הקמת שרת VPN
בענן של AWS

בלי כתוביותעם כתוביות

מילון מושגים:

EC2 - שירות של AWS להפעלת שרתים וירטואליים בענן לפי דרישה ולפי שימוש.

RSA - אלגוריתם הצפנה אסימטרי נפוץ, המבוסס על זוג מפתחות ציבורי ופרטי, לשם הצפנה וחתימה דיגיטלית.

מפתח ציבורי - המפתח הגלוי בהצפנה אסימטרית, שאפשר לחלוק עם כולם, ומשמש להצפנה או לאימות חתימה.

מפתח פרטי - המפתח הסודי בהצפנה אסימטרית, שנשמר אצל בעליו בלבד ומשמש לפענוח או לחתימה דיגיטלית.

כתובת ציבורית - כתובת IP ייחודית וגלויה באינטרנט, שדרכה אפשר להגיע למכשיר או לרשת מבחוץ.

אתר אינטרנט - אוסף של דפים ומשאבים מקושרים המתארחים תחת כתובת אחת ומוגשים דרך דפדפן.

פענוח - המרת מידע מוצפן חזרה לצורתו הקריאה בעזרת המפתח המתאים.

כתובת סטטית - כתובת IP קבועה שמוקצית למכשיר ואינה משתנה, בניגוד לכתובת שמתקבלת אוטומטית ומתחלפת.

הקמת שרת VPN בענן של AWS

בשיעור זה פותחים סדרת הרצאות על הקמת שרת VPN ושרת פרוקסי בענן אמיתי, מבינים איך VPN עוקף חסימות בעזרת פאקט בתוך פאקט, מקימים מכונה וירטואלית ב-AWS עם מפתחות הצפנה, ומתחברים אליה ברימוט דסקטופ.

נושאי הסיכום המוצגים בשיעור:

1. הבעיה שאותה פותרים: בדוגמה המוצגת נמצאים ברוסיה במוסקבה, ספק האינטרנט חוסם שירותים פופולריים כמו יוטיוב ואינסטגרם, והפתרון לעקיפת החסימות הוא שרת VPN שיקום בישראל בענן.

2. איך VPN עוקף חסימה: במקום לשלוח את הפאקט שמיועד ליוטיוב ישירות ולקבל חסימה, מכניסים אותו בתוך פאקט שמיועד לשרת ה-VPN, הפאקט הגדול מוצפן וספק האינטרנט רואה רק תעבורה לכתובת אקראית ואינו יכול טכנית לפתוח ולראות מה בפנים, וכשהפאקט מגיע לשרת ה-VPN בענן השרת פותח אותו, משחרר את הפאקט הפנימי ליוטיוב, מקבל תשובה ומחזיר אותה באותו מסלול, כמו מכונית על גרר.

3. הקמת מכונה ב-EC2: ב-AWS נכנסים ל-EC2, שירות של מכונות וירטואליות בענן, בוחרים את האזור הגיאוגרפי שבו תשב המכונה, בדוגמה תל אביב, ואם האזור אינו זמין אפשר לפתוח אותו בהגדרות ניהול האזורים, ומלחיצים על יצירת Instance חדש ונותנים לו שם.

4. בחירת מערכת וחומרה: בוחרים מערכת הפעלה, בדוגמה שרת Windows חדש, אם כי אפשר להקים שרת VPN גם על לינוקס, ובבחירת סוג ה-Instance מחליטים כמה זיכרון ומעבד לתת למכונה, כאשר ג'יגה אחת עובדת אבל מעטה מדי לשרת וינדוס, ובוחרים בסוג עם ארבעה ג'יגה זיכרון ושני מעבדים, שעולה סכום זעיר לשעה, בערך שקל לחמש שעות.

5. מפתחות הצפנה לסיסמת האדמיניסטרטור: יוצרים זוג מפתחות לפי תקן RSA, מפתח ציבורי שנשאר בענן ומצפין את סיסמת האדמיניסטרטור, ומפתח פרטי בפורמט PEM שמורידים ישר למחשב האישי והוא אפילו לא נשמר רגע בענן, וכך הסיסמה נשמרת מוצפנת בענן ורק בעל המפתח הפרטי יכול לפתוח אותה, מה שמגן מפריצה לענן.

6. אלטרנטיבה של יצירת מפתחות מקומית: אפשר גם ליצור את זוג המפתחות בעצמנו במחשב ולהעלות לענן רק את המפתח הציבורי, ואז בטוחים שהמפתח הפרטי לעולם לא עזב את המחשב שלנו, והענן רק עוזר ביצירת המפתח כשמסתמכים עליו.

