Делаем ipsec vpn туннель между cisco ftd и mikrotik / хабр

Настраиваем сервер (создаем файл-конфиг и заполняем его):

touch /etc/openvpn/server.conf

nano /etc/openvpn/server.conf

port 17993 # порт, на котором будет слушать сервер

proto tcp # протокол (по умолчанию udp)

dev tun # тип устройства (tun или tap)

############################ KEYS #######################################

tls-server # явно указывает, что данный хост является tls-server

tls-auth keys/ta.key 0 # 0-сервер , 1- для конфига клиента

ca /etc/openvpn/keys/ca.crt # файл сертификата для CA

cert /etc/openvpn/keys/gate.crt # сертификат сервера

key /etc/openvpn/keys/gate.key # ключ сервера

dh /etc/openvpn/keys/dh1024.pem # файл с ключем Диффи-Хелмана

########################## END KEYS #####################################

# автоматически присваивает адреса всем клиентам (DHCP) в указанном

# диапазоне с маской сети. Данная опция заменяет ifconfig и может

# работаеть только с TLS-клиентами в режиме TUN, соответственно

# использование сертификатов обязательно.

server 10.8.0.0 255.255.255.0

ifconfig-pool-persist ipp.txt # Тут будут храниться ip адреса клиентов

push «route 10.10.10.0 255.255.255.0» # передача клиенту маршрута к сетке,

# в которой сервер.

# каждые 10 секунд посылать ping на удаленный хост, и, если за 60 секунд

# не было получено ни одного пакета — то перезапускать туннель.

keepalive 10 60

# параметр сжатия трафика, идущего через виртуальный туннель.

# Может принимать значения yes, no, adaptive.

# Последнее используется по умолчанию.

comp-lzo

# Для улучшения безопасности рекомендовано запускать

# все сервисы с минимальными правами. Openvpn будет работать от имени nobody.

user nobody

group nogroup

persist-key # указывает не перечитавать файлы ключей при перезапуске туннеля

persist-tun # данная опция оставляет без изменения устройства tun/tap

#при перезапуске OpenVPN.

# сервер работает в режиме демона

daemon

############################ LOGS #######################################

status openvpn-status.log # указывает путь к статус-файлу,

# в котором содержится информация о текущих соединениях и

# информация о интерфейсах TUN/TAP

log-append openvpn.log # дописывать сообщения в лог-файл, а не перезаписывать.

verb 4 # уровень логирования

mute 20 # в лог будет записываться только по 20 сообщений из одной категории

########################### END LOGS ####################################

client-to-client # позволяет клиентам видеть друг друга (сети)

client-config-dir /etc/openvpn/ccd # папка содержащая маршруты к сетям

# клиентов и посылаемые клиентам ip адреса клиента и сервера

ccd-exclusive # каждому клиенту свои настройки

management localhost 7505

tun-mtu 1500 # устанавливает максимальный размер MTU

tun-mtu-extra 32

mssfix 1450

# маршруты к сетям клиентов

route 192.168.10.0 255.255.255.0 10.8.0.2

route 192.168.0.0 255.255.255.0 10.8.0.2

route 192.168.2.0 255.255.255.0 10.8.0.2

Последействия рекламного ПО

После того как OpenVPN вирус устанавливается, он начинает создавать сторонние объявления. Сервис сотрудничает со сторонними партнерами, поэтому нет ничего удивительного в том, что он продвигает их продукты и веб-сайты в рекламе, которую создает. Однако его цель состоит в том, чтобы максимально увеличить количество этих объявлений, поскольку чем больше рекламы создает рекламное ПО, тем больше шансов, что пользователи нажмут на них и принесут прибыль. По этой причине приложение TAP Provider V9 for Private Tunnel имеет тенденцию быть очень навязчивым.

Не удивляйтесь, если всплывающие окна, баннеры, тексты и другие типы рекламы начнут затапливать ваш компьютер. Это все потому, что ваш компьютер заражен рекламным ПО. В таком случае вы должны закрыть браузер и сразу же запустить сканирование своего компьютера с помощью надежного антивирусного инструмента. Для этой цели мы рекомендуем Reimage или Malwarebytes. Он удалит TAP Provider V9 for Private Tunnel за пару минут.

Вы не должны задерживать устранение, поскольку рекламное ПО негативно влияет на производительность вашего браузера. Кроме того, имейте в виду, что всплывающие окна могут направить вас к поддельной технической поддержки или к вредоносным сайтам. Поэтому не игнорируйте перенаправления, вызванные TAP Provider V9 for Private Tunnel, и приступите к удалению рекламного ПО.

