Il protocollo TCP è un protocollo affidabile che utilizza un network non sempre affidabile. In caso un pacchetto non arrivi a destinazione, viene ritrasmesso con un timeout che aumenta esponenzialmente ad ogni retry

Non è considerato una buona opzione per una VPN in quanto

• Incapsulando il TCP su TCP, stiamo generando uno strato aggiuntivo di inaffidabilità
• TCP meltdown

TAP viene utilizzato con il layer 2, quindi si comporta come una vera e propia scheda di rete

• layer 2 → ethernet frames
• supporta qualsiasi network protocol
• è un'interfaccia di rete "full-fledged"

Svantaggi:

• Overhead maggiore rispetto a TUN

TUN invece opera in layer 3 e permette il transito di pacchetti IPV4/6

• overhead minore dato che non deve mandare frame ethernet ma pacchetti IP
• Mantiene comunque le possibilità di routing con iptables
• Utilizzato nella maggior parte dei casi a meno di condizioni particolari

Svantaggi:

• Solo pacchetti IP
• No broadcast

La modalità TLS consiste in una autenticazione bidirezionale tramite certificato. Una volta autenticati, client e server possono scambiarsi chiavi in maniera sicura

Vantaggi di questo approccio:

• È un sistema più robusto dal punto di vista della sicurezza
• Ogni utente è identificato da un certificato
• È possibile revocare i certificati individualmente
• Si possono creare delle CA intermedie

Gli autori di openvpn hanno sviluppato un comodo tool per permettere il setup di una PKI, la generazione e la firma di certificati, chiamato EasyRSA

git clone https://github.com/OpenVPN/easy-rsa.git
cd easy-rsa/easyrsa3

• ca.crt può essere dato a chiunque dato che serve per verificare la catena di certificati (serve sia al server che al client)
• client.key, client.crt vanno dati al client (reminder: ogni client ha bisogno del propio certificato!)
• server.key, server.crt, dh.pem sono utilizzati dal server
• ca.key deve essere riposto al sicuro

Fortunatamente è possibile specificare le opzioni in un comodo file di configurazione. La directory di default utilizzata per i file di configurazione e certificati è /etc/openvpn.

Inoltre è possibile specificare una subdirectory per ogni configurazione. Ad esempio in Debian 9 avremo due subdirectory di default:

• /etc/openvpn/client
• /etc/openvpn/server

Dopo aver installato openvpn dai repository della propria distro, è possibile trovare degli esempi di configurazione ben documentati nei seguenti path:

• Debian: /usr/share/doc/openvpn/examples/
• Archlinux: /usr/share/openvpn/examples/

Questi file costituiscono un ottimo punto di partenza per la configurazione del proprio client/server OpenVPN.

Push permette di inviare impostazioni ai client che si connettono, in questo modo si possono comunicare informazioni su:

• rotte
• se utilizzare o meno la compressione
• impostazioni dhcp

N.B.: i client che si connettono devono avere l'opzione pull (o client ) per ricevere le configurazioni tramite push

Abilitare la compressione permette di risparmiare banda aggiungendo dell'overhead e sacrificando un po' di RAM e CPU

Utilizzare l'opzione comp-lzo (deprecata) se si utilizzano client la cui versione è minore di 2.4

Altrimenti le opzioni consigliate sono

compress lz4-v2
push "compress lz4-v2"

In genere il pacchetto OpenVPN presente in tutte le distro contiene anche il relativo service file di systemd. In caso avessimo utilizzato una subdirectory, possiamo lanciare il demone con:

sudo systemctl start openvpn-(client|server)@<conf-file-name>.service

In caso avessimo copiato i file direttamente in /etc/openvpn:

sudo systemctl start openvpn@<conf-file-name>.service

Nel nostro caso:

sudo systemctl start openvpn-server@server.service

La configurazione client è molto simile a quella server. In questo caso chiameremo il nostro file di configurazione client.conf, e sposteremo tutti i file necessari nella directory /etc/openvpn/client. Per connetterci al nostro server sono necessarie le seguenti opzioni

client
remote myvpnserver.com 1194
ca ca.crt
cert client.crt
key client.key
tls-auth ta.key 1
comp-lzo            # se lo avete abilitato su server
auth SHA512         # se lo avete specificato su server
cipher AES-256-CBC  # se lo avete specificato su server

Per connetterci alla VPN:

sudo systemctl start openvpn-client@client.service

E' possibile concatenare il file di configurazione con i relativi certificati/chiavi client in un unico file tramite il tool ovpngen

# ls
ca.crt  client.crt  client.key ta.key
# /path/to/ovpngen myvpnhost.com ca.crt client.crt client.key ta.key > client.ovpn
# vim client.ovpn

Una volta generato è possibile importare il profile nelle app OpenVPN di vari OS, in modo da potersi connettere senza dover configurare nulla