[DrayOS5] VPN Host-to-LAN OpenVPN

Instrukcja konfiguracji routera DrayTek z systemem DrayOS 5 w roli serwera VPN (respondera) dla połączeń OpenVPN.

Routery DrayTek z systemem DrayOS 5 to m.in. seria Vigor C410, C510, 2136

Spis treści:
Serwer VPN – router Vigor
Klient VPN – Windows

Główne założenia przykładu:
– typ tunelu VPN: Host-to-LAN (Remote Access)
– protokół VPN: OpenVPN
– autentykacja: nazwa użytkownika i hasło
– urządzenia wykorzystują certyfikaty wygenerowane przez router Vigor
– adres WAN serwera VPN: stały (IP 1.1.1.1) lub zmienny (domenowy – vigor.drayddns.com)
– adres klienta VPN: zmienny lub stały (IP – 2.2.2.2)

Jeśli serwer VPN posiada zmienny publiczny IP to skorzystaj z dynamicznego DNS, aby komunikować się z routerem poprzez adres domenowy.
Zapoznaj się z przykładem [DrayOS5] Dynamiczny DNS (DrayDDNS).

Serwer VPN – router Vigor

Przejdź do zakładki System Maintenance / Device Settings / Time.
Zweryfikuj aktualny czas routera.
Upewnij się, że router używa serwera czasu NTP.

Przejdź do zakładki VPN / General Setup / Access Control.
Sprawdź czy router akceptuje połączenia.

Przejdź do zakładki VPN / General Setup / OpenVPN.
Włącz usługę OpenVPN.
Sprawdź ustawienia ogólne OpenVPN – wybierz algorytmy, włącz Certificate Authenication.
Wybierz Router Generate Certificates i kliknij przycisk Generate, aby router wygenerował certyfikaty.
Pomiń ten krok jeśli certyfikaty są już wygenerowane i używane przez klientów OpenVPN.
Proces może potrwać kilka minut.
Po jego ukończeniu pojawią się certyfikaty.
Wygenerowane certyfikaty są zlokalizowane w Configuration / Certificates.

Routery DrayOS 5 wspierają algorytmy AES-GCM (AES128-GCM, AES192-GCM, AES256-GCM), które są wymagane przez nowsze wersje klienta OpenVPN.

Przejdź do zakładki VPN / Teleworker VPN.
Kliknij Add aby dodać nowy profil
Wpisz nazwę użytkownika w polu Username (możliwe są różne formaty np. jkowalski, j.kowalski, jan.kowalski)
Włącz Teleworker VPN.
Wpisz hasło w polu Password
W sekcji General upewnij się, że profil jest aktywny.
W sekcji Teleworker VPN wybierz/wypełnij następujące pola:
– W polu Idle Timeout wpisz 0 jeśli Vigor ma pozostawić połączenie pomimo braku ruchu.
– Jako akceptowany protokół zaznacz OpenVPN
– Określ podsieć LAN z której będzie przypisywany adres IP

W profilu VPN możesz określić przypisywanie IP z LAN DHCP.
Profil podsieci LAN w Configuration / LAN /LANs posiada osobny zakres IP dla klientów VPN.
W profilu VPN możesz określić przypisywanie statycznego IP.

Przejdź do zakładki VPN / Teleworker VPN.
Kliknij OpenVPN Config Generator, aby stworzyć profil konfiguracji, który zaimportujesz do klienta VPN.
W ustawieniu Specify Server URL by określ publiczny adres IP routera albo nazwę domeny routera.
Kliknij przycisk Download Configuration, aby pobrać konfigurację klienta w pliku .ovpn .
Wyeksportowany plik .ovpn zawiera m.in. certyfikat zaufanego CA, certyfikat klienta oraz klucz prywatny klienta, gdyż w omawianym przykładzie włączona jest opcja “Certificate Authentication” oraz certyfikaty zostały wygenerowane przez router.

Po zestawieniu połączenia przez klienta VPN przejdź do zakładki VPN / VPN Connection Status / Teleworkers VPN.

Klient VPN – Windows

Przykład OpenVPN z Windows