Несколько конфигурационных файлов

Позволит держать несколько конфигураций для подключения к различным VPN-серверам. Между последними можно переключаться из клиентской программы.

Для Windows:

В каталоге config создаем для каждого сервера свою папку и помещаем в нее рабочие файлы (файл конфигурации, сертификаты и так далее). В каждой папке называем конфигурационные файлы ovpn своими именами (даже если файлы будут находиться в разных папках, но с одинаковыми именами, клиент OpenVPN будет воспринимать их как один конфиг).

Пример каталога config:

Пример файлов в одном из каталогов:

Теперь при подключении клиентом к можно выбрать конкретный VPN-сервер:

Для Linux:

Также как для Windows, создаем для каждого сервера свой каталог, куда скопируем рабочие файлы:

mkdir /etc/openvpn/server1

А в каталоге /etc/openvpn создаем для каждого подключения свой конфиг:

vi /etc/openvpn/client1.conf

* в конфигурационном файле все пути до файлов должны вести в соответствующий каталог (в нашем примере, /etc/openvpn/server1).

Запускаем OpenVPN:

openvpn —config /etc/openvpn/server1/client.conf

Для автоматического запуска мы уже ранее применяли команду:

systemctl enable openvpn@client

… где @client — указатель на использование конфигурационного файла client внутри папки openvpn (/etc/openvpn). Таким образом, если мы создали 2 файла client1.conf и client2.conf, команды для разрешения автозапуска бelen такие:

systemctl enable openvpn@client1

systemctl enable openvpn@client2

Команды для управления маршрутизацией

Обозначение: VPN-хост — удаленная сторона (удаленный хост)route < network > — устанавливает указанную маршрутизацию на VPN-хосте, после успешного запуска туннеля. Пример:
route 10.0.10.0 255.255.255.252route-gateway < IP > — устанавливает шлюз на VPN-хосте. Пример:
route-gateway 192.168.0.22
После успешного запуска виртуального туннеля клиенту будет задан шлюз 192.168.0.22route-delay < seconds > — указывает подождать n-секунд перед установкой маршрутов. Пример:
route-delay 5
Т.е. через 5 секунд после установки туннеля будут заданы маршруты.route-up < cmd > — выполнить скрипт или программу < cmd > после установки маршрутов. Пример:
route-up /script.shredirect-gateway — установить шлюзом по умолчанию удаленный сервер. Т.е. когда удаленный пользователь подключается к нашему серверу, то ему будет задан шлюз по умолчанию на наш сервер.

Автоматический VPN

VPN по требованию: VPN по требованию использует правила для автоматического подключения или отключения VPN-подключения. Когда устройства пытаются подключиться к VPN, он ищет совпадения в создавающихся параметрах и правилах, таких как совпадающий IP-адрес или доменное имя. Если есть совпадение, то действие, вы выбираете, выполняется.

Например, создайте условие, при котором VPN-подключение используется только в том случае, если устройство не подключено к Wi-Fi сети. Если устройство не может получить доступ к введите домену поиска DNS, подключение VPN не запущено.
- Добавьте: Выберите этот параметр, чтобы добавить правило.
- Я хочу сделать следующее. Если существует совпадение между значением устройства и вашим правилом по требованию, выберите действие. Параметры:
  - Создание VPN
  - Отключение VPN
  - Оценка каждой попытки подключения
  - Ignore
- Я хочу ограничиться: Выберите условие, которое должно соответствовать правилу. Параметры:
  - Конкретные SSIDs. Введите одно или несколько имен беспроводных сетей, которые будут применяться правилом. Это имя сети — идентификатор набора служб (SSID). Например, введите .
  - Конкретные домены DNS: Введите один или несколько доменов DNS, которые будут применяться правилом. Например, введите .
  - Все домены. Выберите этот параметр, чтобы применить правило для всех доменов в организации.
- Но только в том случае, если этот URL-зонд успешно: Необязательный. Введите URL-адрес, который правило использует в качестве теста. Если устройство имеет доступ к этому URL-адресу без перенаправления, то подключение VPN запущено. Устройство подключается к целевому URL-адресу. Пользователь не видит сайт зонда строки URL-адреса.
  
