OpenVPN Road Warrior Installer

Komponen utama yang digunakan dalam panduan instalasi OpenVPN Road Warrior dual-stack ini:

0.1 Apa itu VPN? (Pengenalan Dasar)

VPN (Virtual Private Network) adalah teknologi yang membuat tunnel terenkripsi antara perangkat pengguna dan server jarak jauh melalui jaringan publik (internet). Semua data yang melewati tunnel dienkripsi, sehingga pihak ketiga — ISP, penyerang di Wi-Fi publik, atau pengamat jaringan — tidak dapat membaca isi komunikasi.

Secara praktis, VPN membuat seolah-olah perangkat Anda berada di lokasi server VPN. Alamat IP publik yang terlihat oleh situs web atau layanan lain adalah IP server VPN, bukan IP asli perangkat Anda.

0.2 Mengapa Memerlukan VPN?

1.1 Cara Kerja VPN (Secara Umum)

Proses dasar koneksi VPN dapat diringkas sebagai berikut:

1. Autentikasi: Klien membuktikan identitasnya ke server (sertifikat, username/password, atau kombinasi keduanya).
2. Negosiasi kunci: Server dan klien menyepakati algoritma enkripsi serta menukar kunci sesi secara aman (biasanya melalui TLS/SSL atau protokol key-exchange khusus).
3. Pembentukan tunnel: Interface virtual (TUN/TAP) dibuat di kedua sisi; paket IP dienkapsulasi dan dienkripsi sebelum dikirim melalui internet.
4. Routing: Traffic yang memenuhi kebijakan (full-tunnel atau split-tunnel) diarahkan ke interface VPN.
5. Dekripsi di sisi server: Server membuka enkripsi, meneruskan paket ke tujuan, dan mengenkripsi respons kembali ke klien.

1.2 Jenis-Jenis VPN Berdasarkan Topologi

Script OpenVPN Road Warrior Installer dirancang khusus untuk model Remote Access / Road Warrior: klien mobile atau desktop yang terhubung dari lokasi mana pun ke server VPN Anda.

1.3 Jenis VPN Berdasarkan Protokol

1.4 Apa itu OpenVPN?

OpenVPN adalah solusi VPN open-source yang menggunakan SSL/TLS untuk autentikasi dan enkripsi. Protokol ini mendukung mode TUN (layer 3 / IP) dan TAP (layer 2 / Ethernet), dapat berjalan di UDP atau TCP, dan kompatibel dengan hampir semua platform: Windows, macOS, Linux, iOS, Android, serta router (MikroTik, pfSense, OpenWrt, dsb.).

OpenVPN menjadi pilihan utama untuk self-hosted VPN karena:

• Kode terbuka dan diaudit secara luas oleh komunitas keamanan
• Fleksibilitas tinggi (cipher, auth, routing, plugin)
• Kemampuan melewati firewall dan NAT yang ketat (terutama mode TCP 443)
• Ekosistem klien yang matang di semua platform utama

1.5 Apa itu OpenVPN Road Warrior?

Road Warrior adalah pola konfigurasi di mana klien (laptop, smartphone, tablet) terhubung dari lokasi mana pun ke server VPN pusat. Setiap klien mendapat alamat IP privat dari pool VPN; traffic internet (atau traffic selektif) diarahkan melalui tunnel terenkripsi. Model ini ideal untuk:

• Pekerja remote / hybrid
• Akses aman ke resource internal kantor
• Perlindungan koneksi di jaringan publik (Wi-Fi hotel, bandara)
• Pengguna yang ingin menjaga privasi IP publik

1.6 Mengapa Menggunakan Script Ini?

1.7 Arsitektur OpenVPN (Client-Server Model)

OpenVPN menggunakan arsitektur client-server dengan komponen-komponen berikut:

• OpenVPN Server Daemon: Proses yang berjalan di server, menerima koneksi dari klien, dan mengelola tunnel.
• TUN/TAP Interface: Virtual network interface — TUN untuk layer 3 (IP routing), TAP untuk layer 2 (Ethernet bridging). Road Warrior menggunakan TUN.
• PKI (Public Key Infrastructure): Infrastruktur sertifikat yang terdiri dari CA (Certificate Authority), server certificate, dan client certificates. Managed oleh Easy-RSA.
• Control Channel: Koneksi TCP/UDP yang digunakan untuk negosiasi kunci dan manajemen tunnel. Dilindungi oleh TLS-crypt.
• Data Channel: Saluran terenkripsi di mana paket IP pengguna di-transfer. Menggunakan cipher yang ditentukan (default: AES-256-GCM).

1.8 Perbandingan OpenVPN dengan Alternatif Modern

Pilihan protokol tergantung pada kebutuhan spesifik: OpenVPN untuk fleksibilitas maksimal dan kompatibilitas; WireGuard untuk kecepatan dan kesederhanaan; IKEv2 untuk mobile roaming. Script ini fokus pada OpenVPN karena ekosistem dan kontrol yang ditawarkan untuk skenario road-warrior yang kompleks.

Sebelum menjalankan script, pastikan server memenuhi persyaratan berikut. Script akan memeriksa sebagian besar kondisi secara otomatis, namun persiapan manual mengurangi risiko kegagalan.

Rekomendasi Hardware & Cloud

Cloud providers yang mendukung dual-stack dan OpenVPN dengan baik: AWS EC2, Google Cloud Compute Engine, Azure VM, DigitalOcean Droplets, Hetzner Cloud, Vultr, dan Oracle Cloud Free Tier. Pastikan security group / firewall mengizinkan inbound UDP/TCP 1194 dan SSH (22 atau custom).

Persyaratan Wajib

• Superuser privileges (root atau sudo) — script menulis konfigurasi sistem dan mengelola service
• Network interface aktif dengan alamat IPv4 dan/atau IPv6 global
• TUN device tersedia (/dev/net/tun) — wajib untuk mode TUN OpenVPN
• Distribusi berbasis systemd
• Bash ≥ 4.0
• Koneksi internet aktif untuk mengunduh paket OpenVPN dan dependensi

Verifikasi TUN Device

# Cek apakah modul TUN tersedia
ls -l /dev/net/tun

# Jika tidak ada, muat modul
sudo modprobe tun
# Pastikan dimuat saat boot (opsional)
echo "tun" | sudo tee -a /etc/modules-load.d/tun.conf

Pilih salah satu opsi di bawah. Option 1 (Maintained Version) direkomendasikan karena menyertakan seluruh fitur dual-stack, Unbound, dan hardening.

3.1 Option 1 — Maintained Version (Recommended)

wget https://raw.githubusercontent.com/alsyundawy/OpenVPN-Install/refs/heads/master/openvpn-install.sh \
  -O openvpn-install.sh && sudo bash openvpn-install.sh

curl -O https://raw.githubusercontent.com/alsyundawy/OpenVPN-Install/refs/heads/master/openvpn-install.sh \
  && sudo bash openvpn-install.sh

3.2 Option 2 — Original Nyr Version

wget https://raw.githubusercontent.com/alsyundawy/OpenVPN-Install/refs/heads/master/openvpn-install-nyr.sh \
  -O openvpn-install-nyr.sh && sudo bash openvpn-install-nyr.sh

curl -O https://raw.githubusercontent.com/alsyundawy/OpenVPN-Install/refs/heads/master/openvpn-install-nyr.sh \
  && sudo bash openvpn-install-nyr.sh

3.3 Langkah Interaktif yang Akan Ditanyakan

1. Pemilihan network interface primer (IPv4 / IPv6) — script mendeteksi otomatis, konfirmasi jika benar
2. Protocol transport: UDP (sangat direkomendasikan) atau TCP
3. Listening port (default: 1194) — ubah jika port sudah digunakan atau dibatasi firewall
4. DNS resolver yang diinginkan (Unbound, Cloudflare, Google, Quad9, atau custom)
5. Nama client awal — akan menghasilkan file .ovpn dengan nama tersebut