7. כתובת ציבורית ופתיחת פורטים: מאשרים כתובת IP ציבורית למכונה כדי שיהיה אפשר להתחבר אליה מהבית, ובחומת האש של הענן פותחים HTTPS, פורט ארבע ארבע שלוש, שישמש לשרת ה-VPN שיתחזה לאתר אינטרנט רגיל, ו-RDP לניהול המכונה, וכמובן שבתוך המכונה יש גם חומת אש פנימית של מיקרוסופט שגם אותה צריך לפתוח, בעוד ההגדרות האלו מדברות על החומת האש החיצונית ברמת הענן כולו.

8. יצירת המכונה והכתובות: מקימים את ה-Instance עם דיסק של שלושים ג'יגה, ובתוך שניות הכל נוצר אוטומטית, ורואים פרטי המכונה כולל את הכתובת החיצונית האינטרנטית ואת הכתובת הפנימית ברשת הפנימית של הענן.

9. VPN לעבודה מהבית: כך בדיוק עובדים בארגונים גדולים, עובד מהבית מתחבר דרך ה-VPN ומגיע לכל שירותי הרשת והכתובות הפנימיות עם הלפטופ שלו מכל מקום בעולם, כאילו הוא בתוך הארגון.

10. שלוש המטרות של VPN: משתמשים ב-VPN לשלוש מטרות עיקריות, לעקוף חסימות כשהשרת הולך ליעד במקומנו והתשובה חוזרת באותו מסלול, לעבוד מהבית ולהתחבר לרשת פנימית מרחוק כשהשרת בודק שם וסיסמה לכל נכנס וזה חוסך קניית כתובות IP ציבוריות לכל שרת, ולהסתיר את כתובת ה-IP שלנו מהאתר שאליו ניגשים ומספק האינטרנט שלא יודע לאילו אתרים אנחנו הולכים, מה שמשמש גם לשמירת פרטיות.

11. הדארקנט כהרחבה של הרעיון: כך עובד גם האינטרנט הסודי, הדארקנט, שבו עושים VPN בתוך VPN בתוך VPN, שלוש שכבות ושלושה פאקטים אחד בתוך השני, וכל המטרה לשמור על אנונימיות.

12. התחברות ברימוט דסקטופ: מעתיקים את הכתובת החיצונית ונכנסים ב-Remote Desktop Connection, והשם הוא אדמיניסטרטור אבל את הסיסמה לא יודעים, ולכן חוזרים לענן, עושים right click על המכונה ובאזור האבטחה שלה בוחרים Get Windows Password, והענן דורש את המפתח הפרטי.

13. פענוח הסיסמה: מעלים את קובץ ה-PEM או פותחים אותו בעורך טקסט, מעתיקים את תוכנו, מדביקים את המפתח הפרטי באתר ולוחצים Decrypt Password, ומקבלים את הסיסמה, מדביקים אותה ברימוט דסקטופ ונכנסים למכונה בענן, שהיא מכונה וירטואלית רגילה שעובדת על החומרה של אמזון.

14. התאמת השעון: הדבר הראשון בתוך המכונה הוא סידור השעון לאזור הזמן שלנו, כי שרת VPN מאוד רגיש לשעון, ורואים שעל שולחן העבודה כבר יש תוכנה שרשמה את נתוני המכונה.

15. ניהול המכונה והעלויות: ב-EC2 אפשר לנהל את המכונה מהממשק, לעשות לה Stop, Restart או למחוק אותה, ורצוי לכבות אותה בלילה ולהדליק בבוקר כי על כל שעה שהיא דולקת משלמים, אבל כשמדליקים אותה מחדש היא מקבלת כתובת IP חדשה, ואם רוצים כתובת קבועה צריך לשלם עבור Elastic IP, ובצד יש גם את המפתחות שיצרנו ואפשר גם לייבא מפתח ציבורי בעצמנו במקום שהענן ייצור אותו.

סיכום:

בשיעור זה הבנו את הרעיון של שרת VPN כפתרון לעקיפת חסימות בעזרת הצפנה שמסתירה את הפאקט הפנימי מספק האינטרנט, הקמנו בפועל מכונה וירטואלית של שרת ווינדוס בענן של AWS עם חומרה מתאימה, מפתחות הצפנה RSA שמגנים על סיסמת האדמיניסטרטור, כתובת ציבורית ופתיחת פורטים בחומות האש ברמת הענן וברמת המכונה, למדנו את שלוש המטרות העיקריות של VPN, חדרנו למכונה ברימוט דסקטופ עם פענוח הסיסמה באמצעות המפתח הפרטי, וסידרנו את השעון ואת הניהול והעלויות של המכונה, ובשיעור הבא נתקין בתוכה את שרת ה-VPN.

