Tutorial Install OpenVPN di Debian 7

OpenVPN ini akan mempunyai beberapa spesifikasi yaitu:

• Menggunakan 2 jalur untuk konek; UDP port 1194 yg merupakan port default OpenVPN dan jalur TCP port 443 (sebagai alternatif untuk client saat konek. Jika port 443 udah terpakai misal untuk ssh tunnel maka anda harus pake port lain misal 465, dll)
• User yg konek harus memiliki file2 untuk konek yaitu ca.crt dan file config .ovpn. Setelah ada file tsb user akan konek dg autentikasi username+password.

Syarat OpenVPN bisa diinstal adalah bahwa interface tun/tap sudah ready. Hal ini bisa dicek dengan membaca mantra cat /dev/net/tun, dan jika aktif maka outputnya adalah: cat: /dev/net/tun: File descriptor in bad state. Jika tidak ada kalimat tsb artinya belum bisa diinstal OpenVPN, silahkan enable dulu via panel atau kalo bingung kontak host owner untuk meng-enable tun/tap device. Saya asumsikan anda udah login ke console sebagai root. Silakan Simak !

1. Update dulu apt-get update, tunggu beberapa detik hingga selesai
2. Silakan install apt-get nstall nano biar muda untuk edit
3. Instal paket OpenVPN apt-get install openvpn
4. OpenVPN telah memudahkan proses instalasi dengan menyediakan banyak helper script, kita copy saja file tsb ke dir OpenVPN cp -a /usr/share/doc/openvpn/examples/easy-rsa /etc/openvpn/
5. Buatlah certificate, pindah dulu ke dir berikut cd /etc/openvpn/easy-rsa/2.0
6. Jalankan: source ./vars
7. Jalankan: ./clean-all
8. Jalankan: ./build-ca
9. Nah akan muncul isian yg dimulai dengan nama negara atau Country Name. Pada tahap ini saya ga pernah isi/edit apapun. Enter saja sebanyak 7 kali untuk 7 pertanyaan yg muncul (terakhir adalah Email Address), ini tidak pengaruh apa2.
10. Sekarang buatlah Diffie Hellman parameter ./build-dh
11. Generate certificate untuk servernya ./build-key-server server01
12. Kali ini anda akan diinterogasi 10 pertanyaan, disini saya juga ga isi apa2 alias enter2 saja. Hati2 pencet enter jangan ngebut2 karena nanti ada dialog apakah anda ingin sign the certificate? anda harus pilih dengan pencet y
13. 1 out of 1 certificate requests certified, commit? [y/n] Pilih y lagi pada dialog ini
14. Untuk menghindari UDP flood dan serangan DDoS maka jalankan: openvpn --genkey --secret keys/ta.key
15. Sekarang buatlah server config. Seperti tadi saya bilang bahwa nanti user bisa konek via UDP dan TCP maka disini kita akan buat 2 config. Pertama yg UDP dulu nih. cd /etc/openvpn
16. Buat file nano server.conf
17. Isikan dengan parameter berikut ini:
    port 1194
proto udp
dev tun
ca keys/ca.crt
cert keys/server01.crt
key keys/server01.key
dh keys/dh1024.pem
plugin /usr/lib/openvpn/openvpn-auth-pam.so login
client-cert-not-required
username-as-common-name
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1"
push "dhcp-option DNS 4.2.2.1"
push "dhcp-option DNS 4.2.2.2"
keepalive 5 30
comp-lzo
persist-key
persist-tun
status server-tcp.log
verb 3
18. Save+close file tsb
19. Buat config untuk koneksi jalur TCP: nano server-tcp.conf
20. Isikan parameter berikut ini:
    port 465
proto tcp
dev tun
ca keys/ca.crt
cert keys/server01.crt
key keys/server01.key
dh keys/dh1024.pem
plugin /usr/lib/openvpn/openvpn-auth-pam.so login
client-cert-not-required
username-as-common-name
server 10.9.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1"
push "dhcp-option DNS 4.2.2.1"
push "dhcp-option DNS 8.8.8.8"
keepalive 5 30
comp-lzo
persist-key
persist-tun
status server-tcp.log
verb 3
21. Copy certificates dan keys, buat dulu direktorinya mkdir /etc/openvpn/keys
22. Copy semuanya

    cp /etc/openvpn/easy-rsa/2.0/keys/{ca.crt,server01.crt,server01.key,dh1024.pem,ta.key} /etc/openvpn/keys/

