how to install openvpn + heartbeat on ubuntu server

การเชื่อมต่อข้อมูลสำหรับองค์กร ในบางครั้งจะมีข้อมูลที่ไม่อยากเอาขึ้น internet อาจเป็นข้อมูลที่มีความลับจึงไม่อยากเสี่ยงที่จะเอาขึ้น internet ดังนั้นจึงทำเป็น intranet (สำหรับในเครือข่าย lan เดียวกัน) ขึ้น แต่เมื่อมี สาขา เพิ่มขึ้นความต้องการใช้ข้อมูลของสาขาแรกในสาขาใหม่ที่อยู่ห่างออกไปก็มี แนวทางในการแก้ปัญหาแนวทางหนึ่งก็คือ openvpn เป็นการเชื่อมโยงสาขาใหม่ให้เสมือนทำงานอยู่ที่เดียวกับสาขาแรก โดยในบทความนี้จะแสดงขั้นตอนการ install openvpn step by step พร้อมกับ install heartbeat เพื่อคอยตรวจสอบ openvpn server โดยมี openvpn server จำนวน 2 เครื่อง ดังรูปด้านบน
กำหนดให้ openvpn server 2 เครื่องคือ 192.168.2.21 ( primary ) and 192.168.2.22 ( slave )
กำหนด virtual ip 192.168.2.20 openvpn
กำหนด real ip 123.4.5.6 ( เป็น firewall ที่ทำการ forward port ไปที่ openvpn server )

[Server]

1. Install openvpn

   sudo apt-get install openvpn

2. Copy files from /usr/share/doc/openvpn/examples/easy-rsa to /etc/openvpn

   sudo mkdir /etc/openvpn/easy-rsa
   sudo cp -R /usr/share/doc/openvpn/examples/easy-rsa/2.0/* /etc/openvpn/easy-rsa/

3. Edit file vars

   sudo vi /etc/openvpn/easy-rsa/vars

   Change these lines

   export KEY_COUNTRY="TH" #Change to your Country
   export KEY_PROVINCE="CM" #Change to your Province
   export KEY_CITY=""
   export KEY_ORG=""
   export KEY_EMAIL=""
   

4. Setup CA and create server certificate

   cd /etc/openvpn/easy-rsa/
   sudo chown -R root:admin .
   sudo chmod g+w .
   source ./vars
   ./clean-all
   ./build-dh
   ./pkitool --initca
   ./pkitool --server server
   cd keys
   openvpn --genkey --secret ta.key
   sudo cp server.crt server.key ca.crt dh1024.pem ta.key ../../

5. Create certificate file for client

   cd /etc/openvpn/easy-rsa
   source ./vars
   ./pkitool

   note : change to user machine.
6. Configuring openvpn

   sudo vi /etc/openvpn/server.conf

   Change config :

   local 192.168.2.20   #virtual ip for heartbeat
   port 1194 
   # TCP or UDP server? 
   proto tcp 
   dev tun 
   ca /etc/openvpn/ca.crt 
   cert /etc/openvpn/server.crt 
   key /etc/openvpn/server.key  # This file should be kept secret 
   
   dh /etc/openvpn/dh1024.pem 
   server 192.168.201.0 255.255.255.0   #virtual ip for tunnel
   ifconfig-pool-persist ipp.txt 
   push "dhcp-option DOMAIN simdif.local" 
   push "dhcp-option DNS 192.168.2.1"           #DNS
   push "route 192.168.2.0 255.255.255.0" 
   push "route 192.168.201.0 255.255.255.0" 
   client-to-client 
   tls-auth ta.key 0 # This file is secret 
   comp-lzo 
   user nobody 
   group nogroup 
   persist-key 
   persist-tun 
   status openvpn-status.log 
   verb 4
   

7. Restart service openvpn

   sudo /etc/init.d/openvpn restart

8. ทำขั้นตอน 1-7 อีกครั้งกับเครื่อง openvpn server อีกเครื่อง
9. Install heartbeat

   sudo apt-get install heartbeat

10. Copy original config to /etc/ha.d/

    cd /usr/share/doc/heartbeat
    sudo cp ha.cf haresources authkeys /etc/ha.d/

11. Edit ha.cf

    sudo vi /etc/ha.d/ha.cf

    Check and edit configuration

    debugfile /var/log/ha-debug 
    logfacility     local0 
    keepalive 4 
    deadtime 60 
    warntime 10 
    initdead 120 
    udpport 694 
    bcast   eth0            # Linux 
    auto_failback on 
    node openvpnserver01 
    node openvpnserver02
    ping_group group1 192.168.2.21 192.168.2.22
    

12. Edit haresources

    sudo vi /etc/ha.d/haresources

    Change to :

    openvpnserver01 192.168.2.20 openvpn

13. Edit authkeys

    sudo vi /etc/ha.d/authkeys

    Change to :

    auth 2
    2 sha1 test-ha

14. Copy configuration file to 192.168.2.22

    cd /etc/ha.d
    scp ha.cf haresources authkeys username@192.168.2.22:

15. Go to 192.168.2.22 and copy file to /etc/ha.d

    cd ~
    sudo cp ha.cf haresources authkeys /etc/ha.d

16. Start heartbeat on the primary 192.168.2.21 and slave 192.168.2.22

    sudo /etc/init.d/heartbeat start

17. Create firewall NAT both vpn server

    sudo echo 1 > /proc/sys/net/ipv4/ip_forward
    sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

18. Edit file /etc/rc.local

    sudo vi /etc/rc.local

    Add 2 lines to configuration file

    sudo echo 1 > /proc/sys/net/ipv4/ip_forward
    sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
    exit 0
    

[Client]

1. Install openvpn

   sudo apt-get install openvpn

2. Copy certificate file from server ca.crt .crt .key ta.key to /etc/openvpn
3. Edit configuration

   sudo vi /etc/openvpn/client.conf

   Change to :

   client 
   dev tun 
   proto tcp 
   remote 123.4.5.6 1194 
   resolv-retry infinite 
   nobind 
   user nobody 
   group nogroup 
   persist-key 
   persist-tun 
   ca ca.crt 
   cert .crt 
   key .key 
   tls-auth ta.key 1 
   comp-lzo 
   verb 3
   log-append /var/log/openvpn.log
   

4. Restart service openvpn

   sudo /etc/init.d/openvpn restart

5. Check connection

   ifconfig

   tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00  
             inet addr:192.168.201.6  P-t-P:192.168.201.5  Mask:255.255.255.255 
             UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1 
             RX packets:152 errors:0 dropped:0 overruns:0 frame:0 
             TX packets:182 errors:0 dropped:0 overruns:0 carrier:0 
             collisions:0 txqueuelen:100 
             RX bytes:51111 (51.1 KB)  TX bytes:21776 (21.7 KB)