פרקי ההרצאה: הקמת שרת VPN בענן של AWS

תמלול ההרצאה: הקמת שרת VPN בענן של AWS

הטקסט המלא של הדקות הראשונות בהרצאה «הקמת שרת VPN בענן של AWS» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם. בהרצאות הקרובות אנחנו נקים שרת VPN ושרת פרוקסי. נעשה הכל על ענן אמיתי וזה הולך להיות מאוד, מאוד מעניין.
00:12
תראו יש לי בעיה. אני נמצא כרגע בתוך מוסקבה ברוסיה ויוטיוב חסום כאן. ספק אינטרנט חוסם יוטיוב. הם גם חוסמים לי אינסטגרם ומי שיציל אותי זה שרת VPN.
00:25
למעשה אני אקח את הפאקט שמיועד ליוטיוב או לכל אתר אחר ובמקום לשלוח אותו ישירות ליוטיוב ולקבל חסימה אני אכניס אותו בתוך פאקט שמיועד לשרת VPN שלי. שרת VPN הולך להיות פה בענן והוא יקבל סתם איזושהי כתובת אקראית ואז ספק האינטרנט שלי יראה פאקט שמיועד לאיזושהי כתובת אקראית והוא לא יחסום את זה כי הוא לא יבין שבפנים יש פאקט אחר שמיועד ליוטיוב.
00:57
הוא לא יראה את זה כי הכל הולך להיות מוצפן וברגע שהפאקט הגדול הזה יגיע לענן לשרת VPN שיהיה פה עוד מעט, השרת יפתח את הפאקט וישחרר את הפאקט הפנימי ליוטיוב, יקבל תשובה ויחזיר לי את זה חזרה דרך VPN.
01:15
זה פאקט בתוך פאקט כמו מכונית על גרר. הגרר הזה זה VPN וספק אינטרנט לא יכול לפתוח את הפאקט הגדול הזה כי הוא מוצפן עם סיסמה שרק אני והגטוויי יודעים ואין לו שום יכולת טכנית לפתוח ולראות מה יש בפנים.
01:31
אז נקודת ההתחלה שלנו שיש לי כתובת IP ברוסיה, במוסקבה. יוטיוב חסום, אינסטגרם חסום, חדשות נניח Ynet לא חסום ואני רוצה לעקוף את החסימות האלו דרך שרת VPN בישראל.
01:46
קודם כל ב-AWS אני נכנס ופה למעלה כותב EC2. EC2 זה מכונות וירטואליות virtual servers in the cloud שזה בדיוק מה שאנחנו צריכים. שרת וירטואלי בענן ונלחץ על Instance. שימו לב פה למעלה אני צריך לבחור חבת שרתים ששם תשב המכונה הווירטואלית שלי, השרת שלי.
02:08
בחרתי תל אביב. למי שאין פה תל אביב יכול ללחוץ Manage Regions ובתוך Manage Regions ליד כל אזור אפשר לבקש שיפתחו אותו, לשים וי וללחוץ Enable.
02:21
שימו לב אני כבר עשיתי את זה עבור ישראל ואז ב-EC2 במכונות הווירטואליות ב-Instancing אנחנו צריכים Instancing שזה המכונות עצמן. לבחור פה תל אביב וללחוץ Launch Instance. ליצור מכונה וירטואלית חדשה.
02:37
ניתן לה שם נניח VPN Server. נבחר מערכת הפעלה, נניח Windows, שזה הולך להיות שרת אלפיים עשרים וחמש. אפשר להקים שרת VPN גם על לינוקסים. אנחנו נעשה את זה על Windows ופה למטה ב-Instance Type נבחר כמה זיכרון וכמה מעבד אנחנו נותנים למכונה הזאת.
02:58
כרגע זה עומד על T שלוש מיקרו שזה ג'יגה אחת של זיכרון. זה יעבוד אבל זה מעט מדי בשביל Windows, בשביל שרת. נלחץ על החץ הקטן הזה ונראה איזה חומרה יש לנו עוד.
03:11
יש לנו T שלוש ננו שזה חצי ג'יגה זיכרון. זה בטוח לא יספיק. T שלוש מיקרו שזה ג'יגה אחת של זיכרון. T שלוש small שתי ג'יגה, medium ארבע ג'יגה. כדי שהכל ירוץ לי חלק אני אקח שרת עם ארבע ג'יגה.
03:26