  Например, зонд строки URL-адреса — это URL-адрес веб-сервера аудита, который проверяет соответствие устройств перед подключением к VPN. Или URL-адрес проверяет способность VPN подключаться к сайту перед подключением устройства к целевому URL-адресу через VPN.
Запретить пользователям отключать автоматический VPN: Параметры:
- Не настроен: Intune не меняет и не обновляет этот параметр.
- Да. Не позволяет пользователям отключить автоматический VPN. Это заставляет пользователей сохранять автоматический VPN включен и запущен.
- Нет. Позволяет пользователям отключить автоматический VPN.
Этот параметр применяется к:
- iOS 14 и более новые
- iPadOS 14 и более новые
VPN для одного приложения: включает VPN для каждого приложения, связывая это VPN-подключение с приложением iOS/iPadOS. При запуске приложения запускается VPN-подключение. При назначении программного обеспечения можно связать VPN-профиль с приложением. Дополнительные сведения см. в дополнительных сведениях о назначении и мониторинге приложений.

VPN для одного приложения не поддерживается в IKEv2. Дополнительные сведения см. в приложении настройка VPN для устройств iOS/iPadOS.
- Тип поставщика: доступен только для pulse Secure и настраиваемого VPN.
- При использовании vpn-профилей iOS/iPadOS в приложении с помощью Pulse Secure или Custom VPN выберите туннель на уровне приложения (прокси-прокси-приложение) или туннель на уровне пакетов (пакетный туннель). Установите значение ProviderType для прокси-приложения для туннеля на уровне приложения или туннель пакетов для туннеля на уровне пакетов. Если вы не знаете, какое значение использовать, проверьте документацию поставщика VPN.
- URL-адреса Safari, которые будут запускать этот VPN: Добавьте один или несколько URL-адресов веб-сайта. При посещении этих URL-адресов с помощью браузера Safari на устройстве автоматически устанавливается VPN-подключение.
- Связанные домены. Введите связанные домены в профиле VPN для использования с помощью этого VPN-подключения.
  
  Дополнительные сведения см. в
- Исключенные домены. Введите домены, которые могут обходить VPN-подключение при подключении VPN для каждого приложения. Например, введите . Трафик в домен будет использовать общедоступный Интернет, даже если VPN подключен.
- Запретить пользователям отключать автоматический VPN: Параметры:
  - Не настроен: Intune не меняет и не обновляет этот параметр.
  - Да. Предотвращает отключение Подключение по требованию в параметрах профилей VPN. Это заставляет пользователей сохранять в приложении VPN или правила по требованию, включенные и запущенные.
  - Нет. Позволяет пользователям отключить Подключение по требованию, которое отключает VPN-приложения и правила по требованию.
  Этот параметр применяется к:
  - iOS 14 и более новые
  - iPadOS 14 и более новые

Создание ключей (производится только на сервере. затем необходимые ключи копируются с сервера на клиенты).

Переходим в каталог со скриптами создания ключей шифрования:

cd /usr/share/doc/openvpn/examples/easy-rsa/2.0

Открываем файл, содержащий переменные для скриптов:

nano vars

изменяем следующие параметры под свою организацию:

export KEY_COUNTRY=»RU»

export KEY_PROVINCE=»PS»

export KEY_CITY=»Pskov»

export KEY_ORG=»MegaHolod»

export KEY_DIR=»/etc/openvpn/keys»

Последний — директория, куда будут сохраняться созданные ключи.

Заносим переменные из только что отредактированного файла в память

source ./vars

Перед созданием ключей запускаем скрипт:

./clean-all

Далее переходим непосредственно к генерированию ключей путем запуска соответствующих скриптов. Так как в файл с переменными мы уже занесли нужные значения, жмем просто Enter в ответ на вопросы скриптов, за исключением:

Sign the certificate? [y/n]:y

1 out of 1 certificate requests certified, commit? [y/n]y

Итак создаем CA ключ:

./build-ca

Создаем DH ключ (нужен только серверу):

./build-dh

Создаем private key для сервера (gate — имя сервера):

./build-key-server gate

Создаем ключи в PKCS #12 формате для машин-клиентов;

./build-key-pkcs12 mg

./build-key-pkcs12 npn

./build-key-pkcs12 westfood

Создаем TLS-ключ (Общий для сервера и клиента):

openvpn —genkey —secret /etc/openvpn/keys/ta.key

Из папки «/etc/openvpn/keys» нужно скопировать ta.key и *.p12 соответствующий клиенту на машины-клиенты.

Настройка Firewall на Mikrotik

Перейдите IP -> Firewall.

На вкладке Firewall -> Filter Rules создайте два accept правила в цепочке Forward для прохождения трафика через IPsec туннель из сети за Mikrotik в сеть за Edge Gateway и в обратную сторону.

