[시큐리티 팁!팁!팁!] OpenVPN을 이용한 VPN 구현

VPN의 종류와 필요성에 대해서는 많은 이들이 숙지하고 있다. 하지만 비용이나 불편함 때문에 실제 도입을 꺼려지는 경우가 상당수에 이르는데, 이는 오픈소스로 개발돼 배포중인 OpenVPN이라는 프로그램을 통해 극복할 수 있다. VPN 도입의 가장 큰 걸림돌이었던 비용 문제를 해결하면서 고성능의 VPN을 구현할 수 있도록 지원하는 OpenVPN의 특징에 대해 알아보자.

VPN의 종류와 필요성에 대해서는 많은 이들이 숙지하고 있다. 하지만 비용이나 불편함 때문에 실제 도입을 꺼려지는 경우가 상당수에 이르는데, 이는 오픈소스로 개발돼 배포중인 OpenVPN이라는 프로그램을 통해 극복할 수 있다. VPN 도입의 가장 큰 걸림돌이었던 비용 문제를 해결하면서 고성능의 VPN을 구현할 수 있도록 지원하는 OpenVPN의 특징에 대해 알아보자.

- OpenVPN은 하나의 UDP 포트를 통해 모든 트래픽을 터널링할 수 있다. 즉 웹 접속(HTTP)을 하거나 DNS 질의를 할 때(UDP/53), ping(ICMP)을 날려도 중간에 패킷을 캡처하면 500/UDP를 통해 전송되는 것처럼 보이게 한다.

- 모든 패킷이 VPN을 통해 터널링되고 압축 혹은 암호화됨에도 불구하고 시스템에 부하를 유발하지 않으며, 속도도 빠르다.

이외에도 OpenVPN은 많은 특징과 확장 가능성을 가지고 있다. 더 자세한 내용은 홈페이지(http://openvpn.net/)를 참고하기 바란다.

(그림 1)처럼 IDC 등의 전산 센터에 있는 서버에 VPN 데몬을, PC에 VPN 클라이언트 프로그램을 설치한다. 그 뒤 VPN 서버에 접속해 인증을 받으면, VPN 서버로부터 별도의 VPN용 IP를 할당받아 VPN 터널을 통해 접속할 수 있다.

물론 이때의 서버 접속은 인터넷은 물론 VPN 터널을 통해서도 가능하다.

·VPN 서버 설치와 설정

먼저 서버에서 VPN 데몬을 설정하자. OpenVPN에서는 TUN이나 TAP이라는 별도의 가상 인터페이스로 VPN 통신을 하므로, 우선 커널에서 이 드라이버를 지원하도록 다음과 같이 설정한 뒤 커널을 컴파일해야 한다.

[*]   Universal TUN/TAP device driver support

이후 디바이스를 설정하기 위해 다음의 명령어를 실행하는데, 이미 설정돼 있는 경우가 대부분이다.

# mkdir /dev/net
# mknod /dev/net/tun c 10 200
                         
다음으로 OpenVPN을 설치하기 전에 OpenSSL과 LZO라는 두 프로그램을 먼저 설치한다. 이들 프로그램은 VPN 이용 시, 패킷을 암호화하고 압축해 전송할 때 필요한 모듈로, 다음 사이트에서 다운로드해 설치하면 된다.
 
* OpenSSL : http://www.openssl.org/
* LZO      : http://www.oberhumer.com/opensource/lzo/

프로그램 설치가 끝났으면 OpenVPN 홈페이지에서 소스를 다운로드해 './configure ; make; make install'로 설치하면 된다. VPN 클라이언트와 서버 간 인증을 위해서는 인증서가 필요하므로 먼저 서버에서 인증서를 생성한다. 인증서를 생성할 때나 사인을 할 때는 OpenSSL을 이용하므로 미리 설치돼 있어야 한다.

먼저 Root CA 인증서와 비밀키를 생성해야 하는데, 다음 명령어를 실행하면 1년 동안 유효한 CA와 비밀키(개인키)를 생성할 수 있다.

# openssl req -nodes -new -x509 -keyout my-ca.key -out my-ca.crt -days 365

다음은 클라이언트와 서버에서 사용할 키를 각각 생성한다.

# openssl req -nodes -new -keyout client.key -out client.csr
# openssl req -nodes -new -keyout server.key -out server.csr

Root CA를 이용해 서버와 클라이언트 인증서에 각각 사인한다. 

# openssl ca -out server.crt -in server.csr
# openssl ca -out client.crt -in client.csr

다음으로 서버에서 암호화 협상 시 필요한 Diffe Hellman 파라미터를 생성한다.

# openssl dhparam -out dh1024.pem 1024

이제 나머지는 서버에 그대로 두고, client.crt와 client.key 그리고 my-ca.key 파일을 클라이언트 PC의 적당한 디렉토리로 복사하면 된다. 이제 서버의 설정 파일을 살펴보자.

[서버 설정 파일 - openvpn.conf]

port 500 : OpenVPN은 기본적으로 UDP를 이용해 패킷을 터널링해 전달하는데, 이때 포트는 사용되지 않은 어떤 포트를 사용해도 관계없다.

proto udp : 기본 값인 UDP를 사용하는 것이 좋다. TCP는 권장하지 않는다.

dev tap : OpenVPN 서버와 클라이언트 상호 통신에 필요한 인터페이스를 지정하는데, TUN이나 TAP을 지정할 수 있다.

ifconfig 10.105.11.1 255.255.0.0 : VPN 서버가 사용할 IP를 지정한다. TAP에 이 IP가 할당돼 원격지 PC와  통신할 수 있게 되는데, 가급적 사용하지 않는 사설 IP를 사용하는 것이 좋다.