שימו לב שרת שמבוסס Windows עם ארבע ג'יגה זיכרון יעלה לנו שש סנט לשעה, שזה בערך עשרים אגורות לשעה. זה אומר חמש שעות זה שקל. אז אני בוחר T שלוש medium שזה ארבע ג'יגה RAM עם שני מעבדים ועכשיו צריך לבחור מפתחות הצפנה שאיתם יצפינו את הסיסמה של אדמיניסטרטור.
03:49
זאת אומרת שהסיסמה של אדמיניסטרטור תהיה שמורה בענן בצורה מוצפנת ורק אני עם המפתח שלי אוכל לפתוח את זה ולראות את הסיסמה. זה מיועד להגנה נגד פריצה לענן. כל הסיסמאות בענן נשמרות מוצפנות והמפתח יהיה אצלי במחשב ורק אני אוכל לפתוח את ההצפנה הזו.
04:12
בואו ניצור זוג מפתחות חדש. נקרא לזה Windows Admin Key וזה הולך להיות זוג מפתחות לפי תקן של RSA. זה אומר מפתח פרטי ומפתח ציבורי כאשר מפתח ציבורי נשאר בענן והוא זה שיצפין לי את הסיסמה של האדמיניסטרטור שלי והמפתח הפרטי הולך להיות בפורמט PEM שאמור אצלי בדיסק.
04:33
אני עושה Create key pair. הוא יוצר זוג מפתחות ואת המפתח הפרטי הוא מוריד ישר למחשב שלי. זה אפילו לא נשמר לדקה אחת בענן. אתם יכולים לפתוח Downloads, ללחוץ Right Click על קובץ PEM, Edit in Notepad, לפתוח אותו עם Notepad ולראות את ה-private key שלי והבן זוג שלו, ה-public key שמור בענן.
04:56
יותר מזה, יכולתי לעשות את המפתחות האלו אצלי במחשב ולהעלות את ה-public key לענן בעצמי. לא לסמוך על AWS שיצור לי את המפתח. אפשר לעשות את זה לבד ואז אני בטוח שה-private key לעולם לא עזב את המחשב שלי.
05:11
פשוט AWS עושים לי טובה ועוזרים לי עם יצירת המפתח, אבל אם אני לא סומך עליהם אני יכול לעשות את זה לבד אצלי לוקאלית במחשב ולהעלות אליהם רק את ה-public key. פה למטה אנחנו רואים Public IP Enabled.
05:25
זה אומר שתהיה לי כתובת אינטרנטית אמיתית שאני יכול להתחבר אליה מהבית ובתוך ה-firewall של AWS אני מאפשר חיבור HTTPS שיפתח לי פורט ארבע ארבע שלוש למכונה. אז אנחנו נפתח גם HTTPS עבור שרת VPN שיתחזה לאתר אינטרנט רגיל וגם Remote Desktop כדי שנוכל להתחבר למכונה ולנהל אותה.
05:49
כמובן שיהיה גם Firewall בתוך המכונה שגם שם נצטרך לפתוח את הפורטים האלו. ההגדרות האלו מדברות על Firewall חיצוני ברמת הענן. פשוט בווינדוס יש גם Firewall פנימי של מייקרוסופט עצמם שגם אותו צריך לפתוח.
06:06
זה Firewall חיצוני ברמת AWS ברמת הענן כולו. יהיה לנו דיסק של שלושים ג'יגה, זה יספיק לנו ויש לנו פה סיכום בצד. שרת אלפיים עשרים וחמש חומרה מסוג Medium שזה ארבע ג'יגה זיכרון, חוקים חדשים ב-Firewall ודיסק אחד של שלושים ג'יגה ואני לוחץ Launch Instance.
06:27
הוא מייצר לי כרגע מכונה וירטואלית חדשה. תוך כמה שניות הכל נוצר אוטומט. אני יכול לשים פה וי ולקבל למטה פרטים על המכונה כאשר זאת כתובת IP החיצונית האינטרנטית וזאת כתובת IP פנימית בתוך הרשת הפנימית בענן.
06:45
דרך אגב, ככה בדיוק בארגונים גדולים אפשר לעבוד מהבית, להתחבר לכל שירותי הרשת, לכל הכתובות IP הפנימיות מהבית ולעבוד עם הלפטופ שלי מכל מקום בעולם, כאילו אני בתוך הארגון. כי כל הכתובות IP הפנימיות, כל השירותי רשת הפנימיים של הארגון זמינים לי דרך VPN.
07:07
ככה אני יכול להגיע ל-IP הפנימי של כל שרת בתוך הארגון, ה-IP הרגיל שלהם דרך VPN. אז למעשה משתמשים ב-VPN לשלוש מטרות עיקריות. הראשונה שדיברנו עליה זה לעקוף מגבלות