Surveillance OpenVPN avec script Powershell
Depuis quelques mois, je suis inscrit chez
IPredator un fournisseur de VPN et jusqu'à maintenant je suis très satisfait de leur service. Le prix est de 6 euros par mois. Il existe des fournisseurs de VPN gratuit (SecurityKiss mon préféré) mais avec des services limités ou avec de la publicité. Le service IPredator, ainsi que SecurityKiss, fonctionnent avec le logiciel gratuit
OpenVPN que l'on peut télécharger
ici. Grâce à ce service, on devient complètement anonyme sur internet puisqu'on obtient une adresse IP d'un pays étranger (La suède dans le cas de IPredator). En outre, le transfert de données est crypté ce qui est primordial quand on télécharge des données sensibles ou personnelles.
Pour connaitre votre adresse IP, plusieurs sites sont à votre disposition.
Je vais tenter de vous expliquer ma solution complète pour installer, configurer, contrôler, et même améliorer OpenVPN sur votre PC avec Windows 10/8/8.1
- A l'aide d'un script Powershell que je livre gratuitement plus bas, vous aurez une indication permanente de l'état de votre connexion VPN dans la zone des icônes (qu'on appelle Systray) près de l'horloge en bas à droite de la barre des tâches. Le script bloque aussi automatiquement vos échanges de données, vos téléchargements si votre connexion VPN est en panne ou si vous avez oublié de la démarrer.
 |
| Téléchargements bloqués |
- Inversement, elle débloque le trafic de votre PC quand tout est OK :
 |
| Téléchargements autorisés |
- D'un clic droit sur l'icône de mon script, vous avez accès à quelques fonctions utiles :
 |
| Menu contextuel |
Pour ce faire, il vous faudra créer des règles de blocage dans le pare-feu pour chaque application que vous souhaitez contrôler (Emule, Mipony, JDownloader, uTorrent, qBitTorrent, etc). Je reviendrai ultérieurement là-dessus plus en détail.
Par défaut, toutes les 3 heures, le script redémarre le service OpenVPN. Chez IPredator, cela permet de changer d'adresse IP. Vous pouvez modifier cette fréquence dans la base de registre (voir explications plus bas).
Avec ma solution, oubliez l'interface du OpenVPN GUI. C'est le script qui gère tout par l'intermédiaire du service OpenVPN.
Si ma solution vous intéresse, je vous invite à lire ce qui suit. Vous n'êtes pas obligé de choisir IPredator comme fournisseur de VPN.
1. Choisir un fournisseur de VPN utilisant OpenVPN.
SecurityKiss est gratuit et est parfait pour du simple surf sur Internet.
Mais ma préférence va à IPredator. Préférez un paiement mensuel (6€) comme ça vous pourrez changer de fournisseur si vous n'êtes pas satisfait. En plus, cela n'apporte rien de prendre un abonnement sur plusieurs mois : les tarifs ne sont pas dégressifs chez IPredator. Vous pouvez dans un premier temps demander un essai gratuit de 3 jours.
Comme moyen de paiement j'ai choisi PayPal.
Vous devez vous procurer des fichiers de config d'OpenVPN auprès de votre fournisseur de VPN.
Chez IPredator cela consiste en 2 fichiers à télécharger :
Pour télécharger ces fichiers, cliquer sur les 2 liens ci-dessus et faites "enregistrer le lien sous..."
Il peut y avoir plus de fichiers selon le fournisseur : un certificat et une clé. Mais chez IPredator, ils sont intégrés ("inline") dans le fichier IPredator.ovpn
Il faut modifier un peu ces 2 fichiers :
- Le fichier IPredator.ovpn : ajouter "IPredator.auth" à la commande "auth-user-pass" comme indiqué ci-dessous.
 |
| Extrait du fichier ovpn à modifier |
- Le fichier IPredator.auth. Ouvrez ce fichier.
- Sur la première ligne, mettre votre identifiant IPredator ou autre fournisseur.
- Sur la deuxième ligne, mettre votre mot de passe.
- Lors de votre inscription à votre fournisseur, choisissez un mot de passe compliqué avec des majuscules, minuscules, des chiffres...
- Ne vous trompez pas d'identifiant. Chez IPredator, c'est l'identifiant utilisé pour vous identifier sur le site.
- Ces fichiers devront être installés plus tard dans le dossier Config de OpenVPN. Conservez les précieusement !
2. Installer le logiciel OpenVPN
- Télécharger le logiciel ici. Préférer la version 64 bits si votre machine est compatible.
- Lancer l'installation, cliquer sur Next :
1. Dans le panneau de configuration, cliquez sur 'Pare-feu Windows'.
2. Puis cliquer sur "Paramètres avancés" :
 |
| Pare-feu Windows |
3. Créer une règle de trafic entrant pour chaque logiciel dont vous voulez bloquer le trafic sans VPN
Chaque règle doit porter le même nom : "OpenVPN WatchOut".
- Cliquer sur "Règles de trafic entrant"
- Cliquer sur "Action" puis sur "Nouvelle Règle"
 |
| Règles de trafic entrant |
- Sélectionner le bouton Programme puis cliquer sur suivant
 |
| Type de règle |
- Cliquer sur le bouton "Au programme ayant..." puis bouton parcourir
 |
| Chemin d'accès des exécutables à bloquer |
- Parcourir l'arborescence jusqu'à l'exécutable à bloquer (Mipony dans l'exemple). Sélectionner le fichier puis Ouvrir.
 |
| Ici la règle concerne Mipony |
- Cliquer sur suivant pour passer à l'étape suivante
- Cliquer sur le bouton "Bloquer la connexion" puis suivant
 |
| Ici on bloque la connexion de Mipony |
- Vérifier que les 3 cases sont bien cochées puis suivant
 |
| Profils auxquels s'applique la règle |
- Nommer bien la règle "OpenVPN WatchOut" puis cliquer sur Terminer.
 |
| Bien nommer la règle |
- Voilà, la 1ère règle est créée. Répéter l'opération pour chaque exécutable.