На вкладке Firewall -> NAT создаем два accept правила в цепочке srcnat для проходящего трафика из сети за Mikrotik в сеть за Edge Gateway и в обратную сторону. Эти правила должны быть выше в списке, чем правило Masquerade, используемое для доступа клиентов локальной подсети в Интернет.

На вкладке Firewall -> RAW создайте два accept правила в цепочке prerouting, из сети за Mikrotik в сеть за Edge Gateway и в обратную сторону.

Настройка Mikrotik завершена.

Настройка IPsec на Mikrotik

Переходим в IP -> IPsec.

Переходим в Profiles. Редактируем существующий профиль default. Повторяем параметры со скриншота.

Переходим в IPsec -> Peers. Создаем новый Peer. Повторяем параметры со скриншота.

Переходим в IPsec -> Identities. Создаем новую Identity. Повторяем параметры со скриншота.

Переходим в IPsec -> Proposals. Редактируем Proposal default. Повторяем параметры со скриншота

Переходим в IPsec -> Policies. Создаем новую Policy. Повторяем параметры со скриншота.

В поле Src. Address укажите адрес подсети за Mikrotik;

В поле Dst. Address укажите адрес подсети за Edge Gateway.

На этом этапе настройка IPsec завершена.

Туннель будет устанавливаться с интерфейса, на котором находится маршрут по умолчанию. В данном примере – ISP1.

На экране IPsec -> Installed SAs мы можем наблюдать адреса, между которыми установлен IPsec туннель. В данном примере, 1.0.0.2 это адрес на интерфейсе ISP1.

В случае, если ISP1 станет недоступен, туннель автоматически установится с интерфейса ISP2.

В случае, когда ISP1 станет доступен, то IPsec будет по-прежнему запущен через ISP2.

Тип подключения

Выберите тип VPN-подключения из следующего списка поставщиков:

Check Point Capsule VPN
Cisco Legacy AnyConnect: применимо к версии приложения Cisco Legacy AnyConnect версии 4.0.5x и ранее.
Cisco AnyConnect: применимо к версии приложения Cisco AnyConnect 4.0.7x и более поздней версии.
SonicWall Mobile Подключение
Наследие доступа F5: применимо к версии приложения F5 Access 2.1 и более ранней версии.
Доступ к F5: применим к версии приложения F5 Access 3.0 и более поздней версии.
Palo Alto Networks GlobalProtect (Legacy): Применимо к приложению Palo Alto Networks GlobalProtect версии 4.1 и ранее.
Palo Alto Networks GlobalProtect: Применимо к Palo Alto Networks GlobalProtect версии приложения 5.0 и более поздней версии.
Pulse Secure
Cisco (IPSec)
Citrix VPN
Citrix SSO
Zscaler. Чтобы использовать условный доступ или разрешить пользователям обход знака Zscaler на экране, необходимо интегрировать Zscaler Private Access (ZPA) с учетной записью Azure AD. Подробные действия см. в документации Zscaler.
Мобильность NetMotion
Параметры IKEv2: (в этой статье) описывают свойства.
Microsoft Tunnel
Настраиваемый VPN

Примечание

Cisco, Citrix, F5 и Palo Alto объявили, что их устаревшие клиенты не работают на iOS 12. Необходимо как можно скорее перейти на новые приложения. Дополнительные сведения см. в Microsoft Intune блог группы поддержки.

Перезапуск IPsec туннеля через основного провайдера (опционально)

Для того, чтобы «перезапустить туннель» через ISP1, требуется, когда ISP1 станет доступен, удалить IPsec SA.

Перейдите Tools -> Netwatch.

Создайте новый элемент Netwatch.

На вкладке Host в поле Host введите адрес Default Gateway для интерфейса ISP1. Параметры Interval и Timeout оставьте по умолчанию.

Примечание: При интервале менее 1 минуты может не успеть измениться маршрут по умолчанию и туннель установится повторно через ISP2.

На вкладке Up введите команду для удаления всех IPsec SAs и сохраните, нажатием OK.

/ip ipsec installed-sa flush

При такой настройке, если ISP1 перешел из состояния Down в состояние Up, в течение 1 минуты (параметр Interval из Netwatch) будут удалены все IPsec SAs и туннель установится через интерфейс, на котором в данный момент маршрут по умолчанию — ISP1.

