Configure el servidor OpenConnect VPN para Cisco AnyConnect en Ubuntu 14.04 x64

• Instalar ocserv
• Configurando ocserv
• Inicie ocserv y conéctese con Cisco AnyConnect

El servidor OpenConnect, también conocido como ocserv, es un servidor VPN que se comunica a través de SSL. Por diseño, su objetivo es convertirse en un servidor VPN seguro, liviano y rápido. El servidor OpenConnect usa el protocolo OpenConnect SSL VPN. Al momento de escribir, también tiene compatibilidad experimental con clientes que usan el protocolo AnyConnect SSL VPN.

Este artículo le mostrará cómo instalar y configurar ocserv en Ubuntu 14.04 x64.

Instalar ocserv

Como Ubuntu 14.04 no se incluye con ocserv, tendremos que descargar el código fuente y compilarlo. La última versión estable de ocserv es 0.9.2.

Descarga ocserv del sitio oficial.

wget ftp://ftp.infradead.org/pub/ocserv/ocserv-0.9.2.tar.xz
tar -xf ocserv-0.9.2.tar.xz
cd ocserv-0.9.2

A continuación, instale las dependencias de compilación.

apt-get install build-essential pkg-config libgnutls28-dev libwrap0-dev libpam0g-dev libseccomp-dev libreadline-dev libnl-route-3-dev

Compile e instale ocserv.

./configure
make
make install

Configurando ocserv

Se coloca un archivo de configuración de muestra en el directorio ocser-0.9.2/doc. Utilizaremos este archivo como plantilla. Al principio, tenemos que hacer nuestro propio certificado de CA y certificado de servidor.

cd ~
apt-get install gnutls-bin
mkdir certificates
cd certificates

Creamos un archivo de plantilla de CA ( ca.tmpl) con el contenido similar al siguiente. Puede configurar su propio "cn" y "organización".

cn = "VPN CA" 
organization = "Big Corp" 
serial = 1 
expiration_days = 3650
ca 
signing_key 
cert_signing_key 
crl_signing_key 

Luego, genere una clave CA y un certificado CA.

certtool --generate-privkey --outfile ca-key.pem
certtool --generate-self-signed --load-privkey ca-key.pem --template ca.tmpl --outfile ca-cert.pem

A continuación, cree un archivo de plantilla de certificado de servidor local ( server.tmpl) con el contenido a continuación. Preste atención al campo "cn", debe coincidir con el nombre DNS o la dirección IP de su servidor.

cn = "you domain name or ip"
organization = "MyCompany" 
expiration_days = 3650 
signing_key 
encryption_key
tls_www_server

Luego, genere la clave del servidor y el certificado.

certtool --generate-privkey --outfile server-key.pem
certtool --generate-certificate --load-privkey server-key.pem --load-ca-certificate ca-cert.pem --load-ca-privkey ca-key.pem --template server.tmpl --outfile server-cert.pem

Copie la clave, el certificado y el archivo de configuración en el directorio de configuración ocserv.

mkdir /etc/ocserv
cp server-cert.pem server-key.pem /etc/ocserv
cd ~/ocserv-0.9.2/doc
cp sample.config /etc/ocserv/config
cd /etc/ocserv

Edite el archivo de configuración en /etc/ocserv. Descomente o modifique los campos que se describen a continuación.

auth = "plain[/etc/ocserv/ocpasswd]"

try-mtu-discovery = true

server-cert = /etc/ocserv/server-cert.pem
server-key = /etc/ocserv/server-key.pem

dns = 8.8.8.8

# comment out all route fields
#route = 10.10.10.0/255.255.255.0
#route = 192.168.0.0/255.255.0.0
#route = fef4:db8:1000:1001::/64
#no-route = 192.168.5.0/255.255.255.0

cisco-client-compat = true

Genere un usuario que se utilizará para iniciar sesión en ocserv.

ocpasswd -c /etc/ocserv/ocpasswd username

Habilitar NAT.

iptables -t nat -A POSTROUTING -j MASQUERADE

Habilite el reenvío de IPv4. Edita el archivo /etc/sysctl.conf.

net.ipv4.ip_forward=1

Aplica esta modificación.

sysctl -p /etc/sysctl.conf

Inicie ocserv y conéctese con Cisco AnyConnect

Primero, inicie ocserv.

ocserv -c /etc/ocserv/config

Luego, instale Cisco AnyConnect en cualquiera de sus dispositivos, como iPhone, iPad o un dispositivo Android. Como utilizamos una clave de servidor y un certificado autofirmados, tenemos que desmarcar la opción que evita servidores inseguros. Esta opción se encuentra en la configuración de AnyConnect. En este punto, podemos configurar una nueva conexión con el nombre de dominio o la dirección IP de nuestro ocserv y el nombre de usuario / contraseña que creamos.

¡Conéctate y disfruta!