keepalive 10 120 : 클라이언트와 서버 간에 VPN 연동이 활성화됐는지 체크하기 위해 사용되는데, 매 10초마다 ping을 발송해 120초 동안 응답이 없으면 원격지의 네트워크가 다운된 것으로 파악한다는 의미다.

comp-lzo : 압축 알고리즘을 사용하도록 한다. 서버에 이 같이 설정했다면, 클라이언트에도 동일하게 설정하도록 한다.

persist-key
persist-tun
user nobody          
group nobody   
: 초기화된 후에 OpenVPN 데몬이 nobody 권한으로 작동하도록 한다. 

status       openvpn-status.log
log          openvpn.log              
log-append  openvpn.log
: OpenVPN의 로그를 생성하는 설정이다.

tls-server : SSL 키 교환 시에 서버 역할을 하므로 tls-server로 지정한다.

dh  dh1024.pem
ca  my-ca.crt             
cert  server.crt                  
key server.key
:  CA 파일이나 인증서의 공개키 혹은 비밀키를 지정한다.

이후 서버에서 --mode server를 추가해 다음과 같이 실행하면 앞에서 지정한 포트로 데몬이 작동하는 것을 확인할 수 있다.

# openvpn --config /etc/server.conf --daemon --mode server

·VPN 클라이언트 설치와 설정

다음으로는 윈도우 PC의 클라이언트 프로그램 설정에 관한 내용을 살펴보자. 윈도우 클라이언트 프로그램으로는 OpenVPN GUI라는 프로그램이 많이 사용되는데, 웹 사이트(http://openvpn.se/)에서 다운로드해 설치하면 된다. 설치 이후 '시작->프로그램->OpenVPN'을 선택하면 다음과 같은 메뉴가 보이는데, 여기에서 OpenVPN GUI를 실행하면 된다. 이후 우측의 트레이에 생긴 아이콘에 오른쪽 마우스를 클릭하면 사용 가능한 메뉴가 나오는데, 여기에서 Edit Config를 선택하면 메모장이 뜨면서 설정작업을 진행할 수 있다. 서버 설정과 크게 다르지 않으므로 쉽게 이해될 것이다.
                 

(화면 1) OpenVPN 메뉴

[클라이언트 설정 파일 - config.ovpn 파일]

remote 220.11.xx.xx : VPN 데몬이 설치돼 있는 서버의 IP를 설정한다.

port 500 : VPN 서버와 통신할 포트를 지정해야 하는데, 서버에서 지정된 포트와 동일한 포트를 설정한다.

proto udp : 역시 기본 값인 UDP를 사용하도록 한다.

dev tap : 앞의 서버와 동일하게 설정한다.

ifconfig 10.105.11.3 255.255.0.0 : VPN 클라이언트 PC에 할당할 IP를 지정한다.

ping 10
verb 4       
: 상호간에 망이 살아있는지 확인하기 위해 매 10초마다 ping을 발송한다. 로그 수준은 4로 지정한다.
 
comp-lzo : 서버에서 지정한대로 압축 알고리즘을 지정한다.

tls-client : SSL을 통한 클라이언트 역할을 하므로 tls-client라고 정의한다.
 
ca my-ca.crt
cert client.crt         
key client.key
: 서버에서 살펴본 바와 같이 CA와 클라이언트 키를 지정한다. 나머지는 앞에서 살펴본 내용과 동일하다.

설정이 끝난 후 PC에서 OpenVPN GUI를 실행하면 (화면 2, 3과) 같이 서버와 클라이언트 간에 VPN 연동이 되는 것을 알 수 있다. 

(화면 2)OpenVPN GUI를 통해 연결된 화면

(화면 3)VPN 연결 후 IP 할당 화면

설정이 끝나면 VPN에서 지정된 IP를 할당받게 되고, 비공인 VPN IP로 접속하면 VPN을 통해 안전하게 터널링돼 접속하게 된다. 이때의 VPN 트래픽은 암호화되고 터널링되므로 누군가가 중간에서 가로챘다 하더라도 패킷 내용을 해석할 수 없으므로 스니핑이 불가능하다. 한편, 패킷을 터널링하는 과정으로 인해 다소 속도가 저하될 수 있으나 거의 인지할 수 없는 수준이다.

VPN을 이용하면 패킷을 암호화하는 것뿐만 아니라 파이어월을 사용할 때도 매우 편리하다. 외국  출장 등을 이유로 외부에서 접속하더라도 VPN을 통하면 항시 고정된 IP를 사용할 수 있기 때문이다. 따라서 파이어월에서는 접속을 허용해야 할 사용자가 유동 IP를 사용하더라도 단 한 개의 UDP 포트만 허용하면 되기 때문에 보안과 편리함 모두를 만족시킬 수 있다.
지금까지 단순하면서도 가장 많이 사용하는 구조에서의 VPN 활용 방법에 대해 살펴봤다. VPN은 이외의 다양한 환경에서도 응용이 가능하므로 홈페이지를 통해 자세한 내용을 참고하기 바란다.

작성자 : 홍석범 | 오늘과 내일 차장

작성일 : 2006년 7월호

원   문 : http://www.ionthenet.co.kr/newspaper/view.php?idx=11247

Bridge방화벽구축툴

sshscan

Crontab사용하기

Linux 명령어

출처 : http://www.x2chi.com/59


리눅스 네트워크 설정하기..

리눅스를 시작한지 벌써 2개월이 넘어갔는데ㅡ (사실 1주일에 4시간씩밖에는;;)

네트워크 설정을 못하고 있었다 ㅡ

BUT!!! 드디어 해낸거다!!!

도대체가 어딜가도 네트워크 설정하는게 자세히 나와있지를 않아서;;

고생 좀 했다;

뭐가 ㅡ 나와있어도 이해가 되야 말이지;

학교컴이건 집컴이건 어디 컴이건,, 다들 네트워크 상태가 다르고,, 막 그래서 그럴지도;;

에ㅡ 여튼 이 글은 우송공업대학 정보과학관 4층 414호 컴터를 기준으로 씁니다!!

