Ρύθμιση διακομιστή OpenConnect VPN για Cisco AnyConnect στο Ubuntu 14.04 x64

Ο διακομιστής OpenConnect, γνωστός και ως ocserv, είναι ένας διακομιστής VPN που επικοινωνεί μέσω SSL. Σχεδιαστικά, στόχος του είναι να γίνει ένας ασφαλής, ελαφρύς και γρήγορος διακομιστής VPN. Ο διακομιστής OpenConnect χρησιμοποιεί το πρωτόκολλο OpenConnect SSL VPN. Τη στιγμή της σύνταξης, έχει επίσης πειραματική συμβατότητα με πελάτες που χρησιμοποιούν το πρωτόκολλο AnyConnect SSL VPN.

Αυτό το άρθρο θα σας δείξει πώς να εγκαταστήσετε και να ρυθμίσετε το ocserv στο Ubuntu 14.04 x64.

Εγκατάσταση του ocserv

Επειδή το Ubuntu 14.04 δεν αποστέλλεται με το ocserv, θα πρέπει να κατεβάσουμε τον πηγαίο κώδικα και να τον μεταγλωττίσουμε. Η τελευταία σταθερή έκδοση του ocserv είναι η 0.9.2.

Κατεβάστε το ocserv από τον επίσημο ιστότοπο.

wget ftp://ftp.infradead.org/pub/ocserv/ocserv-0.9.2.tar.xz
tar -xf ocserv-0.9.2.tar.xz
cd ocserv-0.9.2

Στη συνέχεια, εγκαταστήστε τις εξαρτήσεις μεταγλώττισης.

apt-get install build-essential pkg-config libgnutls28-dev libwrap0-dev libpam0g-dev libseccomp-dev libreadline-dev libnl-route-3-dev

Μεταγλώττιση και εγκατάσταση του ocserv.

./configure
make
make install

Διαμόρφωση ocserv

Ένα δείγμα αρχείου διαμόρφωσης τοποθετείται κάτω από τον κατάλογο ocser-0.9.2/doc. Θα χρησιμοποιήσουμε αυτό το αρχείο ως πρότυπο. Αρχικά, πρέπει να φτιάξουμε το δικό μας πιστοποιητικό CA και πιστοποιητικό διακομιστή.

cd ~
apt-get install gnutls-bin
mkdir certificates
cd certificates

Δημιουργούμε ένα αρχείο προτύπου CA ( ca.tmpl) με περιεχόμενο παρόμοιο με το παρακάτω. Μπορείτε να ορίσετε το δικό σας "cn" και "organization".

cn = "VPN CA" 
organization = "Big Corp" 
serial = 1 
expiration_days = 3650
ca 
signing_key 
cert_signing_key 
crl_signing_key 

Στη συνέχεια, δημιουργήστε ένα κλειδί CA και ένα πιστοποιητικό CA.

certtool --generate-privkey --outfile ca-key.pem
certtool --generate-self-signed --load-privkey ca-key.pem --template ca.tmpl --outfile ca-cert.pem

Στη συνέχεια, δημιουργήστε ένα αρχείο προτύπου πιστοποιητικού τοπικού διακομιστή ( server.tmpl) με το παρακάτω περιεχόμενο. Παρακαλούμε δώστε προσοχή στο πεδίο "cn", πρέπει να ταιριάζει με το όνομα DNS ή τη διεύθυνση IP του διακομιστή σας.

cn = "you domain name or ip"
organization = "MyCompany" 
expiration_days = 3650 
signing_key 
encryption_key
tls_www_server

Στη συνέχεια, δημιουργήστε το κλειδί διακομιστή και το πιστοποιητικό.

certtool --generate-privkey --outfile server-key.pem
certtool --generate-certificate --load-privkey server-key.pem --load-ca-certificate ca-cert.pem --load-ca-privkey ca-key.pem --template server.tmpl --outfile server-cert.pem

Αντιγράψτε το κλειδί, το πιστοποιητικό και το αρχείο διαμόρφωσης στον κατάλογο διαμόρφωσης ocserv.

mkdir /etc/ocserv
cp server-cert.pem server-key.pem /etc/ocserv
cd ~/ocserv-0.9.2/doc
cp sample.config /etc/ocserv/config
cd /etc/ocserv

Επεξεργαστείτε το αρχείο διαμόρφωσης κάτω από το /etc/ocserv. Καταργήστε το σχόλιο ή τροποποιήστε τα πεδία που περιγράφονται παρακάτω.

auth = "plain[/etc/ocserv/ocpasswd]"

try-mtu-discovery = true

server-cert = /etc/ocserv/server-cert.pem
server-key = /etc/ocserv/server-key.pem

dns = 8.8.8.8

# comment out all route fields
#route = 10.10.10.0/255.255.255.0
#route = 192.168.0.0/255.255.0.0
#route = fef4:db8:1000:1001::/64
#no-route = 192.168.5.0/255.255.255.0

cisco-client-compat = true

Δημιουργήστε έναν χρήστη που θα χρησιμοποιηθεί για να συνδεθείτε στο ocserv.

ocpasswd -c /etc/ocserv/ocpasswd username

Ενεργοποίηση NAT.

iptables -t nat -A POSTROUTING -j MASQUERADE

Ενεργοποίηση προώθησης IPv4. Επεξεργαστείτε το αρχείο /etc/sysctl.conf.

net.ipv4.ip_forward=1

Εφαρμόστε αυτήν την τροποποίηση.

sysctl -p /etc/sysctl.conf

Ξεκινήστε το ocserv και συνδεθείτε χρησιμοποιώντας το Cisco AnyConnect

Αρχικά, ξεκινήστε το ocserv.

ocserv -c /etc/ocserv/config

Στη συνέχεια, εγκαταστήστε το Cisco AnyConnect σε οποιαδήποτε από τις συσκευές σας, όπως iPhone, iPad ή μια συσκευή Android. Εφόσον χρησιμοποιήσαμε ένα κλειδί και πιστοποιητικό διακομιστή που υπογράφεται από τον εαυτό μας, πρέπει να καταργήσουμε την επιλογή που αποτρέπει τους μη ασφαλείς διακομιστές. Αυτή η επιλογή βρίσκεται στις ρυθμίσεις του AnyConnect. Σε αυτό το σημείο, μπορούμε να ρυθμίσουμε μια νέα σύνδεση με το όνομα τομέα ή τη διεύθυνση IP του ocserv μας και το όνομα χρήστη/κωδικό πρόσβασης που δημιουργήσαμε.

Συνδεθείτε και απολαύστε!