Sviluppo del Virtual Private Server

La configurazione del server può essere fatta in vari modi, qui vengono indicati i punti principali (configurazione di wireguard, di iptables, del forwarding e di dnsmasq).

Per la configurazione di wireguard, è necessario generare una coppia di chiavi pubblica/privata per il server come descritto nel paragrafo precedente «Generazione delle chiavi».

È necessario creare un file con lo stesso nome dell’interfaccia di rete che si vuole creare (es. /etc/wireguard/wg0.conf) contente la chiave privata del server, la chiave pubblica di ciascun client e gli indirizzi IP statici di ciascuna macchina (per la sintassi vedere man wg).

Paradossalmente, la facilità d’uso è alta se si configura usando il terminale, mentre è molto bassa se si usa NetworkManager perché non ci sono indicazioni precise se alcuni parametri sono mancanti o errati, semplicemente il pulsante “Salva” viene disabilitato, inoltre nella versione KDE, il nome proposto automaticamente per la connessione viene usato anche per l’interfaccia, ma non è valido e quando si preme il pulsante salva, viene visualizzata una notifica di errore, la connessione non viene creata e si perdono tutti i dati inseriti.

La configurazione si basa sulla creazione di coppie di chiavi pubblica/privata e sull’impostazione di indirizzi IP statici e di altri parametri relativi alla connessione.

WireGuard https://www.wireguard.com/ permette di creare una rete privata virtuale (VPN) basata sul protocollo UDP e su coppie di chiavi pubblica/privata, e che secondo l’autore ha gli obiettivi di essere facile da usare, veloce e presentare pochi punti che possano essere sfruttati da malintenzionati.

L’unico requisito per usare WireGuard è che il computer che si intende usare accetti in ingresso delle connessioni UDP su una porta nota agli altri computer; in una configurazione a stella, in genere solo il nodo centrale fornisce dei servizi tramite la VPN ed è configurato per rimanere in ascolto su una porta fissa sempre aperta sul firewall e conosciuta dai nodi satellite, mentre i nodi satellite non forniscono servizi tramite la VPN, quindi non hanno necessità di ricevere traffico in ingresso non richiesto e lo ricevono solo in risposta alle proprie richieste, se però devono fornire servizi possono usare il meccanismo “hole punching” che in WireGuard si configura tramite il parametro “keepalive” come spiegato più avanti.

Questo articolo descrive come realizzare una VPN con un nodo centrale che funziona anche come server DNS per la VPN e fa da router per i nodi satellite.

Se si usa un servizio di DNS dinamico, non è necessario usare IP pubblici statici, mentre è sempre necessario usare IP privati statici sulla VPN perché WireGuard non implementa un meccanismo per assegnare IP dinamici dal momento che per trasferire i propri pacchetti usa il protocollo UDP che funziona a livello IP.

La configurazione del client è spiegata in un articolo separato.

La configurazione del server è spiegata in un articolo separato.

© CC-BY-SA Gruppo Utenti Linux Livorno