아ㅡ 그리고 이거는 정말 우연치 않게 얻어 걸린거라,;

다른 컴퓨터는 해서 될지 안될지 절대로 모름!!!!,;

그러니 내탓말아요,;

자자 다시 주의사항 알립니다.

*우송공업대학 정보과학관 4층 414호 컴터 기준이므로 다른 컴터에서는 안될수도 있음*

*절대적으로 우연히 건져낸것이므로, 명령어나 그에 대한 의미는 정확히 알아낼수 없었음

< 나중에 내용추가가능성있음 *

*무턱대고 정말 잘못따라할시에는 리눅스에 큰 치명타가 될 수도 있음 < *

자ㅡ 여기서 사용할 명령어는 단 4가지!!!

① vi /etc/sysconfig/network

② vi /etc/sysconfig/network-scripts/ifcfg-eth0

③ vi /etc/resolv.conf

④ /etc/rc.d/init.d/network restart

공부좀 하신분들이라면, ㅡ 아 이 명령어!

라고 하실지는 모르겠지만,;

본좌는 아직도 1,2,3번에 대한 정보는,;; 별로,;

그리고 별로 손대지 않아도 되는 것도 상당수다, -_- 여튼 패스하시고,

자자ㅡ 이제 시작해 볼까요?

① vi /etc/sysconfig/network

1번 명령어 vi /etc/sysconfig/network는 한마디로 네트워크 상태를 보는 명령어이다.

분명히 분명히 414호 기준으로는2줄이 나온다

여튼, 이거는 솔직히 건들 필요가 없다;

무슨 소리인지는 잘 모르겠으나 ㅡ ;;;;;;;

게이버 지식인에 의하면

파일 이름 : /etc/sysconfig/network

 NETWORKING=yes

: 통신이 되도록 지원할 것인가의 여부

 HOSTNAME=bluestorm.co.kr

: 서버의 호스트네임(Hostname)을 설정

 GATEWAYDEV=eth0

: Default Gateway 장치명

 GATEWAY=192.168.0.1

: 시스템 전체의 Default Gateway(각 interface에서 따로 gateway를 설정하면 그것이 우선)

 FORWARD_IPV4=no

: 시스템이 라우터 역할을 할 것인지 여부, 패킷 포워딩을 수행할 경우는 yes 그렇지 않을 경우는 no 설정

라고 한다 ㅡ;

나중에 본좌가 이해가 가면 다시 쉽게 설명해서 올리도록 하겠다 ㅡ

자ㅡ 다음 명령어, <!!

③ vi /etc/resolv.conf

왜 3번부터야 ㅡ 2번안했어! 라고 하셨다면 일단 2번은 패스, < 입니다ㅡ

그 이유는 2번이 가장중요하기때문에, < 뒤로,;

일단 3번 명령어 또한 건들 필요가 없습니다ㅡ

다만 네트워크 연결된것과 연결되지 않은것에 각각 이 명령어를 쳐보았을때

확연히 다른게 나오는, -ㅅ -!!

네트워크가 설정된곳에서는

라고 뜨게 됩니다.

네임서버도 정확히 안잡혀있는 경우가 많습니다.

여튼 ㅡ 이곳은 네트워크가 연결되면 자동으로 바뀌니 패스하겠습니다,

자ㅡ 다음으로 제일 중요하다는 <

② vi /etc/sysconfig/network-scripts/ifcfg-eth0

명령어가 되겠습니다,//

이 명령어를 쳐보시면 네트워크 연결안된거는 무슨 숫자 다닥다닥 써있고 ㅡ 그러실겁니다ㅡ

but!!! 그 숫자를 자신의 네트워크 상태에 따라서 아이피를 바꾸고 별짓을 다해도 안된다는거!!

해결책은 바로 여깁니다!!!!!!!!!!!!!!!!!!!!!!!!!!!!

저는 ㅡ 어떻게 알아냈냐면,;

네트워크 연결된것과 연결되지 않은것에 각각 똑같이 쳐봤는데 ㅡ 상당히 다른 문구가 나오더군요;

에라 모르겠다 라며 < ;; 그냥 네트워크 연결된것을 똑같이 그냥 써넣었습니다ㅡ ;

단지 그뿐입니다;;;

자ㅡ 자세히 보실까요!!

이거는 명령어를 쳤을때 네트워크가 안잡힌 컴퓨터에서 나타나는 문구들, <

리눅스의 DNS

• /etc/resolv.conf

  • name server의 주소를 지정 

• /etc/hosts

  • ip 주소에 해당하는 dns를 명시해 놓은 파일
  • 만약 hosts 파일에 해당 도메인 네임이 있을 경우 name server에 질의하지 않음

• /etc/named.conf

  • 네임서버 데몬이 시작될때 제일 먼저 읽어 들이는 파일 

• IP 주소를 얻는 절차

• • URL을 입력

  • /etc/host.conf 파일을 조회하여 우선순위를 확인

    • order hosts,bind : 순서는 hosts, 그 후 nameserver를 찾음 
  • 우선 순위가 /etc/hosts 이므로, 이 파일에서 검색
  • /etc/hosts에 해당 도메인 네임이  있을 경우 IP 주소를 획득
  • 만약 hosts 파일에 없다면, /etc/resolv.conf에 nameserver 부분이 있는지 확인
  • nameserver에 IP 주소를 질의

네임서버가 작동하는 순서

• 도메인을 입력(www.readhat.com)
• /etc/resolv.conf를 검색하여 로컬 네임서버를 알아냄
• 로컬 네임 서버에 도메인을 질의(www.redhat.com)
• 없을 경우 루트 네임서버에 도메인의 주소를 질의를 하면 com을 관리하는 네임 서버의 주소를 알려줌
• com 서버에 www.redhat.com을 질의 하면, redhat.com을 관리하는 네임 서버의 주소를 알려줌
• redhat.com에 www.redhat.com의 주소를 질의 
• redhat.com은 레드헷사에서 구축한 네임 서버이므로 ???.redhat.com이라는 이름을 가진 컴퓨터 목록은
  모두 가지고 있다. 그러므로, www.redhat.com의 ip 주소를 알려줌
• PC는 획득한 IP주소로 접속을 시도

• 마스터 네임서버

  • ???.hanyang.ac.kr과 같은 도메인에 속해 있는 컴퓨터 

즉, inode 블럭에 링크된 모든 링크가 삭제되야 data 블럭의 파일이 지워짐.