23. Konfigurasi UDP dan TCP untuk server udah kelar, sekarang edit supaya config tsb terbaca ketika OpenVPN nanti dijalankan. nano /etc/default/openvpn
24. Pada entri #AUTOSTART="all" hilangkan tanda pagar # didepannya sehingga menjadi AUTOSTART="all". Save dan close kembali file tsb
25. Restart OpenVPN /etc/init.d/openvpn restart. Hasilnya harus ada 2 [OK] sebagai bukti bahwa config UDP dan TCP sudah running
26. Pastikan ada 2 instances OpenVPN running di server, jalankan lsof -i |grep openvpn
27. Ada UDP dan TCP kan? Artinya udah betul. Pada TCP terlihat ssmtp yg running, itu karena saya tadi pake port 465 di config TCP-nya. Jika anda pake 443 maka akan tertera disitu sebagai https
28. Enable forwarding di VPS agar user bisa browsing, kan seru tuh user udah gembira konek tapi ga bisa browsing hehehe. Buatlah file nano /etc/sysctl.d/forwarding.conf dan isikan dengan mantra pendek net.ipv4.ip_forward=1
29. Save+close kemudian jalankan sysctl -p /etc/sysctl.d/forwarding.conf dan outputnya adalah mantra yg ada di step 27 tsb
30. Seting iptables untuk jalur UDP

    iptables -t nat -I POSTROUTING -s 10.8.0.0/24 -o venet0 -j MASQUERADE

31. Seting iptables untuk jalur TCP

    iptables -t nat -I POSTROUTING -s 10.9.0.0/24 -o venet0 -j MASQUERADE

32. Nah jeleknya tuh kadang Debian me-reset iptables setelah VPS restart, alias musnahlah settingan iptables yg kita jalankan tadi. Untuk menghindari hal tsb.
33. Siapkan segelas air panas dan kopi favorit anda, silahkan ngopi2 dulu (kalo suka ngopi) kalo ga ya santai dan rileks2 dulu karena ngoprek server udah rampung. Selanjutnya nanti adalah menyiapkan setingan utk user/client
34. Masih di dalam folder /etc/openvpn buatlah direktori mkdir clientconfig
35. Copy-kan ca.crt dan ta.key yg tadi kita buat ke dir tsb. Ini akan dibutuhkan client sbg syarat konek cp /etc/openvpn/easy-rsa/2.0/keys/{ca.crt,ta.key} clientconfig/
36. Buatlah file dengan ekstensi .ovpn. Karena OpenVPN ini menyediakan 2 jalur koneksi UDP dan TCP, maka untuk client kita akan beri 2 config. Pertama saya beri nama HANTU-UDP.ovpn. Pindah dulu ke cd clientconfig kemudian nano HANTU-UDP.ovpn
37. Isikan mantra ini:
    client
dev tun
proto udp
remote 128.199.72.212 1194
resolv-retry infinite
route-method exe
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
auth-user-pass
comp-lzo
verb 3
38. Lihat ip yg saya ketik bold diatas, pada VPS anda ganti dengan ip VPS anda sendiri!
39. Trus sekarang bikin config client yg TCP, nano HANTU-TCP.ovpn
40. Isikan dengan mantra:
    client
dev tun
proto tcp
remote 128.199.72.212 465
resolv-retry infinite
route-method exe
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
auth-user-pass
comp-lzo
verb 3
41. Sekali lagi ganti ip yg bold tsb dg ip VPS anda sendiri, disampingnya adalah port TCP yg dipake. Kalo bukan pake 465 maka sesuaikan saja ya
42. OPTIONAL: Anda juga bisa pake domain untuk menggantikan ip tsb, dengan catatan anda sudah membuat domain atau subdomain pointing ke ip server
43. OPTIONAL: Jika ingin konek via proxy maka pada config ovpn tsb bisa anda tambahkan http-proxy x.x.x.x dan http-proxy-retry
44. Jika sudah, cek dengan command ls -al di dalam dir clientconfig dan anda harus melihat 4 buah file yaitu: HANTU-UDP.ovpn, HANTU-TCP.ovpn, ca.crt, dan ta.key
45. OPTIONAL: file config ovpn tsb bisa juga langsung digabung dengan ca.crt, biasanya config semacam ini digunakan oleh pengguna device mobile semacam Android atau iPhone. Bagaimana caranya? Simple saja kok, jalankan saja cat ca.crt dan setelah certificate tsb nongol di layar, copy saja kemudian edit kembali file ovpn, delete baris ca.crt dan tambahkan code certificate di bahwanya dengan contoh format seperti ini:
    
