Phần 1. Nguồn gốc của VPN:
Hiện nay, với nhu cầu làm việc tại nhà truy cập được vào các hệ thống dữ liệu, phần mềm, thiết bị phần cứng tại Hệ thống cơ sở vật chất, tài nguyên của Cơ quan/tổ chức Doanh nghiệp là vô cùng lớn, cấp thiết.
Trên thế giới gọi chung là “Work from Home – WFH“.
Trước đây mô hình VPN “Mạng riêng ảo” hầu hết chỉ dùng và cung cấp dịch vụ loại hình này cho số ít đối tượng như: Quản trị CNTT “Administrators IT” để làm các công tác quản lý, điều khiển vận hành Hạ tầng CNTT, truy cập từ xa tới hệ thống CSDL và Data Center của Tổ chức… hoặc là đường mạng riêng kết nối giữa các điểm vận hành, truy cập và đồng bộ dữ liệu giữa các điểm “Cổng kết nối CNTT – Gateway Site to Site”.
Ngày nay, nhu cầu làm việc từ xa truy cập, kết nối và bảo mật an toàn an ninh đang ngày càng đòi hỏi nhu cầu rộng rãi cho cả cán bộ công nhân viên trong cả các bộ phân văn phòng. OpenVPN trở lên cấp thiết nhằm giải quyết nhu cầu trên ngày càng cao hơn, chúng gắn liền với yêu cầu của từng cá nhân, nhân viên, cán bộ chuyên trách, thậm trí cả các chuyên gia tư vấn, Khách hàng, đối tác của Doanh nghiệp…
Phần 2. Mô hình OpenVPN được khai thác sử dụng theo 2 mô hình chính phụ thuộc vào vị trí triển khai:
1. Mô hình OpenVPN Hub to Site:
– Trong mô hình này có 2 biến thể do kiểu kết nối khác nhau: các hãng chuyên về thiết bị mạng sẽ có cách gọi
(Hub và Spoke hay còn gọi Hub to Site hoặc Point to Site)
Và mô hình 2:
2. Mô hình OpenVPN Site to Site:
(Full mesh hay còn gọi là Site-to-Site hoặc Spoke to Spoke)
Tổng kết sơ bộ:
- Mô hình OpenVPN trên đây dùng để kết nối từ xa qua mạng Internet/3G/4/5G kết nối tới các DataCenter của Tổ chức để khai thác sử dụng các tính năng bảo mật, kết nối ổn định, gọi là làm việc từ xa.
- Mô hình OpenVPN này còn có các tính năng khác như mở rộng WAN, LBN “cân bằng tải WAN” giúp có nhiều đường kết nối tới Tổ chức để sức mạnh đường WAN lớn hơn, ổn định hơn.
- Mô hình OpenVPN này còn có tính năng mở rộng WAN bằng công nghệ Wire Guard giúp băng thông kết nối nâng từ 300Mbps lên tới 1Gbps.
- Mô hình OpenVPN này còn có tính năng giúp Backup/Restore/Replicate qua mạng WAN tới các Data Center có các Repository Cloud on premise hoặc Tape local hoặc tiếp tục đẩy đi Public Cloud Storage (Rule Backup type: 3,2,1,0)…
Phần 3. Các bước triển khai:
Lưu ý: Nếu dùng Script để cài VeeamPN sẽ không support OS Linux Ubuntu 20.04/21.04:
Để download được Script .sh để cài đầy đủ tính năng của OpenVPN, truy cập trang https://www.veeam.com/veeampn-download.html
Ghi chú: Script của VeeamPN còn có 1 yêu cầu là không được dùng Netplan (cần xoá ) và dùng ifupdown
Để tắt netplan ta chạy lệnh sau:
echo ‘GRUB_CMDLINE_LINUX = “netcfg/do_not_use_netplan = true”‘ >> /etc/default/grub
Sau đó ta cập nhật lại grub:
sudo update-grub
Cài đặt ifupdown thay thế netplan
Để cài đặt ifupdown ta thực hiện các lệnh sau:
sudo apt-get update
sudo apt-get install -y ifupdown
Xóa netplan khỏi hệ thống
Ta thực hiện lệnh sau để xóa bỏ netplan khỏi hệ thống:
sudo apt-get –purge remove netplan.io
Sau đó ta xóa toàn bộ cấu hình của netplan:
sudo rm -rf /usr/share/netplan
sudo rm -rf /etc/netplan
Cấu hình interfaces
Mặc định khi netplan được sử dụng thì trong file config tại /etc/network/interfaces sẽ có nội dung như sau:
# ifupdown has been replaced by netplan(5) on this system. See
# /etc/netplan for current configuration.
# To re-enable ifupdown on this system, you can run:
# sudo apt install ifupdown
Config dynamic IP
Để cấu hình dynamic ip ta thêm các dòng sau vào file /etc/network/interfaces:
auto lo
iface lo inet loopback
auto ens33
iface ens33 inet dhcp
Dùng Terminal chạy lệnh: bash /home/[user]/Downloads/VeeamPN-installer.run.sh –confirm
Trả lời bằng cách gõ phím y để xác nhận các câu hỏi cần confirm.
VeeamPN tự động tạo HTTPS với chữ ký số theo DNS Public mà chúng ta cấu hình:
Cần gõ lệnh cho phép mở cổng dịch vụ web (80,443) cho phép quản trị OpenVPN từ internet:
Truy cập https từ mạng LAN (nội bộ) hoặc Internet (mạng ngoài Tổ chức):
2 Mô hình triển khai trên đều có thể chỉ được chọn 1 trong 2 kiểu, phụ thuộc vị trí triển khai của máy chủ OpenVPN của chúng ta nằm vùng nào? ví dụ chỉ là VM chạy VPN, không phải là Firewall router gateway: thì chúng ta chọn Network Hub:
Trong mô hình mà chúng ta muốn thiết lập có vấn đề Public OpenVPN cho phép các Site hoặc các Point (người dùng ở nhà, hoặc các Kinh doanh dùng thiết bị di động) kết nối qua Internet/3G/4G/5G …)
Thì hệ thống VeeamPN này cần cấu hình DNS public, mapping NAT proxy port, cấu hình chữ ký số SSL/TLS cho HTTPS, chuẩn mã hoá AES, MD5, SH1… động dài mã hoá 2048…
Hệ thống VPN sẽ được tạo kết nối và chữ ký số issue theo DNS public:
Cấu hình theo mô hình Hub – to spoke hay còn gọi Point to site sẽ chọn mở các cổng dưới đây (thậm chí mình cấu hình Full mesh kết hợp cả Site – to –site):
Sau khi cấu hình xong 2 mô hình VPN nói trên, chúng ta có thể nhân bản các bản VeeamPN cho các site A, Site B … khác bằng cách truy câpj Overview và Download file OVA để deploy vào các vSphere ESXi Host ở các Site khác.
Một số cấu hình khác liên quan tới dịch vụ vận hành cho VPN server:
Cách lấy chữ ký số và file key cho từng Account (tài khoản cho người dùng là nhân viên kinh doanh, cán bộ chuyên trách làm việc ở nhà, chuyên gia tư vấn, khách hàng/đối tác truy cập từ internet hoặc các thiết bị di động…
Về phần mềm OpenVPN client để cài vào Máy tính cá nhân hoặc Download App cho IOS/Android thì truy cập trang web: https://openvpn.net/community-downloads/
Chúc các bạn triển khai thành công hệ thống OpenVPN giúp cho giải pháp Work from Home an toàn, hiệu quả, chi phí thấp và giám sát bảo mật!
Thích bài này:
Thích Đang tải...