☆ Link

Hard link : 원본 파일과 동일한 inode 블럭 이용.  원본 파일 data와 링크

Soft link  : 원본 파일과 다른 inode 블럭 이용.  원본 파일 포인터와 링크

<  링크 구조와 파일 시스템 >

하드링크 :

#  ln  <링크 대상 파일명>  <링크 파일명>   // 원본파일 삭제 or 경로 변경과 무관, 원본과 동일한 크기

소프트 링크 :

#  ln  -s  <링크 대상 파일명>  <링크 파일명>   // 원본파일 삭제 or 경로 변경시 쓸모 없어짐, 아주 작은 크기

페도라 네트워크 설정하는데 완젼 삽질했음..
다른게 아니라 DNS 에서 완젼 캐삽질....
dns 설정은 보통 인터넷으로 검색해 보니 resolv.conf 를 수정해주면 된다고 나와있다.

#vi /etc/resolv.conf

참고로 저는 페도라9을 설치 했는데 service network restart 했더니 resolv.conf 파일이 초기화 되어있다.
근데 resolv.conf 파일을 열어보면 자동으로 생성되는 파일이라고 수정하지 말라고 씌여 있다.

그래서 혹시나 해서 ifcfg-eth0 을 수정해봤다.

#vi /etc/sysconfig/network-scripts/ifcfg-eth0

DEVICE=eth0
BOOTPROTO=static
HWADDR=XXXXXXXXX
ONBOOT=yes
NM_CONTROLLED=yes
IPADDR=XXX.XXX.XXX.XXX
NETMASK=255.255.255.0
GATEWAY=XXX.XXX.XXX.XX
DNS1=XXX.XXX.XXX.XX
TYPE=Ethernet
USERCTL=no
PEERDNS=yes
IPV6INIT=no

DNS1 이 부분을 추가해줬더니 된다..

파일을 열어 확인해 봤더니 nameserver 가 추가되어 있다. ^ㅆ^

#vi /etc/resolv.conf

# generated by NetworkManager, do not edit!
nameserver 192.203.138.11

와.. . 이거 하나 때문에 얼마나 삽질했는지..
외부에서 telnet 접속은 되지만
ping 을 입력해보면 호스트를 찾을 수 없다.
그리고 yum update 를 했을때, 혹은 yum 을 이용해서 뭔가 설치하려고 하면 아래와 같은 오류가 발생 할
수 있다.

[Errno 4] IOError: <urlopen error (-3, ....

이럴땐 DNS 설정을 해주면 해결이 된다.


출처 : http://chery.tistory.com/119 님....

Linux(리눅스)에서 open port check하기

Ubuntu(우분투)에서 열려있는 포트 목록 보기

# nmap -v 서버아이피

이렇게 입력하면 다음과 같이 결과가 뜹니다.

Not shown: 1705 closed ports PORT    STATE SERVICE 21/tcp  open  ftp 22/tcp  open  ssh 25/tcp  open  smtp 53/tcp  open  domain 80/tcp  open  http 110/tcp open  pop3 143/tcp open  imap 993/tcp open  imaps 995/tcp open  pop3s

혹시라도 설치가 되어있지 않다면 Ubuntu 유저는 다음과 같이 입력하면 nmap을 설치할 수 있습니다.

# apt-get install nmap [출처] linux에서 열린 포트 확인 하기|작성자 말러팔삼

환경 변수는  리눅스를 기준으로

해당 계정에만 설정 하는경우

  .bash_profile 에 정의 하거나

  /etc/profile 에 정의를 해둘수가 있습니다.

 /etc/profile 에 정의를 하면 모든 사용자들이 오라클을 사용할수 있습니다.

Xlib: connection to ":0.0" refused by server

이 에러의 경우 에러 메세지는 remote 시스템 또는 windows의 terminal창에서 GUI환경의 Application을 실행하였을때 발생 하며 아래와 같은메시지가 출력 됩니다.

Xlib: connection to ":0.0" refused by server
Xlib: Client is not authorized to connect to Server
Error: Can't open display: :0.0

위의 에러가 발생하면 remote 시스템 또는 windows의 terminal창에서 login한 후 아래의 명령을 실행하여 local 시스템이 remote 시스템의 access control list에 포함 되도록 한다.

# xhost "local-system-hostname"

예) local 시스템의 hostname이 "bigom"이라면 아래와 같이 지정한다.

# xhost  test
cat being added to access control list

특정한 호스트 외에 다른 모든 시스템을 access control list 에 추가하려면 아래와 같이 지정한다.

# xhost +
access control disabled, clients can connect from any host

PATH=$PATH:/usr/local/bin:/bin:/usr/bin:/usr/X11R6/bin

cat /etc/issue

wget http://dag.wieers.com/packages/lzo/lzo-1.08-4.2.el4.rf.i386.rpm
 wget http://dag.wieers.com/packages/lzo/lzo-devel-1.08-4.2.el4.rf.i386.rpm
 rpm -Uvh lzo*

 ## open vpn 받아서 rpm 만들고 설치
 wget http://openvpn.net/release/openvpn-2.0.7.tar.gz
 rpmbuild -tb openvpn-2.0.7.tar.gz
 rpm -Uvh  /usr/src/redhat/RPMS/i386/openvpn-2.0.7-1.i386.rpm

3. 인증서 생성 - 서버
  인증성 생성은 필수이다. 다음과 같이 생성한다.

 1) CA 생성 (상위 인증기관)
   cd /usr/share/doc/openvpn-2.0.7/easy-rsa/
   #vars 파일을 열어서 맨 마지막 줄을 수정한다.!!
     export KEY_COUNTRY=KR
     export KEY_PROVINCE=NA
     export KEY_CITY=BUSAN
     export KEY_ORG="superuser.co.kr"
     export KEY_EMAIL="doly@suidc.com"
  ####################################
  #인증서 생성시 마다 넣는게 귀찮아서 이렇게 정의 하는 것이니 하지 않아도 무관^^;
  . ./vars
  ## 위 명령은 , vars내용을 include한다는 명령이다.
  ./clean-all
  ## 기존에 생성된 것이 있으면 모두 삭제한다.
  ./build-ca
  ## CA 인증서를 생성한다.
  ## 이렇게하면 keys라는 폴더에 ca.key(개인키), ca.crt(공개인증서)가 생성된것을 확인한다.
  ## ca.crt파일은 모든 클라이언트에 배포. ca.key는 서버만 가지고 있음.

 2) 서버키 생성 (서버에 사용될 인증서 및 개인키)
   ./build-key-server server
  ## 뭐 많이 물어보는데 대충 대답하고 , y를 누른다.
Common Name 을 물어 오면 'server'를 입력한다. 그리고 다음 두개의 질문에 Yes 라고 답한다.
Sign the certificate? y/n
1 out of 1 certificate requests certified, commit? y/n
  # keys 디렉토리에 server.crt  server.key 등이 생긴것을 확인할수 있다.
  # 이 키들은 CA에 의해 사인된 인증서이다.
  # server.crt, server.key 모두 서버에만 사용

 3) 클라이언트키 생성 (클라이언트에 사용될 인증서)
   ./build-key client
  ## 뭐 많이 물어보는데 대충 대답하고 , y를 누른다.
Common Name 을 물어 오면 'client'를 입력한다. 그리고 다음 두개의 질문에 Yes 라고 답한다.
Sign the certificate? y/n
1 out of 1 certificate requests certified, commit? y/n
  # keys 디렉토리에 client.crt client.key 를 볼 수 있다.
  # 이 키들은 CA에 의해 사인된 인증서이다.
  # client.key, client.crt 모두 클라이언트에만 사용됨.

 4) Diffie Hellman 파라메터 생성(암호화에 필요한 놈)
  ./build-dh
  # keys디렉토리에 dh1024.pem 파일이 생긴것을 확인할 수 있다.
  # dh1024.pem은 서버에만 가지고 있는다.

 5) 클라이 언트용 파일 복사 및 보관
    mkdir -p /root/client-keys
    cp keys/ca.crt keys/client.* /root/client-keys
    cd /root
    zip client-keys.zip client-keys/*

4. 설정파일(server.conf)파일 복사 및 편집 - 서버
 1) 설정파일 및 키 복사
    cd /usr/share/doc/openvpn-2.0.7/
    cp sample-config-files/server.conf /etc/openvpn/
    cp easy-rsa/keys/server.* /etc/openvpn/
    cp easy-rsa/keys/dh1024.pem /etc/openvpn/  
    cp easy-rsa/keys/ca.* /etc/openvpn/
   
 2) 설정파일 편집.(/etc/openvpn/server.conf)
    server 10.1.1.0 255.255.255.0
    client-to-client
    duplicate-cn
    max-clients 100
    plugin /usr/share/openvpn/plugin/lib/openvpn-auth-pam.so login

   ## 설명
   # sever 네트웍 설정은 10.1.1.0으로 한다.
   # client-to-client : 클라이언트 끼리 통신 가능하게
   # duplicate-cn : client인증서 하나로 여러대의 PC에서 사용할 수 있게한다.
   # max-clients 100 : 연결수를 100으로 제한한다.
   # plugin .... : user/pass인증을 받는다. (시스템 계정)

 3) G/W로 VPN서버를 쓰기 때문에 인터넷 공유 설정.
    echo 'iptables -t nat -A POSTROUTING -s 10.1.1.0/24 -o eth0 -j MASQUERADE' >> /etc/rc.d/rc.local
    iptables -t nat -A POSTROUTING -s 10.1.1.0/24 -o eth0 -j MASQUERADE
    iptables -t nat -L

참고자료 > VPN 구축 (via OpenVPN) 글쓴이 : doly™     날짜 : 07-03-06 15:56    

리눅스 서버를 이용한 자바 개발 환경 구축

설치할 항목들

• 리눅스서버 : SULinux 1.5 Server

  • 커널 : kernel-2.6.9
• DB서버 :  MySQL 4.1
• WAS 서버 :  JBoss 4.2.2
• 형상관리 서버 :  Subversion 1.1.4
• 이슈관리 서버 :  Trac 0.10.4

1. 리눅스 서버운영 환경 구축

   1. 설치 순서 : 리눅스 -> JDK -> JBoss -> MySQL -> Subversion -> Trac

   2. 리눅스 설치
      

      • 버전 : SULinux 1.5 Server
      • 다운로드 : http://www.sulinux.net/1.5/download.php
      • 파일명 : SULinux-Server-1.5-i386.iso

      • 설치 후 yum repository site를 centos 4 로 변경합니다. (subversion 관련 패키지가 SULinux repository에는 없으므로)

        ]# vi /etc/yum.repos.d/SULinux-Base.repo
        1. ### SULinux-Base.repo 파일 ###[base]
           name=SULinux-$releasever - Base
           #mirrorlist=http://www.sulinux.net/mirrorlist/?release=1&arch=i386&repo=os  <- 주석처리
           baseurl=http://mirror.centos.org/centos/4/os/$basearch/ <- 추가
           gpgkey=http://mirror.centos.org/centos/4/os/$basearch/RPM-GPG-KEY-centos4 <- 추가
           #baseurl=http://ftp.sulinux.net/pub/SULinux/1/os/$basearch/
           gpgcheck=0
           #released updates
           [update]
           name=SULinux-$releasever - Updates
           #mirrorlist=http://www.sulinux.net/mirrorlist/?release=1&arch=i386&repo=updates <- 주석처리
           baseurl=http://mirror.centos.org/centos/4/updates/$basearch/  <- 추가
           #baseurl=http://ftp.sulinux.net/pub/SULinux/1/updates/$basearch/
           gpgcheck=0
           

      • 최신으로 update 한다

        ]# yum update

      • 시스템 점검 결과 보고와 관련된 /root/bin/sbin/system_check_port 스크립트 파일의 버그를 고친다.

        파일 중간에 lsof 명령 실행 부분을 절대경로로 바꿔준다.

        ]# vi /root/bin/sbin/system_check_port
        1. ### system_check_port 파일 ###
        2. lsof -P -> /usr/sbin/lsof -P
           
      • 참고: http://www.sulinux.net/bbs/board.php?bo_table=qna_1_0&wr_id=2707&page=9

      • FTP 를 이용해 자료를 업로드할 계정을 생성한다. (각자 원하는 사용자 계정 추가)

        ]# adduser hibuz

        ]# passwd hibuz

   3. JDK 설치
      

      • 버전 :  Java(TM) SE Development Kit 6 Update 5
      • 다운로드 : http://java.sun.com/javase/downloads/index.jsp
      • 파일명 : jdk-6u5-linux-i586.bin

      • 이전에 생성한 계정으로 다운로드 받은 파일을 ftp로 서버에 업로드 합니다. ex) user: hibuz
        설치할 경로로 파일을 옮깁니다. 여기서는 /usr/local 에 JDK를 설치할 것 입니다.

        ]# mv /home/hibuz/jdk-6u5-linux-i586.bin /usr/local/

      • 퍼미션을 확인하여 파일이 실행 가능하도록 권한을 설정합니다.

        ]# cd /usr/local/

        ]# chmod 755 jdk-6u5-linux-i586.bin

      • 파일을 실행시켜서 JDK를 설치합니다.

        ]# ./jdk-6u5-linux-i586.bin

      • 먼저 화면에 사용권 계약이 출력됩니다. [스페이스]를 누르면 페이지 단위로 이동합니다.
        끝까지 이동해서 Do you agree to the above license terms? [yes or no] 메시지가 보이면 y 또는 yes를 입력합니다.
        압축이 풀리면서 JDK가 설치되고 나면 설치 파일은 삭제 합니다.

        ]#  rm jdk-6u5-linux-i586.bin

      • /usr/local/jdk 디렉토리로도 접근 할 수 있도록 절대경로로 symbolic link 를 만듭니다.

        ]# ln -s /usr/local/jdk1.6.0_05 /usr/local/jdk

      • etc/profile 파일을 에디터로 열어서 파일 첫부분에 JAVA_HOME을 추가 합니다.

        ]# vi /etc/profile
        1. ### profile 파일 ###
        2. JAVA_HOME=/usr/local/jdk
        3. PATH=$PATH:$JAVA_HOME/bin
        4. export JAVA_HOME

      • 변경된 설정을 시스템에 적용시킵니다.

        ]# source /etc/profile

      • 임의의 위치에서 실행시켜 봤을때 java version "1.6.0_05" 메시지가 나오면 성공적으로 설치된 것입니다.

        ]# java -version

   4. JBoss 설치
      

      • 버전 : JBoss application server 4.2.2
      • 다운로드 : http://labs.jboss.com/jbossas/downloads
      • 파일명 : jboss-4.2.2.GA.zip

      • 다운로드 받은 파일을 ftp로 서버에 업로드 한 후 /usr/local/ 디렉토리로 파일을 옮깁니다.

        ]# mv /home/hibuz/jboss-4.2.2.GA.zip /usr/local/

      • 다운받을 주소를 알고 있을 경우 wget 명령어로 받아도 됩니다.

        ]# cd /usr/local

        ]# wget http://jaist.dl.sourceforge.net/sourceforge/jboss/jboss-4.2.2.GA.zip

      • 압축을 해제한 후 압축 파일은 삭제 합니다.

        ]# cd /usr/local
        ]# unzip jboss-4.2.2.GA.zip

        ]# rm jboss-4.2.2.GA.zip

      • jboss_init_redhat.sh 파일을 수정한다.

        ]# vi /usr/local/jboss-4.2.2.GA/bin/jboss_init_redhat.sh
        1. ### jboss_init_redhat.sh 파일 ###
        2. JBOSS_USER=${JBOSS_USER:-"root"}
        3. JBOSSSH=${JBOSSSH:-"$JBOSS_HOME/bin/run.sh -c $JBOSS_CONF -b 0.0.0.0"}

      • jboss-4.2.2.GA 디렉토리를 jboss 디렉토리로도 접근 할 수 있도록 절대경로로 symbolic link 를 만듭니다.

        ]# ln -s /usr/local/jboss-4.2.2.GA /usr/local/jboss

      • 부팅시 JBoss가 자동으로 실행되도록 절대경로로 symbolic link 를 만듭니다.

        ]# ln -s /usr/local/jboss/bin/jboss_init_redhat.sh /etc/rc.d/init.d/jbossd

        ]# cd /etc/rc.d/rc0.d

        ]# ln -s ../init.d/jbossd K72jbossd

        ]# cd /etc/rc.d/rc3.d
        ]# ln -s ../init.d/jbossd S72jbossd

      • 시스템 체크 관련 설정 파일의 실행 프로세스 항목에 run.sh를 추가한다.

        ]# vi /root/conf/su_util.cfg
        1. ### su_util.cfg 파일 ###
        2. ############## 시스템 채크 관련 설정 ###################
        3. # 관리자 메일주소 (여러명에게 보낼시 공백으로 띄워주세요)# 시스템 점검 결과를 보낼 메일 주소
           system_mailto = test@hibuz.com <- 메일 주소를 적어주면 시스템 점검 결과가 하루마다 메일로 전달된다.
           proclist = run.sh <- 추가
           

      • JBoss 를 시작한다.

        ]# service jbossd start

      • 방화벽에서 8080 포트를 열어준다. (방화벽 설정 > 사용자 설정 > 그 외의 포트 > 맨끝에 8080:tcp 추가 > 확인 > 확인 > 종료)

        ]# setup

      • 웹 브라우져로 확인한다.

        http://(설치한 IP주소 또는 도메인):8080/

   5. MySQL 설치
      

      • 버전 : MySQL 4.1.20

      • yum update 명령으로 MySQL을 설치한다. (의존성을 가진 패키지들을 같이 설치한다.)

        ]# yum install mysql-server
      • 설치후 서비스를 자동으로 시작할 수 있도록 선택해준다. (시스템 서비스 > mysqld 선택 > 확인 > 종료)
        ]# setup

      • mysql을 시작한다.

        ]# service mysqld start

      • 초기 설치시 root 암호가 지정되어 있지 않아 보안상 위험하므로 비밀번호를 설정합니다.

        ]# mysqladmin -uroot -p password testpw <- 원하는 비밀번호 설정

      • mysql DB에 접속해 새로운 원격 사용자를 추가합니다. (호스트를 %로 하면 어떤 곳에서든 접속만 할 수 있음)

        ]# mysql -uroot -ptestpw mysql
        mysql> insert into user (host, user, password) values ('%', 'hibuz', password('testpw'));  <- 원하는 아이이 및 비밀번호 설정

      • 새로운 DB를 생성해서 권한을 주고 테스트용 테이블을 생성합니다.
        (호스트를 %로 해서 어떤 곳에서든 접속할 수 있고 hibuz 사용자에게 hibuzdb의 모든권한 부여)

        mysql> create database hibuzdb; <- 원하는 DB 생성

        mysql> insert into db values('%','hibuzdb','hibuz', 'Y','Y','Y','Y','Y','Y','Y','Y','Y','Y','Y','Y');

        mysql> use hibuzdb;
        mysql> create table test_table (
            ->   id int not null auto_increment primary key,
            ->   foo varchar(25),
            ->   bar int);
        mysql> insert into test_table values(null, 'hello', 12345);
        mysql> flush privileges; <- MySQL 서버 재시작 없이 사용자 정보가 반영되도록 하기 위함
        

   6. Subversion 설치
      

      • 버전 : Subversion 1.1.4

      • yum install 명령으로 subversion을 설치한다. (아파치 웹서버를 포함한 의존성을 가진 패키지들이 같이 설치된다.)

        ]# yum install mod_dav_svn

      • https 프로토콜을 사용할 수 있도록 mod_ssl 패키지도 같이 설치한다.

        ]# yum install mod_ssl

      • 설치후 서비스를 자동으로 시작할 수 있도록 선택해준다. (시스템 서비스 > httpd 선택 > 확인 > 종료)

        ]# setup

      • SULinux 의 환경설정 파일을 고쳐준다.

        ]# vi /root/conf/su_util.cfg
        1. ### su_util.cfg 파일 ###
        2. ################# mysql 관련 셋팅 ###################
           # mysql bin 디렉토리를 설정합니다. 예) mysql_bin_dir = /usr/local/mysql/bin
           mysql_bin_dir = /usr/bin
        3. ## mysql 데이터 디렉토리
           mysql_data_dir = /var/lib/mysql
        4. ################# 아파치 관련 셋팅 ################
           ## apache bin 샐행 스크립트 위치 예) /usr/local/apache/bin/apachectl
           apache_bin_ctl = /etc/rc.d/init.d/httpd
        5. ## apache conf 디렉토리 예) /usr/local/apache/conf
           apache_conf_dir = /etc/httpd/conf
        6. ## htpasswd 명령어 위치
           htpasswd_path = /usr/bin/htpasswd
        7. ## 결과를 생성할 웹 절대 경로
        8. web_dir = /var/www/html/ssu
        9. ## 웹인증 아이디 (웹인증을 yes 했을때만 사용)
           htuser = admin <- 웹 시스템 점검 페이지(http://설치 IP/ssu) 에 접근시 계정 설정 [system_check 명령을 실행시키면 확인가능]
           ## 웹인증 패스워드 (웹인증을 yes 했을때만 사용)
           htpass = sulinux
           

      • 설정 변경후 이를 적용해 준다.

        ]# system_check_init --all

      • 설치 후 svnadmin 명령어로 파일 시스템을 이용한 저장소를 만들고 권한을 변경합니다.

        ]# mkdir /home/svnroot

        ]# cd /home/svnroot

        ]# svnadmin create repos1 --fs-type fsfs
        

        ]# chown -R apache.apache repos1

      • svn 사용자 계정을 만든다.

        ]# cd /etc/httpd/conf

        ]# htpasswd -c passwd hibuz  <- https프로토콜을 이용해 svn을 이용할 별도의 계정, 처음 추가할 때만 -c옵션을 사용하고 다음 계정을 추가할 때는 -c 옵션을 빼고 사용한다.

