Nastavení OpenConnect VPN Server pro Cisco AnyConnect na Ubuntu 14.04 x64

OpenConnect server, také známý jako ocserv, je server VPN, který komunikuje přes SSL. Podle návrhu je jeho cílem stát se bezpečným, lehkým a rychlým serverem VPN. Server OpenConnect používá protokol OpenConnect SSL VPN. V době psaní tohoto článku má také experimentální kompatibilitu s klienty, kteří používají protokol AnyConnect SSL VPN.

Tento článek vám ukáže, jak nainstalovat a nastavit ocserv na Ubuntu 14.04 x64.

Instalace ocserv

Protože Ubuntu 14.04 není dodáván s ocserv, budeme si muset stáhnout zdrojový kód a zkompilovat ho. Nejnovější stabilní verze ocserv je 0.9.2.

Stáhněte si ocserv z oficiálních stránek.

wget ftp://ftp.infradead.org/pub/ocserv/ocserv-0.9.2.tar.xz
tar -xf ocserv-0.9.2.tar.xz
cd ocserv-0.9.2

Dále nainstalujte závislosti kompilace.

apt-get install build-essential pkg-config libgnutls28-dev libwrap0-dev libpam0g-dev libseccomp-dev libreadline-dev libnl-route-3-dev

Zkompilujte a nainstalujte ocserv.

./configure
make
make install

Konfigurace ocserv

Ukázkový konfigurační soubor je umístěn v adresáři ocser-0.9.2/doc. Tento soubor použijeme jako šablonu. Nejprve si musíme vytvořit vlastní certifikát CA a certifikát serveru.

cd ~
apt-get install gnutls-bin
mkdir certificates
cd certificates

Vytvoříme soubor šablony CA ( ca.tmpl) s obsahem podobným následujícímu. Můžete si nastavit vlastní "cn" a "organizaci".

cn = "VPN CA" 
organization = "Big Corp" 
serial = 1 
expiration_days = 3650
ca 
signing_key 
cert_signing_key 
crl_signing_key 

Poté vygenerujte klíč CA a certifikát CA.

certtool --generate-privkey --outfile ca-key.pem
certtool --generate-self-signed --load-privkey ca-key.pem --template ca.tmpl --outfile ca-cert.pem

Dále vytvořte soubor šablony certifikátu místního serveru ( server.tmpl) s níže uvedeným obsahem. Věnujte prosím pozornost poli „cn“, musí odpovídat názvu DNS nebo IP adrese vašeho serveru.

cn = "you domain name or ip"
organization = "MyCompany" 
expiration_days = 3650 
signing_key 
encryption_key
tls_www_server

Poté vygenerujte klíč serveru a certifikát.

certtool --generate-privkey --outfile server-key.pem
certtool --generate-certificate --load-privkey server-key.pem --load-ca-certificate ca-cert.pem --load-ca-privkey ca-key.pem --template server.tmpl --outfile server-cert.pem

Zkopírujte klíč, certifikát a konfigurační soubor do adresáře ocserv config.

mkdir /etc/ocserv
cp server-cert.pem server-key.pem /etc/ocserv
cd ~/ocserv-0.9.2/doc
cp sample.config /etc/ocserv/config
cd /etc/ocserv

Upravte konfigurační soubor pod /etc/ocserv. Odkomentujte nebo upravte pole popsaná níže.

auth = "plain[/etc/ocserv/ocpasswd]"

try-mtu-discovery = true

server-cert = /etc/ocserv/server-cert.pem
server-key = /etc/ocserv/server-key.pem

dns = 8.8.8.8

# comment out all route fields
#route = 10.10.10.0/255.255.255.0
#route = 192.168.0.0/255.255.0.0
#route = fef4:db8:1000:1001::/64
#no-route = 192.168.5.0/255.255.255.0

cisco-client-compat = true

Vygenerujte uživatele, který bude použit pro přihlášení do ocserv.

ocpasswd -c /etc/ocserv/ocpasswd username

Povolit NAT.

iptables -t nat -A POSTROUTING -j MASQUERADE

Povolit předávání IPv4. Upravte soubor /etc/sysctl.conf.

net.ipv4.ip_forward=1

Použijte tuto úpravu.

sysctl -p /etc/sysctl.conf

Spusťte ocserv a připojte se pomocí Cisco AnyConnect

Nejprve spusťte ocserv.

ocserv -c /etc/ocserv/config

Poté nainstalujte Cisco AnyConnect na libovolné ze svých zařízení, jako je iPhone, iPad nebo zařízení Android. Protože jsme použili serverový klíč a certifikát s vlastním podpisem, musíme zrušit zaškrtnutí možnosti, která zabraňuje nezabezpečeným serverům. Tato možnost se nachází v nastavení AnyConnect. V tomto okamžiku můžeme nastavit nové připojení s názvem domény nebo IP adresou našeho ocserv a uživatelským jménem/heslem, které jsme vytvořili.

Připojte se a užívejte si!