một chứng chỉ cho mỗi máy khách. Chỉ cần nhập "build-key", theo sau là dấu cách và tên. Cho ví dụ, với ba máy khách sau:

build-key client1
build-key client2 
build-key client3

Tiếp nữa, bạn sẽ được nhắc nhở về các tham số. Chọn tên duy nhất. Bạn có thể sử dụng tên chứng chỉ, chẳng hạn như client1, client2 hoặc client3.

Lưu ý: Nếu bạn phát hiện thấy mình phải tạo thêm các chứng chỉ máy khách, hãy trở về thư mục easy-rsa trong Command Prompt, và đánh "vars", sau đó thực hiện với lệnh “build-key”, chẳng hạn như build-key client2.

Tiếp đến phải tạo các tham số Diffie Hellman bằng cách nhập: