Verbindet Euch sicher und von überall aus mit Eurem Server¶

Dehydrated installieren¶

Bevor Let's Encrypt Euch ein Zertifikat ausstellt, wird erst mal überprüft, ob Ihr tatsächlich Eigentümer der Domäne seid. Ein schickes Programm namens Dehydrated macht dies möglich. Meldet Euch auf Eurem Server an und ladet Dehydrated herunter:

sudo apt install git
git clone https://github.com/dehydrated-io/dehydrated.git

Wechselt in das Verzeichnis dehydrated und erstellt eine erste Konfigurationsdatei:

cd dehydrated
vi domains.txt

Fügt die folgende Zeile ein, und gebt dabei unbedingt Euren eigenen Domänennamen an:

*.gofoss.duckdns.org > gofoss.duckdns.org

Speichert und schließt die Datei (:wq!). Erstellt anschließend eine zweite Konfigurationsdatei:

vi config

Fügt die folgenden Zeilen ein. Vergesst nicht, Eure eigene E-Mail-Adresse anzugeben:

CHALLENGETYPE="dns-01"
BASEDIR=/etc/dehydrated
HOOK="${BASEDIR}/hook.sh"
CONTACT_EMAIL=gofoss@gofoss.net

Speichert und schließt die Datei (:wq!). Erstellt anschließend eine dritte Konfigurationsdatei:

vi hook.sh

Fügt die folgenden Zeilen ein. Gebt dabei unbedingt Euren eigenen Domänennamen sowie Euer eigenes DuckDNS-Token an:

DOMAIN="gofoss.duckdns.org"                         # gebt Eure Domäne hier an
TOKEN="ebaa3bd3-177c-4230-8d91-a7a946b5a51e"        # gebt Euer Token hier an

case "$1" in
    "deploy_challenge")
        curl "https://www.duckdns.org/update?domains=$DOMAIN&token=$TOKEN&txt=$4"
        echo
        ;;
    "clean_challenge")
        curl "https://www.duckdns.org/update?domains=$DOMAIN&token=$TOKEN&txt=removed&clear=true"
        echo
        ;;
    "deploy_cert")
        ;;
    "unchanged_cert")
        ;;
    "startup_hook")
        ;;
    "exit_hook")
        ;;
    *)
        echo Unknown hook "${1}"
        exit 0
        ;;
esac

Speichert und schließt die Datei (:wq!).

Hinweis: Die obigen Anweisungen müssen angepasst werden, falls Ihr eine andere Domäne als DuckDNS verwendet. Lest in diesem Fall bitte die Dokumentation von Dehydrated oder fragt in der Let's Encrypt Gemeinschaft nach, um die sogenannte Hook für die DNS-basierte Überprüfung richtig einzurichten.

Die folgenden Befehle erstellen ein certs Verzeichnis, in dem alle SSL-Zertifikate gespeichert werden. Die Dateien dehydrated und hook.sh werden ausführbar gemacht. Das dehydrated Verzeichnis wird nach /etc/dehydrated verschoben. Schließlich wird gofossadmin zum Eigentümer des Verzeichnisses /etc/dehydrated. Stellen sicher, dass Ihr den Namen des Administrators an Eure eigenen Einstellungen anpasst:

mkdir certs
chmod a+x dehydrated
chmod a+x hook.sh
cd ..
sudo mv dehydrated /etc/dehydrated
sudo chown -R gofossadmin:gofossadmin /etc/dehydrated

Überprüft die Verzeichnisstruktur:

sudo ls -al /etc/dehydrated

Die Ausgabe sollte in etwa folgendermaßen aussehen:

drwxr-xr-x 2 gofossadmin gofossadmin   4096 Jan 01 00:00 .
drwxr-xr-x 4 gofossadmin gofossadmin   4096 Jan 01 00:00 ..
-rw-r--r-- 1 gofossadmin gofossadmin    200 Jan 01 00:00 certs
-rw-r--r-- 1 gofossadmin gofossadmin    200 Jan 01 00:00 config
-rwxr-xr-x 1 gofossadmin gofossadmin 700000 Jan 01 00:00 dehydrated
-rw-r--r-- 1 gofossadmin gofossadmin    200 Jan 01 00:00 docs
-rw-r--r-- 1 gofossadmin gofossadmin     20 Jan 01 00:00 domains.txt
-rwxr-xr-x 1 gofossadmin gofossadmin    700 Jan 01 00:00 hook.sh

Zertifikate erstellen¶

Meldet Euch bei Let's Encrypt an:

bash /etc/dehydrated/dehydrated --register --accept-terms

Der obige Befehl erstellt das Verzeichnis /etc/dehydrated/accounts, das Eure Registrierungsinformationen enthält. Das Terminal sollte nun in etwa folgendes anzeigen:

# INFO: Using main config file /etc/dehydrated/config
+ Generating account key...
+ Registering account key with ACME server...
+ Done!

Erstellt nun die SSL-Zertifikate:

bash /etc/dehydrated/dehydrated -c

Die Terminal-Ausgabe sollte in etwa folgendermaßen aussehen:

+ Creating chain cache directory /etc/dehydrated/chains
Processing gofoss.duckdns.org
+ Creating new directory /etc/dehydrated/certs/gofoss.duckdns.org ...
+ Signing domains...
+ Generating private key...
+ Generating signing request...
+ Requesting new certificate order from CA...
+ Received 1 authorizations URLs from the CA
+ Handling authorization for gofoss.duckdns.org
+ 1 pending challenge(s)
+ Deploying challenge tokens...
OK
+ Responding to challenge for gofoss.duckdns.org authorization...
+ Challenge is valid!
+ Cleaning challenge tokens...
OK
+ Requesting certificate...
+ Checking certificate...
+ Done!
+ Creating fullchain.pem...
+ Done!

Das war's! Es wurden zwei SSL-Schlüssel erstellt, um den Datenverkehr Eurer selbst gehosteten Dienste zu verschlüsseln. Wir erklären später, wie diese Schlüssel zum Einsatz kommen.

Zertifikate automatisch verlängern¶

Die Zertifikate von Let's Encrypt laufen nach 90 Tagen ab und können 30 Tage zuvor erneuert werden. Es empfiehlt sich, dies zu automatisieren. Erstellen hierzu eine Log-Datei:

sudo touch /var/log/dehydrated

Erstellt anschließend einen wöchentlichen Cron-Job, der die Gültigkeit des Zertifikats überprüft und es bei Bedarf erneuert:

sudo vi /etc/cron.weekly/dehydrated

Fügt die folgenden Zeilen ein:

#!/bin/sh

MYLOG=/var/log/dehydrated
echo "Checking cert renewals at `date`" >> $MYLOG
/etc/dehydrated/dehydrated -c >> $MYLOG 2>&1

Speichert und schließt die Datei (:wq!). Macht das Skript nun ausführbar:

sudo chmod +x /etc/cron.weekly/dehydrated

Testet den Cron-Job:

sudo bash /etc/cron.weekly/dehydrated
sudo cat /var/log/dehydrated

Die Terminal-Ausgabe sollte in etwa folgendermaßen aussehen:

Checking cert renewals at Sun 01 Jan 2021 01:29:06 PM CEST
# INFO: Using main config file /etc/dehydrated/config
Processing *.gofoss.duckdns.org
 + Checking domain name(s) of existing cert... unchanged.
 + Checking expire date of existing cert...
 + Valid till Mar 12 10:23:18 2021 GMT (Longer than 30 days). Skipping renew!

Pi-hole installieren¶

Zum Zeitpunkt der Abfassung dieses Textes war die Version 5.10 die letzte Pi-hole-Version. Das Programm ist relativ ressourcenarm, 50 MB freier Speicherplatz und 512 MB RAM reichen aus, um es unter Ubuntu zu betreiben. Pi-hole benötigt außerdem eine statische IP-Adresse sowie Apache und PHP, die wir in früheren Kapiteln konfiguriert haben. Führt das Installationsskript von Pi-hole aus:

sudo curl -sSL https://install.pi-hole.net | bash

Folgt den Anweisungen auf dem Bildschirm:

Anweisung	Beschreibung
This installer will transform your device into a network-wide ad blocker!	Drückt auf EINGABE, um fortzufahren.
The Pi-hole is free, but powered by your donations	Drückt auf EINGABE, um fortzufahren.
The Pi-hole is a SERVER so it needs a STATIC IP ADDRESS to function properly	Wählt Yes und drückt auf EINGABE, um fortzufahren.
Choose An Interface	Wählt Eure Netzwerkschnittstelle. Drückt die TABULATORTASTE zur Änderung der Auswahl und die LEERTASTE um Eure Auswahl zu bestätigen. Drückt auf EINGABE, um fortzufahren.
Select Upstream DNS Provider. To use your own, select Custom	Wählt einen DNS-Anbieter Eurer Wahl. In diesem Beispiel verwenden wir UncensoredDNS, Ihr könnt natürlich jeglichen anderen DNS-Anbieter auswählen! Wir empfehlen Euch lediglich, einen anderen DNS-Anbieter als Euren Internet-Anbieter, Cloudfare oder Google zu wählen. Weitere Informationen zu DNS-Anbietern findet am Ende dieses Abschnitts.
Pi-hole relies on third party lists in order to block ads.	Drückt auf EINGABE, um fortzufahren. Wir erklären etwas später, wie Ihr weitere Blocklisten hinzufügen könnt.
Do you wish to install the web admin interface?	Wählt On, falls Ihr eine Administrator-Weboberfläche wünscht (empfohlen) und drückt EINGABE, um fortzufahren.
Do you wish to install the web server (lighttpd)?	Wir werden Apache statt lighttpd als Webserver verwenden. Wählt also Off und bestätigt mit der LEERTASTE. Drückt anschließend auf EINGABE, um fortzufahren.
Do you want to log queries?	Wählt On (empfohlen) und drückt auf EINGABE, um fortzufahren.
Select a privacy mode for FTL	Wählt die gewünschte Datenschutzstufe aus und klickt auf ENTER, um fortzufahren: • Show everything: zeichnet alles auf; liefert die umfangreichsten Statistiken • Hide domains: Zeigt und speichert alle Domänen als "versteckt"; deaktiviert die Tabellen mit den Top Domänen und Top Werbungen auf dem Dashboard • Hide domains and clients: Zeigt und speichert alle Domänen als "versteckt" und alle Client-Geräte als "0.0.0.0"; deaktiviert alle Tabellen auf dem Dashboard • Anonymous mode: Deaktiviert im Grunde alles außer den anonymen Live-Statistiken; es wird kein Verlauf in der Datenbank gespeichert, nichts wird im Abfrageprotokoll angezeigt, es gibt keine Top-Item-Listen; bietet einen verbesserten Datenschutz
Installation Complete!	Sobald die Installation abgeschlossen ist, solltet Ihr Folgendes sehen:

Weboberfläche¶

Als nächstes richten wir einen Apache Virtual Host als Reverse Proxy ein, um auf die Pi-hole-Weboberfläche zuzugreifen. Klingt kompliziert, aber im Wesentlichen ist der Reverse Proxy dazu da, Euren Server noch stärker vom Internet abzuschirmen. Mehr dazu erfahrt Ihr am Ende dieses Abschnitts.

Legt die richtigen Zugriffsrechte fest:

sudo chown www-data:www-data -R /var/www/html/admin/
sudo usermod -aG pihole www-data
sudo chown -R pihole:pihole /etc/pihole

Erstellt eine Apache-Konfigurationsdatei::

sudo vi /etc/apache2/sites-available/mypihole.gofoss.duckdns.org.conf

Fügt den folgenden Inhalt hinzu und passt die Einstellungen an Eure eigene Konfiguration an, z. B. den Domain-Namen (mypihole.gofoss.duckdns.org), den Pfad zu den SSL-Schlüsseln, die IP-Adressen und so weiter:

<VirtualHost *:80>

    ServerName              mypihole.gofoss.duckdns.org
    ServerAlias             www.mypihole.gofoss.duckdns.org
    Redirect permanent /    https://mypihole.gofoss.duckdns.org/

