Að setja upp AnyConnect samhæfðan VPN netþjón með vottorðsstaðfestingu á CentOS 7

AnyConnect er fjaraðgangslausn þróuð af Cisco. AnyConnect, sem er vel þekkt fyrir flytjanleika og stöðugleika, sérstaklega DTLS getu, er notað af mörgum fyrirtækjum. Við ætlum að nota opinn uppspretta útgáfu, ocserv, sem er samhæft við samskiptareglur.

Við ætlum líka að beita vottorðsstaðfestingu. Miðlarinn mun auðkenna viðskiptavinina með því að athuga hvort vottorð viðskiptavinarins sé gefið út af stillta CA. Þetta einfaldar mjög stillingarnar á viðskiptavinum þar sem við þurfum aðeins að flytja inn vottorðið á biðlarann ​​(oftast pkcs12 skrá ( .pfxeða .p12)) og engin lykilorð eru nauðsynleg. Þetta er líka öruggara þar sem engin lykilorð ferðast um netið.

Við skulum byrja.

Forkröfur

• Nýstofnaður CentOS 7 þjónn með IPv6 virkt
• Vinnandi tölva (getur verið þjónninn sjálfur; þó úrelt (sjá hér að neðan)) sjá athugasemd 1
• Sumir viðskiptavinir með AnyConnect (eða OpenConnect) biðlarahugbúnað uppsettan sjá athugasemd 2

Athugasemdir:

1. Þó að það sé mögulegt (og frekar þægilegt) að gera allt á þjóninum, þá felst dreifingarferlið í því að búa til einkalykla sem notaðir eru til undirritunar og vegna öryggisástæðna ætti þetta ferli að fara fram á þinni eigin tölvu.

2. Vegna leyfisvandamála mun ég ekki veita tengla til að hlaða niður biðlarahugbúnaðinum. Það er frekar auðvelt að finna þá fyrir viðskiptavininn þinn. AnyConnect er app í App Stores á helstu farsímakerfum (iOS, Android, BlackBerry OS (v10 eða nýrri), UWP) í sömu röð og einföld leit mun koma þeim til þín. Fyrir PC palla mun sum Googling kynna þér viðeigandi hugbúnað.

Uppsetning hugbúnaðar á netþjóni

CentOS 7 vélar Vultr eru stilltar með EPEL geymslunni. Við setjum bara upp ocservmeð yum:

yum update
yum install ocserv

Við þurfum netþjónsvottorð til að hlutirnir virki. Ef þú ert með lén mun Let's Encrypt vera auðveldasti kosturinn.

yum install certbot
certbot certonly

Veldu „snúið upp tímabundnum vefþjóni“ til að auðkenna með ACME CA. Ef þú ert ekki með lén verður sjálfundirritað vottorð gefið út síðar.

Vottorðsgerð og uppsetning

Hefðbundin PKI er frekar óþægileg í notkun, svo við munum nota easyrsatólið frá OpenVPN verkefninu. Settu upp git á vinnuvélina þína og klónaðu geymsluna:

git clone https://github.com/OpenVPN/easy-rsa
cd easy-rsa/easyrsa3

Við munum byggja CA og gefa út skírteini. Gerðu eftirfarandi og skrifaðu PEM lykilorðið sem þú settir einhvers staðar:

./easyrsa init-pki
./easyrsa build-ca

Geymdu pki/private/ca.keyeinhvers staðar öruggt. Leki sem mun gera allt innviði þitt ónýtt.

Ef þú velur að nota sjálfundirritað miðlaravottorð skaltu gera eftirfarandi:

./easyrsa gen-req server

Og sláðu inn IP tölu netþjónsins þíns sem almennt nafn.

./easyrsa sign-req server server

Þetta mun undirrita vottorð fyrir netþjóninn. Flyttu pki/issued/server.crtog pki/ca.crttil /etc/ssl/certsog pki/private/server.keytil /etc/ssl/privateá netþjóninum þínum.

Næst munum við búa til viðskiptavottorð. Gerðu eftirfarandi:

./easyrsa gen-req client_01
./easyrsa sign-req client client_01

Veldu nafn viðskiptavinar og fylltu það inn í reitinn fyrir almennt nafn. Mundu lykilorðið!

Næst ætlum við að flytja út vottorðið á pkcs12 sniði til notkunar á farsímakerfum. Gerðu:

./easyrsa export-p12 client_01

Veldu útflutningslykilorð sem þú verður beðinn um að slá inn þegar þú flytur inn vottorðið í símann. Flyttu pki/private/client_01.p12yfir í símann þinn og fluttu hann inn.

Að stilla netþjóninn

Við munum fylla út upplýsingar um vottorðið.

vim /etc/ocserv/ocserv.conf

Finndu server-certhluta og fylltu út eftirfarandi:

# If you use Let's Encrypt
server-cert = /etc/letsencrypt/live/example.com/fullchain.pem
server-key = /etc/letsencrypt/live/example.com/privkey.pem

# If you use self-signed server certificate 
server-cert = /etc/ssl/certs/server.crt
server-key = /etc/ssl/private/server.key

ca-cert = /etc/ssl/certs/ca.crt

Athugaðu að ef þú ert að nota sjálfstætt undirritað vottorð, mundu að fjarlægja lykilorðið fyrst með openssl rsa -in server.key -out server-new.keyþví að ocservgeta notað einkalykilinn.

Finndu authhluta. Virkja þessa línu:

auth = "certificate"

Og kommenta út allar aðrar authlínur.

Hættu við þessa línu:

cert-user-oid = 2.5.4.3

Finndu ipv6-networkog fylltu út ipv6 blokk netþjónsins þíns. Þetta er blokkin sem þjónninn mun gefa leigusamninga frá.

ipv6-network = 2001:0db8:0123:4567::/64
ipv6-subnet-prefix = 124 

Stilltu DNS netþjóna.

dns = 8.8.8.8
dns = 8.8.4.4

Virkjaðu eindrægni við Cisco viðskiptavini.

cisco-client-compat = true

Opnaðu gáttirnar sem þú setur inn tcp-portog udp-portvirkjaðu masquerade fyrir bæði ipv4 og ipv6 í eldvegg.

Ræstu netþjóninn.

systemctl enable ocserv
systemctl start ocserv

Próftími!

Miðlarinn hefur verið stilltur. Búðu til tengingu í viðskiptavininum þínum og tengdu. Ef eitthvað fer úrskeiðis, notaðu þessa skipun til að villuleita:

journalctl -fu ocserv

Einnig ætti IPv6 að virka á biðlarahliðinni ef biðlarahugbúnaðurinn þinn styður ipv6 jafnvel þó að netkerfi viðskiptavinarins veiti þér ekki heimilisfang. Farðu á þessa síðu til að prófa.

Allt klárt! Njóttu nýja AnyConnect-samhæfða VPN netþjónsins þíns!