Разные вопросы

В. Чем отличаются виртуальные устройства tun и tap?О. TUN — туннель, соединение по которому указывается по типу: локальный IP < — > удаленный IP. Например, при явном указании ifconfig:
—ifconfig 10.3.0.2 10.3.0.1
в этом примере 10.3.0.2 — локальный IP, 10.3.0.1 — удаленный IP
TAP — эмулирует виртуальную ethernet карточку, для которой требуется указывать локальный IP и маску подсети. Например:
—ifconfig 10.3.0.2 255.255.255.0

В. Для чего нужны файлы serial и index.txt при генерации ключей с easy-rsa?О. Эти два файла используются в качестве временной базы данных, используемой при генерации ключей. Должны находиться в том каталоге, где и ключи.

Авторизуйтесь для добавления комментариев!

Настройка IPsec на Edge Gateway

Перейдите в Networking -> Edge Gateways, нажмите на «точку» слева от Edge Gateway и выберете Services.

Перейдите VPN -> IPsec VPN -> IPsec VPN Sites -> «+».

Создайте IPsec VPN Site.

В полях Local ID и Local Endpoint укажите внешний IP адрес Edge Gateway.

В поле Local Subnets укажите сети за Edge Gateway, которые будут маршрутизироваться через туннель.

В поле Remote Subnets укажите сети за Mikrotik, которые будут маршрутизироваться через туннель.

Остальные поля заполните, как на скриншоте ниже.

Нажмите KEEP для применения параметров.

Сохраните параметры нажатием Save Changes.

Перейдите VPN -> IPsec VPN -> Global Configuration. Включите параметр Change Shared Key, введите PSK в поле Pre-Shared Key, сохраните изменения.

Примечание: придумайте (сгенерируйте) сложный PSK. Не используйте PSK из данной инструкции.

Перейдите VPN -> IPsec VPN -> Activation Status, включите IPsec VPN Service Status и нажмите Save changes.

Правила для IPTABLES.

Для того что-бы это все работало, в фаерволе (iptables), если он используется, нужно разрешить трафик. Пример куска моего скрипта настройки, касающегося openvpn:

#!/bin/bash

###################################################

# Переменные

###################################################

#указываем внешний ip сервера и внешн. сетевой интерфейс

INET_IP1=195.239.136.ххх

INET_IFACE1=eth2

# указываем внутренний ip сервера и внутр. сетевой интерфейс

LAN_IP=10.10.10.4

LAN_IFACE=eth0

# указываем сетевой интерфейс VPN, и сеть, ему принадлежащую

VPN_IFACE=tun0

VPN_RANGE=10.8.0.0/24

# внутренняя сеть

LAN_RANGE=10.10.10.0/24

# сетевой интерфейс петли и ip

LO_IFACE=lo

LO_IP=127.0.0.1

###################################################

#OpenVPN

###################################################

# разрешаем трафик между локальной сетью и VPN

# (необходимо для возможности доступа к серверу по внутреннему ip. c клиента)

$ip -A FORWARD -p all -i $LAN_IFACE -o $VPN_IFACE -j ACCEPT

$ip -A FORWARD -p all -o $LAN_IFACE -i $VPN_IFACE -j ACCEPT

# разрешаем входящий и исходящий трафик для vpn-интерфейса

# (необходимо для возможности установки vpn соединения)

$ip -A INPUT -p all -i $VPN_IFACE -j ACCEPT

$ip -A OUTPUT -p all -o $VPN_IFACE -j ACCEPT

# разрешаем icmp пакеты через vpn

# (необходимо для пинга)

$ip -A INPUT -p icmp -m icmp -i $VPN_IFACE —icmp-type echo-request -j ACCEPT

$ip -A OUTPUT -p icmp -m icmp -o $VPN_IFACE —icmp-type echo-request -j ACCEPT

$ip -A FORWARD -p icmp -m icmp -i $VPN_IFACE -o $LAN_IFACE —icmp-type echo-request -j ACCEPT

$ip -A FORWARD -p icmp -m icmp -o $VPN_IFACE -i $LAN_IFACE —icmp-type echo-request -j ACCEPT

$ip -A INPUT -p icmp -m icmp -i $VPN_IFACE —icmp-type echo-reply -j ACCEPT

$ip -A OUTPUT -p icmp -m icmp -o $VPN_IFACE —icmp-type echo-reply -j ACCEPT

$ip -A FORWARD -p icmp -m icmp -i $VPN_IFACE -o $LAN_IFACE —icmp-type echo-reply -j ACCEPT

$ip -A FORWARD -p icmp -m icmp -o $VPN_IFACE -i $LAN_IFACE —icmp-type echo-reply -j ACCEPT