3.4 Apa yang Dilakukan Script Secara Otomatis?

• Menginstal paket OpenVPN dan Easy-RSA dari repositori resmi
• Membangun infrastruktur PKI (CA, server certificate, Diffie-Hellman / ECDH)
• Menulis server.conf dengan parameter keamanan modern
• Mengaktifkan IP forwarding dan menambahkan aturan firewall
• Membuat serta mengaktifkan unit systemd
• Menghasilkan profil klien pertama (.ovpn) lengkap dengan sertifikat dan kunci

3.5 Verifikasi Pasca-Instalasi

Setelah script selesai, jalankan perintah berikut untuk memastikan server berjalan dengan benar:

# Cek status service
sudo systemctl status openvpn-server@server

# Verifikasi port listening
sudo ss -tulnp | grep 1194

# Test konfigurasi
sudo openvpn --config /etc/openvpn/server/server.conf --verb 3

# Cek IP forwarding
sysctl net.ipv4.ip_forward
sysctl net.ipv6.conf.all.forwarding  # jika IPv6 diaktifkan

# Verifikasi firewall rules
sudo iptables -L -n | grep 1194
sudo nft list ruleset | grep 1194   # jika menggunakan nftables

• Instalasi otomatis penuh: OpenVPN + Easy-RSA PKI, sertifikat CA & server, firewall rules, IP forwarding, systemd service — tanpa konfigurasi manual yang rumit.
• Dual-stack IPv4 + IPv6: Klien menerima alamat dari kedua stack secara native; traffic IPv6 tidak perlu di-tunnel secara terpisah.
• Unbound recursive DNS: Resolver lokal yang aman dan privat (opsional saat instalasi). Query DNS tidak bocor ke resolver publik.
• Security hardening defaults: Cipher modern (AES-256-GCM / ChaCha20-Poly1305), TLS-crypt untuk melindungi control channel, privilege dropping setelah inisialisasi.
• Manajemen client interaktif: Tambah / hapus / regenerate profil .ovpn kapan saja dengan menjalankan ulang script.
• Colorized output & UX modern: Feedback yang jelas selama proses instalasi dan manajemen.
• Firewall otomatis: Deteksi backend (firewalld / nftables / iptables) dan penerapan aturan yang sesuai untuk port OpenVPN.
• CRL support: Certificate Revocation List untuk mencabut klien yang dikompromikan tanpa mengganggu klien lain.

Script menawarkan beberapa pilihan DNS resolver saat instalasi. Pilihan Unbound sangat direkomendasikan untuk privasi maksimal karena resolver berjalan di dalam server VPN dan hanya melayani klien yang terhubung melalui tunnel.

Setelah instalasi, jalankan kembali script yang sama untuk mengelola server. Script mendeteksi instalasi yang sudah ada dan menampilkan menu manajemen.

sudo bash openvpn-install.sh

Menu interaktif akan menampilkan opsi:

• Add a new client — generate profil .ovpn baru dengan nama yang Anda tentukan
• Revoke an existing client — cabut sertifikat klien (CRL); klien tersebut tidak dapat terhubung lagi
• Remove OpenVPN — uninstall bersih termasuk firewall rules, unit systemd, dan file konfigurasi

6.1 Detail Menu Manajemen

Script menampilkan menu interaktif berikut saat dijalankan setelah instalasi:

Untuk mengelola klien secara bulk atau otomatis, Anda dapat menambahkan wrapper script di sekitar openvpn-install.sh dengan input non-interaktif (jika didukung oleh versi script).

Profil .ovpn yang dihasilkan kompatibel dengan hampir semua klien modern. Berikut rekomendasi per platform beserta langkah import singkat.

