Nastavte OpenConnect VPN Server pre Cisco AnyConnect na Ubuntu 14.04 x64

Server OpenConnect, tiež známy ako ocserv, je server VPN, ktorý komunikuje cez SSL. Podľa návrhu je jeho cieľom stať sa bezpečným, ľahkým a rýchlym serverom VPN. Server OpenConnect používa protokol OpenConnect SSL VPN. V čase písania tohto článku má tiež experimentálnu kompatibilitu s klientmi, ktorí používajú protokol AnyConnect SSL VPN.

Tento článok vám ukáže, ako nainštalovať a nastaviť ocserv na Ubuntu 14.04 x64.

Inštalácia ocserv

Keďže Ubuntu 14.04 sa nedodáva s ocserv, budeme si musieť stiahnuť zdrojový kód a skompilovať ho. Najnovšia stabilná verzia ocserv je 0.9.2.

Stiahnite si ocserv z oficiálnej stránky.

wget ftp://ftp.infradead.org/pub/ocserv/ocserv-0.9.2.tar.xz
tar -xf ocserv-0.9.2.tar.xz
cd ocserv-0.9.2

Ďalej nainštalujte závislosti kompilácie.

apt-get install build-essential pkg-config libgnutls28-dev libwrap0-dev libpam0g-dev libseccomp-dev libreadline-dev libnl-route-3-dev

Kompilujte a nainštalujte ocserv.

./configure
make
make install

Konfigurácia ocserv

Vzorový konfiguračný súbor je umiestnený v adresári ocser-0.9.2/doc. Tento súbor použijeme ako šablónu. Najprv si musíme vytvoriť vlastný certifikát CA a certifikát servera.

cd ~
apt-get install gnutls-bin
mkdir certificates
cd certificates

Vytvoríme súbor šablóny CA ( ca.tmpl) s obsahom podobným nasledujúcemu. Môžete si nastaviť vlastné "cn" a "organizáciu".

cn = "VPN CA" 
organization = "Big Corp" 
serial = 1 
expiration_days = 3650
ca 
signing_key 
cert_signing_key 
crl_signing_key 

Potom vygenerujte kľúč CA a certifikát CA.

certtool --generate-privkey --outfile ca-key.pem
certtool --generate-self-signed --load-privkey ca-key.pem --template ca.tmpl --outfile ca-cert.pem

Ďalej vytvorte súbor šablóny certifikátu lokálneho servera ( server.tmpl) s obsahom uvedeným nižšie. Venujte pozornosť poľu „cn“, musí sa zhodovať s názvom DNS alebo IP adresou vášho servera.

cn = "you domain name or ip"
organization = "MyCompany" 
expiration_days = 3650 
signing_key 
encryption_key
tls_www_server

Potom vygenerujte kľúč servera a certifikát.

certtool --generate-privkey --outfile server-key.pem
certtool --generate-certificate --load-privkey server-key.pem --load-ca-certificate ca-cert.pem --load-ca-privkey ca-key.pem --template server.tmpl --outfile server-cert.pem

Skopírujte kľúč, certifikát a konfiguračný súbor do konfiguračného adresára ocserv.

mkdir /etc/ocserv
cp server-cert.pem server-key.pem /etc/ocserv
cd ~/ocserv-0.9.2/doc
cp sample.config /etc/ocserv/config
cd /etc/ocserv

Upravte konfiguračný súbor pod /etc/ocserv. Odkomentujte alebo upravte polia popísané nižšie.

auth = "plain[/etc/ocserv/ocpasswd]"

try-mtu-discovery = true

server-cert = /etc/ocserv/server-cert.pem
server-key = /etc/ocserv/server-key.pem

dns = 8.8.8.8

# comment out all route fields
#route = 10.10.10.0/255.255.255.0
#route = 192.168.0.0/255.255.0.0
#route = fef4:db8:1000:1001::/64
#no-route = 192.168.5.0/255.255.255.0

cisco-client-compat = true

Vygenerujte používateľa, ktorý sa použije na prihlásenie do ocserv.

ocpasswd -c /etc/ocserv/ocpasswd username

Povoliť NAT.

iptables -t nat -A POSTROUTING -j MASQUERADE

Povoliť presmerovanie IPv4. Upravte súbor /etc/sysctl.conf.

net.ipv4.ip_forward=1

Použite túto úpravu.

sysctl -p /etc/sysctl.conf

Spustite ocserv a pripojte sa pomocou Cisco AnyConnect

Najprv spustite ocserv.

ocserv -c /etc/ocserv/config

Potom nainštalujte Cisco AnyConnect na ľubovoľné zo svojich zariadení, ako je iPhone, iPad alebo zariadenie so systémom Android. Keďže sme použili serverový kľúč a certifikát s vlastným podpisom, musíme zrušiť začiarknutie možnosti, ktorá zabraňuje nezabezpečeným serverom. Táto možnosť sa nachádza v nastaveniach AnyConnect. V tomto bode môžeme nastaviť nové pripojenie s názvom domény alebo IP adresou nášho ocserv a používateľským menom/heslom, ktoré sme vytvorili.

Pripojte sa a užívajte si!