Скриптинг

up < command >— выполнить команду после запуска устройства TUN/TAP. Пример:
up script-up.shup-delay < seconds > — подождать n-секунд перед запуском команды указанной в up. Пример:
up-delay 5down < command > — выполнить команду когда интерфейс TUN/TAP выключится. Пример:
down script-down.shdown-pre — выполнить команду, указанную в down перед выключением интерфейса TUN/TAPup-restart < command > — выполнить команду после каждого реконнектаroute-up < command > — выполнить команду после установки сетевых маршрутов. Пример:
route-up script.shlearn-address < command > — выполнить указанную команду, если ip удаленной стороны изменился.ipchange < command > — выполнить команду, если ip сервера изменился.client-connect < command > — выполнить команду, когда клиент подключился.client-disconnect < command > — выполнить команду, когда клиент отключился.

Вам необходимо удалить TAP Provider V9 с ПК

Если вы уже устали от объявлений, предлагающих вам установить TAP Provider V9 и подобные всплывающие сообщения, мы рекомендуем вам запустить полное сканирование системы с надежным средством защиты и избавиться от подозрительных программ. Он автоматически удалит вирус TAP Provider V9 for Private Tunnel, и вся процедура продлится всего несколько минут.

Однако вы должны помнить, что ваш антивирус должен быть обновлен до последней версии, чтобы иметь возможность обнаружить все нежелательные файлы на вашем ПК. Конечно, вы также можете попробовать удалить связанные файлы вручную; однако вы должны иметь в виду, что эти файлы могут быть трудно-обнаружимыми.

Если вы считаете, что вы достаточно опытны, чтобы избавиться от этого ПНП вручную, можете следовать руководству, которое было подготовлено нашими экспертами для удаления TAP Provider V9 for Private Tunnel. В этом случае вам необходимо выполнить шаги, приведенные ниже, а также открыть планировщик заданий, чтобы остановить KMSpico, AutoKMS или аналогичные записи.

Вы можете удалить вирус автоматически с помощью одной из этих программ: Reimage, SpyHunter 5 Combo Cleaner , Malwarebytes. Мы рекомендуем эти приложения, поскольку они обнаруживают потенциально нежелательные программы и вирусы со всеми их файлами и записями реестра, которые с ними связаны.

Сеть [ править | править код ]

OpenVPN проводит все сетевые операции через TCP- или UDP-транспорт. В общем случае предпочтительным является UDP по той причине, что через туннель проходит трафик сетевого уровня и выше по OSI, если используется TUN-соединение, или трафик канального уровня и выше, если используется TAP. Это значит, что OpenVPN для клиента выступает протоколом канального или даже физического уровня, а значит, надежность передачи данных может обеспечиваться вышестоящими по OSI уровнями, если это необходимо. Именно поэтому протокол UDP по своей концепции наиболее близок к OpenVPN, т.к. он, как и протоколы канального и физического уровней, не обеспечивает надежность соединения, передавая эту инициативу более высоким уровням. Если же настроить туннель на работу по ТСР, сервер в типичном случае будет получать ТСР-сегменты OpenVPN, которые содержат другие ТСР-сегменты от клиента. В результате в цепи получается двойная проверка на целостность информации, что совершенно не имеет смысла, т.к. надежность не повышается, а скорости соединения и пинга снижаются. . Также возможна работа через большую часть прокси-серверов, включая HTTP, SOCKS, через NAT и сетевые фильтры. Сервер может быть настроен на назначение сетевых настроек клиенту. Например: IP-адрес, настройки маршрутизации и параметры соединения. OpenVPN предлагает два различных варианта сетевых интерфейсов, используя драйвер TUN/TAP. Возможно создать туннель сетевого уровня, называемый TUN, и канального уровня — TAP, способный передавать Ethernet-трафик. Также возможно использование библиотеки компрессии LZO для сжатия потока данных. Используемый порт 1194 выделен Internet Assigned Numbers Authority для работы данной программы . Версия 2.0 позволяет одновременно управлять несколькими туннелями, в отличие от версии 1.0, позволявшей создавать только 1 туннель на 1 процесс.

Использование в OpenVPN стандартных протоколов TCP и UDP позволяет ему стать альтернативой IPsec в ситуациях, когда Интернет-провайдер блокирует некоторые VPN-протоколы.

Сертификаты внутри конфигурационного файла

Ключи сертификатов можно хранить не в отдельных файлах, а внутри конфигурационного файла ovpn.