- Puis vous devez recommencer pour les règles de trafic sortant. C'est un peu répétitif mais bon c'est à faire qu'une fois.
 |
| Règles de trafic sortant |
4. Installation du script Powershell
Il faut maintenant installer mon script Powershell.
Plusieurs étapes :
- Cliquer sur le lien pour télécharger le zip :
- Le zip contient 1 dossier nommé "WatchOut" qui doit être recopié dans "%ProgramFiles%\OpenVPN" comme ci-dessous.
 |
| Dossier d'installation d'OpenVPN |
Voici le contenu du dossier WatchOut :
 |
| Contenu du dossier WatchOut |
- Tout d'abord, il y a le script powershell (extension ps1). Ce script a été signé avec un certificat à mon nom présent dans le dossier. Cela assure que personne (virus ou intrus) n'a modifié mon script pour y inscrire du code malicieux/dangereux pour votre ordinateur. Si quelqu'un modifie le script, celui-ci ne pourra plus s'exécuter !
- OK.ico et Interdit.ico : les icônes utilisés par le script pour indiquer l'état du VPN dans le systray. Rien à faire. Vous pouvez les changer si ça vous chante.
- WatchOut.reg : double-cliquer sur ce fichier pour importer, dans la base de registre, des clés nécessaires pour le script dans la base de registre. Il faut alors cliquer sur le bouton "Exécuter", puis accepter les modifications apportées à la base de registre.
- Il faut maintenant personnaliser ces nouvelles clés :
- Exécuter regedit
- Aller dans la clé "HKEY_LOCAL_MACHINE\Software\OpenVPN WatchOut"
 |
| Clés de registre |
- Log : La valeur 0 signifie pas de journal (par défaut). La valeur 1 active le journal.
- IntervalWatchOutSeconds est réglé sur 10 secondes par défaut. Toutes les 10 secondes, le script contrôle le bon fonctionnement du VPN.
- IntervalRestartMinutes est réglé sur 3 heures par défaut (180 minutes). Toutes les 3 heures, le service OpenVPN redémarre, ce qui change votre adresse IP (chez IPredator).
- Language : Mettre "fr" pour afficher les messages en français ou bien "en" pour english.
- Le fichier "Michael Letombe.cer" est un certificat qu'il faut absolument installer pour protéger votre poste. Par exemple, si un virus ou un intrus essaie de modifier le script, Powershell bloquera l'exécution du script.
- Double-cliquer sur le certificat.
- Cliquer sur Ouvrir
 |
| Ouverture du certificat |
- Puis cliquer sur "Terminer"
- Puis acceptez ou pas :-( d'installer le certificat.
 |
| Certificat à mon nom |
- Cela devrait se terminer ainsi :
 |
| Succès de l'importation |
- Reste à configurer Powershell pour n'autoriser que les scripts signés. Par défaut, Powershell n'autorise aucun script. Il faut donc abaisser d'un cran le niveau de sécurité. Autoriser tous les scripts est trop dangereux. Par contre, on peut autoriser uniquement les scripts signés. Un script signé est alors considéré comme sûr.
- Exécuter Powershell ISE en tant qu'administrateur.
- Taper la commande suivante dans la zone noire :
- Set-ExecutionPolicy -ExecutionPolicy AllSigned
 |
| La commande Set-ExecutionPolicy |
- Apparait un giga-popup ! Il faut cliquer sur "Oui"
 |
| Popup qui fait peur ;-) |
5. Test d'exécution du script Powershell.
Voici le moment de vérité :
- Si vous l'avez fermé, ouvrez à nouveau Powershell ISE (en administrateur encore).
- Cliquer sur "Fichier" puis "ouvrir" et naviguer jusqu'au script dans "%ProgramFiles%\OpenVPN\Watchout". Sélectionner et ouvrir le script.
- Appuyer sur la touche F5 pour exécuter le script.
- Un giga-popup apparaît. Cliquer sur "Toujours exécuter" sinon il va vous le demander à chaque fois.
- Si vous avez bien tout exécuté comme indiqué, vous devriez voir apparaître une icône et une info-bulle dans le systray.
 |
| Info-Bulle du démarrage du service OpenVPN |
- Et si tout va bien, cela se termine par un feu-vert :
 |
| Feu vert |
Un bug sur Windows 10 peut empêcher l'affichage correct des notifications (info-bulles). Pour corriger ce problème, exécuter le fichier "BalloonNotifications w10.reg" présent dans le zip téléchargé précédemment.
Le programme peut être exécuté avec Windows 7. Cependant il faut que vous téléchargiez et installiez au préalable Windows Management Framework 5.0 ici :
https://www.microsoft.com/en-us/download/details.aspx?id=50395
- Il ne vous reste plus qu'à redémarrer votre ordinateur et à l'ouverture de votre session, le script Powershell s'exécutera. Juste avant le démarrage du script, une fenêtre de demande d'autorisation d'exécution de Powershell apparaît. Vous pouvez modifier ce comportement mais pour des raisons de sécurité, ce n'est pas recommandé.