7.1 Windows

• OpenVPN Connect (Official) — openvpn.net/client (Windows 10/11, Server 2019/2022)
• OpenVPN GUI — github.com/OpenVPN/openvpn-gui (lightweight, open-source)

Import OpenVPN Connect: Add Profile → Upload File → pilih file .ovpn → Connect.

Import OpenVPN GUI: Import → Import File, atau salin .ovpn ke C:\Users\<user>\OpenVPN\config\.

7.2 macOS

• OpenVPN Connect — openvpn.net/client
• Tunnelblick (gratis & open-source) — tunnelblick.net
• Viscosity (komersial) — sparklabs.com/viscosity

Tunnelblick: double-click file .ovpn → Install for Me / All Users → Connect.

7.3 Linux (Desktop & CLI)

sudo apt update
sudo apt install network-manager-openvpn network-manager-openvpn-gnome
# Kemudian: Settings → Network → VPN → + → Import from File

sudo apt install openvpn          # Debian/Ubuntu
sudo dnf install openvpn          # Fedora / RHEL / Alma / Rocky
sudo openvpn --config client.ovpn
# Disconnect: tekan CTRL+C

nmcli connection import type openvpn file client.ovpn
nmcli connection show
nmcli connection up <nama-koneksi>

7.4 Android & iOS

• OpenVPN Connect (official) tersedia di Google Play dan App Store
• Import profil .ovpn melalui aplikasi (file atau URL), lalu Connect
• Pastikan izin VPN diberikan saat diminta sistem operasi

Mulai RouterOS v7.12, MikroTik mendukung import langsung file .ovpn. Fitur ini menyederhanakan deployment klien OpenVPN di router.

8.1 Persyaratan

• RouterOS v7.12 atau lebih baru
• WinBox, WebFig, atau akses SSH
• File .ovpn yang valid
• Waktu sistem tersinkronisasi (NTP) — penting untuk validasi sertifikat

8.2 Import via WinBox

1. Upload file client.ovpn ke Files
2. Buka PPP → OVPN → Import, pilih file, isi username/password jika diminta, klik Import
3. Cek Interfaces → OVPN Client dan enable interface jika perlu

8.3 Import via CLI

/interface/ovpn-client/import-ovpn-configuration \
  file-name=client.ovpn \
  ovpn-user=myuser \
  ovpn-password=mypassword \
  skip-cert-import=no

/interface/ovpn-client/enable 0
/interface/ovpn-client/monitor 0

Script menerapkan parameter keamanan modern secara default. Berikut ringkasan praktik yang diterapkan dan yang sebaiknya Anda jaga setelah instalasi.

• Cipher modern: AES-256-GCM atau ChaCha20-Poly1305 (AEAD) — memberikan kerahasiaan dan integritas sekaligus
• TLS-crypt: melindungi control channel dari scanning, fingerprinting, dan serangan DoS tingkat awal
• Minimal privilege: OpenVPN dijalankan dengan privilege yang dibatasi setelah inisialisasi (user non-root jika memungkinkan)
• Firewall otomatis: hanya membuka port OpenVPN yang dipilih + SSH; aturan dilengkapi untuk IPv4 dan IPv6
• CRL support: Certificate Revocation List untuk mencabut klien yang dikompromikan
• Unbound DNS: mencegah DNS leak ke resolver publik
• PKI terisolasi: CA dan kunci privat disimpan di server; jangan mengekspor CA key ke perangkat klien

9.1 Parameter Keamanan Detail

Kontrol operasional yang direkomendasikan untuk menjaga ketersediaan, keamanan, dan kemudahan maintenance jangka panjang.