…
key-direction 1

<ca>
——BEGIN CERTIFICATE——
…
——END CERTIFICATE——
</ca>
<tls-auth>
——BEGIN OpenVPN Static key V1——
…
——END OpenVPN Static key V1——
</tls-auth>
<cert>
——BEGIN CERTIFICATE——
…
——END CERTIFICATE——
</cert>
<key>
——BEGIN PRIVATE KEY——
…
——END PRIVATE KEY——
</key>
<dh>
——BEGIN DH PARAMETERS——
…
——END DH PARAMETERS——
</dh>

* key-direction 1 — необходим для tls-auth, в противном случае, работать не будет; ca — ключ центра сертификации (ca.crt); tls-auth — ta.key; cert — открытый сертификат клиента (clients.crt); key — закрытый сертификат клиента (clients.key); dh — сертификат, созданный на базе протокола Диффи Хеллмана.

Команды для управления туннелем

ping < seconds > — указывает отсылать ping на удаленный конец тунеля после указанных n-секунд, если по туннелю не передавался никакой трафик. Пример:
ping 10ping-restart < seconds > — если за указанное время не было получено ни одного пакета с удаленной стороны, то перезапускать туннель. Пример:
ping-restart 60 — если в течении 60 секунд не было получено ни одного пакета, то туннель будет перезапущен.ping-timer-rem — позволяет перезапускать туннель, только когда указан удаленный адрес.persist-tun — данная опция оставляет без изменения устройства tun/tap при перезапуске OpenVPN.persist-key — указывает не перечитавать файлы ключей при перезапуске туннеля.resolv-retry < seconds > — устанавливает время в секундах для запроса об удаленном имени хоста. Актуально только если используется DNS-имя удаленного хоста. Пример:
resolv-retry 86400inactive < seconds > — после n-секунд неактивности устройство TUN/TAP автоматически отключется. Пример:
inactive 120ping-exit < seconds > — если за указанные n-секунд не было получено ни одного пакета, то отключать OpenVPN. Пример:
ping-exit 120keepalive < seconds > < seconds > — является совмещением сразу двух команд — ping и ping-restart. Использует сразу два параметра в секундах, перечисленных через пробел. Пример:
keepalive 10 180
Означает следующее: каждые 10 секунд посылать ping на удаленный хост, и, если за 180 секунд не было получено ни одного пакета — то перезапускать туннель.persist-local-ip < IP > — оставлять неизменными локальный IP адрес и номер порт, если туннель был перезапущен.persist-remote-ip < IP > — оставлять неизменными удаленный IP адрес и номер порт, если туннель был перезапущен.
persist-remote-ip 192.168.50.1

Как удалить программу OpenVPN?

Я показал как удалить вручную ненужный этот адаптер. Но он также в теории должен исчезнуть и если бы вы удалили OpenVPN, и вот как это сделать. Открываете Пуск и выбираете там Панель управления (а если у вас десятка, то зажимаете Win + X и там будет этот пункт):

Потом находим значок Программы и компоненты:

Откроется окно со списком софта, тут вам нужно удалить все что касается OpenVPN, а это еще и TAP-Windows:

Я сперва удалю TAP-Windows. Нажимаем правой кнопкой по проге этой и выбираем Удалить. Появится такое окно, тут жмете Uninstall:

Потом жмем Next и будет такое окно что все прошло нормуль и все удалено:

И потом также удаляем OpenVPN, ну ту прогу которая осталась и также нажимаем Uninstall:

Потом также жмем Next и все удалится без приколов, ну то есть без проблем

Вот и все. Надеюсь что нормальной инфы вам дал и вы теперь знаете как избавится от TAP-Windows Adapter V9. Но скажу еще раз и напоследок, что отключать можете, а вот удалять — то советую хорошо проверить не нужен ли этот адаптер какой-то проге ну или другому юзеру. В общем удачи вам

OpenVPN

Автор
Разработчик	OpenVPN Inc.
Написана на	Си
Операционная система	кроссплатформенность
Первый выпуск	23 марта2002
Последняя версия
Лицензия	GNU GPL
Сайт	community.openvpn.net
Медиафайлы на Викискладе

OpenVPN — свободная реализация технологии виртуальной частной сети (VPN) с открытым исходным кодом для создания зашифрованных каналов типа точка-точка или сервер-клиенты между компьютерами. Она позволяет устанавливать соединения между компьютерами, находящимися за NAT и сетевым экраном, без необходимости изменения их настроек. OpenVPN была создана Джеймсом Йонаном (James Yonan) и распространяется под лицензией GNU GPL .