</VirtualHost>

<VirtualHost *:443>

    ServerName              mypihole.gofoss.duckdns.org
    ServerAlias             www.mypihole.gofoss.duckdns.org
    ServerSignature         Off

    SSLEngine               On
    SSLProxyEngine          On
    SSLProxyCheckPeerCN     Off
    SSLCertificateFile      /etc/dehydrated/certs/gofoss.duckdns.org/fullchain.pem
    SSLCertificateKeyFile   /etc/dehydrated/certs/gofoss.duckdns.org/privkey.pem
    DocumentRoot            /var/www/html/admin

    <Location />
        Order deny,allow
        Deny from all
        Allow from 127.0.0.1
        Allow from 192.168.1.0/24
        Allow from 10.8.0.1/24
    </Location>

    <Directory /var/www/html/admin/>
        Options +FollowSymlinks
        AllowOverride All
        Require all granted
    </Directory>

    ErrorLog ${APACHE_LOG_DIR}/mypihole.gofoss.duckdns.org-error.log
    CustomLog ${APACHE_LOG_DIR}/mypihole.gofoss.duckdns.org-access.log combined

</VirtualHost>

Speichert und schließt die Datei (:wq!).

Beachtet, dass die SSL-Verschlüsselung mit der Anweisung SSLEngine On aktiviert und das zuvor erstellte SSL-Zertifikat /etc/dehydrated/certs/gofoss.duckdns.org/fullchain.pem sowie der private SSL-Schlüssel /etc/dehydrated/certs/gofoss.duckdns.org/privkey.pem verwendet wurden.

Aktiviert als nächstes den Apache Virtual Host (passt die Domäne entsprechend an) und ladet Apache neu:

sudo a2ensite mypihole.gofoss.duckdns.org.conf
sudo systemctl reload apache2

Startet Pi-hole neu und prüft, ob alles korrekt läuft. Die Ausgabe sollte "Active" anzeigen:

sudo systemctl restart pihole-FTL
sudo systemctl status pihole-FTL

Pi-hole konfigurieren¶

Ändert das Standardpasswort für die Pi-hole-Weboberfläche. Gebt ein sicheres, individuelles Passwort an:

sudo pihole -a -p

Ruft http://192.168.1.100/admin/ auf und meldet Euch mit den neuen Zugangsdaten an. Passt dabei die IP-Adresse des Servers an Eure eigenen Einstellungen an. Die Weboberfläche sollte auf Eurem Bildschirm erscheinen. Sie ermöglicht verschiedentliche Einstellungen, die auf Pi-holes Webseite näher beschrieben werden:

OpenVPN installieren¶

OpenVPN ist quelloffen und verwendet OpenSSL, TLS und zahlreiche weitere Sicherheitsmechanismen. Es kann mit einem einfachen Installationsskript eingerichtet werden:

wget https://git.io/vpn -O openvpn-install.sh
sudo bash openvpn-install.sh

Folgt den Anweisungen auf dem Bildschirm:

Sobald die Installation abgeschlossen ist, sollte das Terminal in etwa so aussehen:

Welcome to this OpenVPN road warrior installer!

I need to ask you a few questions before starting setup.
You can use the default options and just press enter if you are ok with them.

This server is behind NAT. What is the public IPv4 address or hostname?
Public IPv4 address / hostname [88.888.88.88]: 88.888.88.88

What IPv6 address should the OpenVPN server use?
    1) 1a00:a0a:10a:10a0:a00:00ff:faf0:a011
    2) 1a00:a0a:10a:10a0:a00:00bb:faf0:a022
IPv6 address [1]: 1

Which protocol do you want for OpenVPN connections?
1) UDP (recommended)
2) TCP
Protocol [1]: 1

What port do you want OpenVPN listening to?
Port [1194]: 1194

Which DNS do you want to use with the VPN?
1) Current system resolvers
2) 1.1.1.1
3) Google
4) OpenDNS
5) NTT
6) AdGuard
DNS [1]: 1

Finally, tell me a name for the client certificate.
Client name [client]: computer_vpn

We are ready to set up your OpenVPN server now.