MUST — Wajib

• Gunakan UDP 1194 (atau port custom yang sudah dibuka) dan dual-stack jika hosting mendukung IPv6
• Backup file .ovpn, direktori Easy-RSA, dan server.conf secara rutin
• Revoke segera klien yang hilang, dicuri, atau tidak lagi digunakan
• Jaga waktu sistem tersinkronisasi (NTP) — sertifikat bergantung pada waktu yang akurat
• Pantau log systemd dan firewall setelah instalasi serta setelah setiap perubahan

SHOULD — Disarankan

• Pilih Unbound sebagai DNS resolver untuk privasi maksimal
• Gunakan cipher AEAD modern (default script sudah aman)
• Batasi akses SSH dan OpenVPN hanya dari IP yang diperlukan jika memungkinkan
• Update sistem dan paket OpenVPN secara berkala
• Dokumentasikan nama klien dan tanggal penerbitan sertifikat

AVOID — Hindari

• Menjalankan OpenVPN tanpa firewall yang mengontrol port masuk
• Membagikan file .ovpn melalui saluran tidak terenkripsi (email plain, chat publik)
• Menggunakan password lemah atau tidak mencabut klien yang tidak lagi digunakan
• Menonaktifkan TLS-crypt atau menurunkan cipher ke algoritma usang (BF-CBC, DES, dsb.)
• Menyimpan CA private key di perangkat klien atau di lokasi yang tidak terlindungi

12.1 Ringkasan Teknis Arsitektur

Panduan ini telah membahas instalasi dan operasional OpenVPN Road Warrior menggunakan script maintained dari repository alsyundawy/OpenVPN-Install. Script mengotomatiskan seluruh pipeline deployment: instalasi paket, pembentukan PKI (Certificate Authority + Server Certificate + Diffie-Hellman/ECDH), konfigurasi server.conf dengan parameter keamanan modern, penerapan aturan firewall (firewalld / nftables / iptables), konfigurasi IP forwarding, DNS resolver (Unbound/Cloudflare/Google/Quad9/Custom), pembuatan unit systemd, serta generasi profil klien .ovpn yang siap diimpor.

Model Road Warrior dirancang untuk remote access individu (laptop, smartphone, tablet) yang membutuhkan tunnel terenkripsi ke server pusat — ideal untuk mengakses resource internal, melindungi traffic di jaringan publik, atau menjaga privasi IP publik dari mana saja.

12.2 Summary Operasional & Deployment Checklist

Gunakan tabel di bawah ini sebagai acara cepat (quick reference) untuk memverifikasi setiap aspek deployment telah terpenuhi sebelum meluncurkan ke produksi:

12.3 Langkah Berikutnya (Next Steps)

Setelah server berhasil diinstal dan diverifikasi, lakukan langkah-langkah berikut untuk memastikan operasional yang aman dan berkelanjutan:

12.4 Kesimpulan

Dengan mengikuti panduan ini secara berurutan — mulai dari pemahaman konsep VPN, persiapan sistem, instalasi script, konfigurasi DNS, hingga hardening dan best practices — operator memperoleh server OpenVPN production-ready yang:

• Siap melayani klien road-warrior dalam hitungan menit — tidak memerlukan konfigurasi manual berjam-jam
• Mendukung dual-stack IPv4/IPv6 secara native — siap menghadapi transisi IPv6 global
• Dilengkapi opsi DNS privat (Unbound) — mencegah DNS leak dan meningkatkan privasi pengguna
• Menerapkan cipher dan protokol keamanan modern secara default — AES-256-GCM, ChaCha20-Poly1305, TLS-crypt, CRL
• Mudah dikelola — tambah/cabut/regenerasi profil klien tanpa menyentuh konfigurasi manual
• Multi-platform — kompatibel dengan Windows, macOS, Linux, Android, iOS, dan MikroTik RouterOS v7.12+

OpenVPN bukan pengganti praktik keamanan lain (patching sistem, MFA, least privilege access, network segmentation), tetapi merupakan lapisan kritis untuk melindungi data in-transit dan mengendalikan akses jarak jauh. Kombinasikan OpenVPN dengan firewall yang ketat, monitoring log berkelanjutan, dan prosedur revoke yang disiplin agar layanan tetap aman, stabil, dan andal dalam jangka panjang.