Базовые параметры VPN

Имя подключения. Конечные пользователи видят это имя при просмотре устройства для списка доступных VPN-подключений.
Настраиваемые доменные имена (только Zscaler): предустанавлить вход приложения Zscaler в поле с доменом, к который принадлежат пользователи. Например, если имя пользователя есть, домен статически появляется в поле при открываемом приложении. Если вы не введите доменное имя, используется доменная часть upN в Azure Active Directory (AD).
Адрес VPN-сервера: IP-адрес или полное доменное имя (FQDN) VPN-сервера, с помощью которого подключаются устройства. Например, введите или .
Имя облака организации (только Zscaler): введите имя облака, в котором предусмотрена ваша организация. URL-адрес, который используется для входов в Zscaler, имеет имя.
Метод проверки подлинности. Выберите способ проверки подлинности устройств на VPN-сервере.
- Сертификаты. В сертификате проверки подлинности выберите существующий профиль сертификата SCEP или PKCS для проверки подлинности подключения. Настройка сертификатов содержит некоторые рекомендации по профилям сертификатов.
- Имя пользователя и пароль. Конечные пользователи должны ввести имя пользователя и пароль для входа на VPN-сервер.
  
  Примечание
  
  Если имя пользователя и пароль используются в качестве метода проверки подлинности для VPN Cisco IPsec, они должны доставить SharedSecret через настраиваемый профиль настраиваемого устройства Apple.
- Производные учетные данные. Используйте сертификат, полученный с смарт-карты пользователя. Если не настроен производный эмитент учетных данных, Intune подсказает вам добавить один. Дополнительные сведения см. в руб. Использование производныхучетных данных в Microsoft Intune.
Исключенные URL-адреса (только Zscaler): При под подключении к VPN Zscaler указанные URL-адреса доступны за пределами облака Zscaler.
Разделять туннель: включить или отключить, чтобы устройства могли решать, какое подключение использовать, в зависимости от трафика. Например, пользователь в отеле использует VPN-подключение для доступа к файлам работы, но использует стандартную сеть отеля для регулярного просмотра веб-страниц.
Идентификатор VPN (Настраиваемый VPN, Zscaler и Citrix): идентификатор для используемой вами VPN-приложения и поставляется поставщиком VPN.
Введите пары ключей и значений для пользовательских атрибутов VPN вашей организации (Custom VPN, Zscaler и Citrix): Добавьте или импортируете ключи и значения, настраиваемые для vpn-подключения. Помните, что эти значения обычно поставляются поставщиком VPN.
Включить управление сетевым доступом (NAC) (Cisco AnyConnect, Citrix SSO, F5 Access): При выборе я согласен, ID устройства входит в профиль VPN. Этот ID можно использовать для проверки подлинности в VPN, чтобы разрешить или предотвратить доступ к сети.

При использовании Cisco AnyConnect с ISE убедитесь в том, что:
- Если вы еще не сделали этого, интегрируете ISE с Intune для NAC, как описано в Microsoft Intune как MDM Server в руководстве администратора движка удостоверений Cisco.
- Включить NAC в профиле VPN.
При использовании SSO Citrix с шлюзом убедитесь:
- Подтвердим, что вы используете Citrix Gateway 12.0.59 или выше.
- Подтвердите, что у пользователей на устройствах установлен citrix SSO 1.1.6 или более поздний.
- Интеграция шлюза Citrix с Intune для NAC. См. руководство по интеграции Microsoft Intune/Enterprise с netScaler (сценарий развертывания LDAP+OTP) Citrix.
- Включить NAC в профиле VPN.
При использовании F5 Access убедитесь в том, что:
- Подтверди, что вы используете F5 BIG-IP 13.1.1.5 или более поздней.
- Интеграция BIG-IP с Intune для NAC. См. осанки устройств с помощью руководства по системам управления конечной точкой F5.
- Включить NAC в профиле VPN.
Для vpn-партнеров, поддерживаюных ID устройства, VPN-клиент, например SSO Citrix, может получить ID. Затем он может запрашивать Intune, чтобы подтвердить регистрацию устройства, и если профиль VPN соответствует или не соответствует требованиям.

Чтобы удалить этот параметр, воссоздайте профиль и не выберите я согласен. Затем перенаменуем профиль.
Введите пары ключей и значений для vpn-атрибутов NetMotion Mobility (только для мобильности NetMotion): введите или импортируете пары ключей и значений. Эти значения могут быть предоставлены поставщиком VPN.
Microsoft Tunnel (только Microsoft Tunnel): Выберите существующий сайт. Vpn-клиент подключается к общедоступным IP-адресу или FQDN этого сайта.

Дополнительные сведения см. в Microsoft Tunnel intune.