        NewPassword:

        Re-type new password:
        

      • https 프로토콜로 svn에 접근할 수 있도록 환경을 설정합니다.
        /etc/httpd/conf.d/ssl.conf 파일의 마지막 부분의 </VirtualHost> 태그 안쪽에 <Location>을 다음과 같이 추가 합니다.
        접근은 아무나 가능하고 commit만 사용자 계정이 필요한 경우임

        ]# vi /etc/httpd/conf.d/ssl.conf
        1. ### ssl.conf 파일 ###
        2. <Location /svnroot>
             DAV svn
        3.   SVNParentPath /home/svnroot
        4.     AuthType Basic
        5.     AuthName "Hibuz's Repository"
        6.     AuthUserFile /etc/httpd/conf/passwd
        7.         <LimitExcept GET PROPFIND OPTIONS REPORT>
        8.             Require valid-user
        9.         </LimitExcept>
        10. </Location>
        11. </VitualHost>

      • 아파치를 시작 한다.

        ]# service httpd start

      • 웹 브라우져로 확인한다.

        https://(Subversion과 Apache를 설치한 IP주소 또는 도메인)/svnroot/repos1

   7. Trac 설치
      

      • 버전 : Trac 0.10.4

      • yum install 명령으로 trac 을 설치하기 위해 Red Hat EL Repository를 추가한다.

        ]# vi /etc/yum.repos.d/SULinux-Base.repo
        1. [dag]
           name=Dag RPM Repository for Red Hat Enterprise Linux
           baseurl=http://apt.sw.be/redhat/el4/en/$basearch/dag
           gpgcheck=0
           enabled=0
           includepkgs=clearsilver python-clearsilver trac

      • Trac을 설치하고 아파치와 연동하기 위해 mod_python 패키지도 같이 설치한다.

        ]# yum --enablerepo=dag install trac

        ]# yum install mod_python

      • 설치 후 trac-admin 명령어로 파일 시스템을 이용한 저장소를 만들고 권한을 변경합니다. (묻는 과정에서 모두 엔터를 치고 Path to repository 에서 /home/svnroot/repos1 을 입력한다)

        ]# mkdir /home/trac

        ]# cd /home/trac

        ]#  trac-admin /home/trac/myproject initenv

        ]# chown -R apache.apache trac

      • 웹에서 접근 가능하도록 Location 을 등록한다.

        ]# vi /etc/httpd/conf.d/trac.conf
        1. #Alias /trac/ <- 첫줄은 주석처리
        2. <Location /trac>
              SetHandler mod_python
              PythonHandler trac.web.modpython_frontend
              # "/svn/trac/foobar" is the folder you gave to trac-admin initenv earlier
              PythonOption TracEnv /home/trac/myproject
              # "/trac" is the same as the Location above
              PythonOption TracUriRoot /trac
              # "/tmp" should be some writable temporary directory
              SetEnv PYTHON_EGG_CACHE /tmp
              # "trac" can be any string, but must be the same for all
              # Trac instances on the same Apache install
              PythonInterpreter trac
           </Location>
           <Location /trac/login>
              AuthType Basic
              AuthName "hibuz"
              AuthUserFile /etc/httpd/conf/passwd
              Require valid-user
           </Location>
           

      • Web Admin 플러그인 설치를 위한 권한 설정 후 확인해 본다.

        ]# trac-admin /home/trac/myproject permission add hibuz TRAC_ADMIN

        ]# trac-admin /home/trac/myproject permission add hibuz TICKET_ADMIN

        ]# trac-admin /home/trac/myproject permission list

      • Python 2.3 버전으로 Web Admin plug-in 을 다운로드 받는다.
      • Download for Trac 0.9.3 or later (Python 2.3) xmlrpcplugin.zip

      • 서버에 올린후 확장자를 제거하고 압축을 해제한다.

        ]# mv TracWebAdmin-0.1.2dev_r4240-py2.3.egg.zip TracWebAdmin-0.1.2dev_r4240-py2.3.egg

        ]# unzip xmlrpcplugin.zip

      • easy_install 을 사용하기 위해 python 스크립트를 서버에 올린 후 설치한다. [다운로드 : http://hibuz.springnote.com/pages/596254/attachments/420486?download=true]

        ]# python ez_setup.py

      • 플러그인을 설치한다.

        ]# easy_install TracWebAdmin-0.1.2dev_r4240-py2.3.egg

        ]# easy_install xmlrpcplugin/0.10/

      • trac.ini에 내용 추가

        ]# vi /home/trac/myproject/conf/trac.ini
        1. [components]
        2. webadmin.* = enabled
           tracrpc.* = enabled
           

      • 웹서버를 재시작한다.

        ]# service httpd reload

      • 웹 브라우져로 확인한다. (hibuz 계정으로 로그인 시 admin 탭이 보여야 한다.)

        http://(Subversion과 Apache를 설치한 IP주소 또는 도메인)/trac

      • 이메일 통보 기능을 사용하려면 trac.ini 에서 smtp를 활성화 하고 saslpasswd2 명령을 통해 인증 사용자를 추가한다.

        ]# saslpasswd2 -c root  <- 추가할 이메일 계정 사용자 -c 옵션은 최초 사용자 추가시 만 사용한다. /etc/sasldb2 파일을 생성해 준다.

        ]# vi trac.ini

        1. smtp_enabled = true
           smtp_password = password
           smtp_user = root
           
      • 이클립스 플러그인 업데이트 에서 Mylyn 을 선택해서 trac connector를 포함한 플러그인들을 추가해서 설치한다.
      • task repositories 에서 Add Task Repository 로 http://(Subversion과 Apache를 설치한 IP주소 또는 도메인)/trac 을 추가해서 task를 생성할 수 있다.

      • 참고사항

        Subversion Repository 변경사항 동기화 명령어 : trac-admin /home/trac/myproject resync

      • ㅇ

      • ㅇ