[etc.]

Finished!

The client configuration is available in: /root/computer_vpn.ovpn
New clients can be added by running this script again.

Zertifikate¶

Ein erstes VPN-Client-Zertifikat, computer_vpn.ovpn, wurde während der Installation von OpenVPN erstellt. Ihr braucht ein Zertifikat pro Gerät, das sich mit dem Server verbinden soll: Desktop-Rechner, Laptops, Tabletts, Telefone usw. Erstellt so viele Zertifikate wie nötig, indem Ihr das Installationsskript erneut ausführt.

Für die Zwecke dieses Tutorials erstellen wir ein zweites Zertifikat mit dem Namen phone_vpn.ovpn. Natürlich könnt Ihr jeden beliebigen Namen für Eure Zertifikate wählen. Stellt nur sicher, dass Ihr die Befehle entsprechend anpasst:

sudo bash openvpn-install.sh

Das Terminal sollte in etwa folgendes anzeigen:

Looks like OpenVPN is already installed.

What do you want to do?
1) Add a new user
2) Revoke an existing user
3) Remove OpenVPN
4) Exit
Select an option: 1

Tell me a name for the client certificate.
Client name: phone_vpn

[...]

Write out database with 1 new entries
Data Base Updated

Client phone_vpn added, configuration is available at: /root/phone_vpn.ovpn

Verschiebt schließlich das/die Zertifikat(e) in den gofossadmin-Home-Ordner und legt die richtigen Berechtigungen fest:

cd
sudo mv /root/computer_vpn.ovpn .
sudo mv /root/phone_vpn.ovpn .
sudo chmod 755 *.ovpn
sudo chown gofossadmin:gofossadmin *.ovpn

OpenVPN konfigurieren¶

Öffnet den Port 1194 (UDP) bzw. den Port, den Ihr bei der Installation von OpenVPN angegeben habt:

sudo ufw allow 1194/udp

Vergewissert Euch, dass der Port erfolgreich zu den Firewall-Regeln hinzugefügt wurde:

sudo ufw status numbered

Überprüft, ob die virtuelle Schnittstelle tun0 funktioniert, und ermittelt den Namen des Standardsubnetzes:

ip ad | grep tun0

Ermittelt die IP-Adresse des OpenVPN-Servers:

ip route | grep tun0

Vergewissert Euch, dass der Datenverkehr über den VPN-Tunnel geleitet wird:

sudo apt install traceroute
traceroute 10.8.0.1

Als nächstes werden die Client-Geräte, die sich über VPN verbinden wollen, dazu aufgefordert Pi-hole als primären DNS-Server zu verwenden. Bearbeitet dazu die OpenVPN-Konfigurationsdatei:

sudo vi /etc/openvpn/server/server.conf

Kommentiert alle vorhandenen dhcp-option-Einstellungen aus (setzt dazu ein Hashtag # an den Anfang der jeweiligen Zeile) und ersetzt sie durch die Schnittstelle tun0:

#push "dhcp-option DNS XX.XX.XXX.XXX"
#push "dhcp-option DNS XX.XX.XXX.XXX"
push "dhcp-option DNS 10.8.0.1"

Startet den OpenVPN-Server neu:

sudo systemctl restart openvpn-server@server

Ruft die Pi-hole-Weboberfläche auf, in unserem Beispiel über http://192.168.1.100/admin (passt die Adresse entsprechend an). Ruft anschließend den Menü-Eintrag Settings ‣ DNS ‣ Interface settings auf und wählt die Option Permit all origins. Klickt anschließend auf Save.

Clients¶

Nur Geräte mit gültigen Zertifikaten können eine VPN-Verbindung aufbauen und sicher auf selbst gehostete Dienste zugreifen. Nachfolgend erfahrt Ihr, wie Ihr die zuvor erstellten Zertifikate vom Server auf Eure Geräte übertragt.

su - gofossadmin
scp -v -P 2222 gofossadmin@192.168.1.100:/home/gofossadmin/*.ovpn .