Creazione di una connessione con OpenVPN - Guida per Windows

I clienti di EMnify possono creare la loro Virtual Private Network per connettersi in maniera sicura ai propri dispositivi mobili IoT/M2M. Il traffico dati fluirà tra i dispositivi e il server applicativo (application server) tramite un tunnel OpenVPN, permettendo la comunicazione diretta con gli indirizzi IP dei dispositivi mobili (Non viene applicata la NAT).

Il tunnel VPN viene instaurato tra la rete core di EMnify e il VPN gatway o il server del cliente.

Tutto il traffico scambiato con i dispositivi mobili viene criptato prima di essere trasmesso attraverso Internet, aggiungendo quindi un ulteriore livello di protezione per maggiore sicurezza e privacy. Per questo non è necessario installare alcun software VPN sul dispositivo o applicare cambi di configurazioni. L'APN EMnify di default supporta il traffico VPN.

Installazione e configurazione del client OpenVPN su Windows

Installazione del software OpenVPN

Scaricate il file di installazione per la vostra macchina con sistema operativo Windows dal seguente link: OpenVPN Downloads.

Cliccare sul bottone "SEE DETAILS" e poi scorrere verso il basso in modo da visualizzare la schermata successiva dalla quale selezionare l'installer per Windows

Una volta scaricato il software si può procedere alla sua installazione.

Download e installazione dei file di configurazione della VPN

Accedete con le vostre credenziali al portale EMnify (EUI) e selezionate l'icona in alto a destra. Da qui scorrendo verso il basso troverete la sezione "Setting up OpenVPN on Windows". Sulla destra cliccate sul menù Download client.ovpn da cui scaricare uno dei file di configurazione con estensione .ovpn già compilato.

Selezionare per esempio eu-west-1 se intendete utilizzare come punto di Break out dalla rete core di EMnify quello in Europa.

Copiate il file di configurazione (in formato .opvn) nella cartella ...\OpenVPN\config.

Inoltre, è necessario modificare il breakout regionale di Internet nel criterio del dispositivo:

Fare clic su "Criteri dei dispositivi".
Scorrere fino a "Criteri di servizio", selezionare il criterio assegnato ai dispositivi che si desidera proteggere e fare clic su "Apri".
Nel menu "Regione di breakout Internet", impostare il criterio di servizio su una regione di breakout VPN, ad esempio, eu-west-1 (VPN).

Creazione delle credenziali di accesso

Create un file chiamato per esempio credentials.txt nella cartella ...\OpenVPN\config. Questo conterrà le informazioni per autenticare la vostra sessione. Esistono due metodi di autenticazione:

1. tramite le credenziali di accesso all'EUI (ideale per l'accesso di più utenti della stessa organizzazione simultaneamente)
2. tramite un application token

Autenticazione con le credenziali di accesso all'EUI

Il file credentials.txt deve contenere solo due linee. Nella prima linea verrà inserito l'indirizzo mail con cui si è creata l'utenza sull'EUI, nella seconda riga la relativa password di accesso. Un esempio di file è il seguente:

nome.cognome@dominio.com
LaTuaPassword

Autenticazione con un application token

Quando si utilizza il client OpenVPN verso un gateway VPN o un server applicativo si raccomanda di generare un application token dedicato. In questo caso, la prima linea del file credentials.txt deve essere riempita con il vostro identificativo dell'organizzazione (organisation ID) mentre la seconda linea deve contenere l'application token.

L'organisation ID si trova cliccando sull'icona e scorrendo in basso fino alla sezione "Setting up OpenVPN on Windows"  nel punto indicato in figura:

L'application token invece si genera cliccando sul bottone "Create Application Token" che si trova proprio sotto l'icona

Una volta generato l'application token bisogna copiarlo e incollarlo nella seconda riga del file credentials.txt. Ora il vostro file avrà il seguente aspetto

orgId
ApplicationToken

Correggere il percorso del file credentials.txt nel file di configurazione .ovpn del client

Trovate la seguente linea nel file di configurazione .ovpn e inserite il percorso completo del file credentials.txt. Per esempio come segue:

auth-user-pass "C:\\Program Files\\OpenVPN\\config\\credentials.txt"

Se invece preferite non memorizzare le credenziali è sufficiente anteporre il simbolo ";" alla riga di comando precedente. In questo caso ogni volta che volete instaurare il tunnel VPN dovrete prima inserire le vostre credenziali.

Avviare e monitorare la connessione OpenVPN

Potete avviare l'applicazione OpenVPN GUI e connettervi tramite l'icona  nella barra delle notifiche.

Per monitorare la connessione andate al file ...\OpenVPN\log\client.txt. Se tutto funziona regolarmente dovreste vedere qulacosa di simile:

Fri Nov 04 10:03:35 2016 Successful ARP Flush on interface [20] {BD06804E-FC58-480D-B6A5-13E0EAE98940}
Fri Nov 04 10:03:40 2016 TEST ROUTES: 2/2 succeeded len=2 ret=1 a=0 u/d=up
Fri Nov 04 10:03:40 2016 MANAGEMENT: >STATE:1478250220,ADD_ROUTES,,,
Fri Nov 04 10:03:40 2016 C:\WINDOWS\system32\route.exe ADD 10.64.0.1 MASK 255.255.255.255 10.64.24.122
Fri Nov 04 10:03:40 2016 ROUTE: CreateIpForwardEntry succeeded with dwForwardMetric1=35 and dwForwardType=4
Fri Nov 04 10:03:40 2016 Route addition via IPAPI succeeded [adaptive]
Fri Nov 04 10:03:40 2016 C:\WINDOWS\system32\route.exe ADD 10.193.104.0 MASK 255.255.252.0 10.64.24.122
Fri Nov 04 10:03:40 2016 ROUTE: CreateIpForwardEntry succeeded with dwForwardMetric1=35 and dwForwardType=4
Fri Nov 04 10:03:40 2016 Route addition via IPAPI succeeded [adaptive]
Fri Nov 04 10:03:40 2016 Initialization Sequence Completed
Fri Nov 04 10:03:40 2016 MANAGEMENT: >STATE:1478250220,CONNECTED,SUCCESS,10.64.24.121,52.209.29.183

In questo estratto si vede che l'indirizzo IP statico del vostro client VPN è il 10.64.24.122.

Testare il funzionamento della connessione dati

Se il tunnell VPN è stato instaurato con successo sarete in grado di connettervi direttamente all'indirizzo IP privato dei vostri dispositivi mobili. Per testare, potete scegliere uno qualsiasi dei vostri endpoint che ha una sessione dati attiva (indicato come ONLINE nel portale EMnify) e riportare l'indirizzo IP assegnato dalla sezione con i dettagli.

Utilizzando il command Promt (applicazione cmd in Windows), eseguite un ping test verso l'indirizzo IP del dispositivo da voi scelto.

C:\>ping 10.193.104.2

Pinging 10.193.104.2 with 32 bytes of data:
Reply from 10.193.104.2: bytes=32 time=1158ms TTL=62
Reply from 10.193.104.2: bytes=32 time=391ms TTL=62
Reply from 10.193.104.2: bytes=32 time=413ms TTL=62
Reply from 10.193.104.2: bytes=32 time=1307ms TTL=62

Affinché questo funzioni, il dispositivo deve eseguire uno stack IP che risponde alla richiesta ICMP echo. Questo potrebbe non accadere per i dispositivi embedded che implementano solo funzionalità di stack IP parziale.

Source at GitHub