46. Untuk memudahkan distribusi file tsb kepada para calon user maka archive-lah menjadi zip file. Jalankan zip dan jika malah command not found maka instal dahulu apt-get install zip
47. Jalankan zip VPN.zip *
48. Jika pada server anda ada webserver apache yg aktif maka file tsb bisa anda copy ke dir webserver misal /var/www. Sehingga nanti mudah anda ambil yaitu dengan download via browser http://ip-vps/VPN.zip. Saya ga akan kasih tau gimana cara cek apakah ada webserver atau tidak di VPS anda Bilamana pusink, download saja VPN.zip tsb dengan tool Bitvise
49. Jalankan Bitvise SSH tunnelier
50. Login harus sebagai root (wajib) 
    
51. Klik “New SFTP Window”
52. Sebuah jendela explorer akan nongol. Sebelah kiri adalah PC anda (Local Files) dan sebelah kanan adalah isi dari VPS anda (Remote Files). Silahkan tuju ke Remote Files di sebelah kanan. Pada tombol navigasi klik up sekali untuk masuk ke dir / sehingga tampaklah direktori2 linux VPS anda
53. Dobel klik pada direktori etc. Ingat kan, sebelumnya kita sudah membuat config untuk user yg sudah di-zip di dalam /etc/openvpn/clientconfig. Maka setelah masuk ke dir /etc dobel klik openvpn dan dobel klik dir clientconfig untuk membuka dir tsb
54. Terlihat di dalamnya ada VPN.zip yg sudah kita buat pada tahap sebelumnya. Download file ini ke PC anda dengan cara klik kanan > Download atau cukup drag and drop saja ke jendela Local Files yg ada disebelah kiri.
55. Setelah ter-download pastikan isi dari VPN.zip adalah 4 buah file yg sudah kita buat tadi
56. Ekstrak VPN.zip ke lokasi sementara, misalnya di Desktop
57. Download software OpenVPN GUI ke PC anda dan segera instal
58. Setelah terinstal di PC, masuklah ke folder C:\Program Files\OpenVPN\config
59. Hapus semua file dan folder yg ada disitu
60. Buatlah 2 buah folder baru, masing2 bernama HANTU UDP dan HANTU TCP atau nama folder sesuka anda
61. Kembali ke lokasi dimana anda ekstrak VPN.zip sebelumnya, copy semua file minus HANTU-TCP.ovpn ke dalam folder HANTU UDP
62. Copy semua file minus HANTU-UDP.ovpn ke dalam folder HANTU TCP. Penampakannya gini nih:
63.  
64. -
65. sekian silakan di coba :)
66. sebelumnya buat dulu user sama passnya untuk di coba 

Note:

• Jika anda pake Squid proxy seperti contoh di atas maka yg support hanyalah jalur TCP
• Jika anda pake DigitalOcean atau VPS dengan virtualisasi KVM atau XEN maka command iptables yg dijalankan pada step 29 & 30 menggunakan interface eth0 bukan venet0. Cek untuk memastikan dg command ifconfig
• File VPN.zip yg berisi config agar client bisa konek bukanlah sesuatu yg harus anda rahasiakan, justru harus bisa didapat oleh publik dengan mudah (misal jika anda jualan akun VPN) karena setelah memiliki file tsb, user harus mempunyai username dan password yg valid.