Distribuzione di AnyConnect Compatiable VPN Server con verifica del certificato su CentOS 7

• Prerequisiti
• Installazione del software sul lato server
• Generazione e configurazione del certificato
• Configurazione del server
• Tempo di prova!

AnyConnect è una soluzione di accesso remoto sviluppata da Cisco. Famoso per la sua portabilità e stabilità, in particolare per la sua capacità DTLS, AnyConnect è utilizzato da molte aziende. Utilizzeremo una versione open source, ocservcompatibile con il protocollo.

Distribuiremo anche la verifica del certificato. Il server identificherà i client verificando che se il certificato del client è emesso dalla CA configurata. Questo semplifica notevolmente la configurazione sui client poiché dovremo solo importare il certificato sul client (il più delle volte un file pkcs12 ( .pfxo .p12)) e non sono necessarie password. Questo è anche più sicuro poiché nessuna password viaggia in Internet.

Iniziamo.

Prerequisiti

• Un server CentOS 7 appena creato con IPv6 abilitato
• Un computer funzionante (può essere il server stesso; deprecato però (vedi sotto)) vedi nota 1
• Alcuni client con software client AnyConnect (o OpenConnect) installato, vedere la nota 2

Appunti:

1. Sebbene sia possibile (e piuttosto conveniente) eseguire qualsiasi operazione sul server, il processo di distribuzione consiste nella generazione di chiavi private utilizzate per la firma e per motivi di sicurezza, questo processo dovrebbe essere eseguito sul proprio computer.

2. A causa di problemi di licenza, non fornirò link per scaricare il software client. Trovarli per il tuo cliente è abbastanza facile però. AnyConnect è un'app negli App Store sulle principali piattaforme mobili (iOS, Android, BlackBerry OS (v10 o versioni successive), UWP) e una semplice ricerca te li porterà. Per le piattaforme PC, alcuni googling ti presenteranno il software adatto.

Installazione del software sul lato server

Le macchine CentOS 7 di Vultr sono configurate con il repository EPEL. Installiamo solo ocservcon yum:

yum update
yum install ocserv

Avremo bisogno di un certificato del server per far funzionare le cose. Se hai un nome di dominio, Let's Encrypt sarà la scelta più semplice.

yum install certbot
certbot certonly

Scegli "crea un server Web temporaneo" per autenticarti con ACME CA. Se non si dispone di un dominio, in seguito verrà emesso un certificato autofirmato.

Generazione e configurazione del certificato

La PKI tradizionale è piuttosto scomoda da usare, quindi utilizzeremo l' easyrsautilità del progetto OpenVPN. Installa git sul tuo computer funzionante e clona il repository:

git clone https://github.com/OpenVPN/easy-rsa
cd easy-rsa/easyrsa3

Costruiremo la CA e rilasceremo certificati. Effettuate le seguenti operazioni e scrivete la passphrase PEM impostata da qualche parte:

./easyrsa init-pki
./easyrsa build-ca

Conservare in un pki/private/ca.keyposto sicuro. Una perdita che renderà inutile l'intera infrastruttura.

Se si sceglie di utilizzare un certificato server autofirmato, attenersi alla seguente procedura:

./easyrsa gen-req server

E inserisci l'indirizzo IP del tuo server come nome comune.

./easyrsa sign-req server server

Questo firmerà un certificato per il server. Trasferimento pki/issued/server.crte pki/ca.crtper /etc/ssl/certse pki/private/server.keyper /etc/ssl/privateil vostro server.

Successivamente creeremo i certificati client. Fai quanto segue:

./easyrsa gen-req client_01
./easyrsa sign-req client client_01

Scegli un nome del client e compilarlo nel campo nome comune. Ricorda la passphrase!

Successivamente esporremo il certificato in formato pkcs12 per l'utilizzo su piattaforme mobili. Fare:

./easyrsa export-p12 client_01

Scegli una password di esportazione che ti verrà chiesto di inserire durante l'importazione del certificato sul telefono. Trasferisci pki/private/client_01.p12sul tuo telefono e importalo.

Configurazione del server

Compileremo le informazioni sul certificato.

vim /etc/ocserv/ocserv.conf

Individua la server-certsezione e compila quanto segue:

# If you use Let's Encrypt
server-cert = /etc/letsencrypt/live/example.com/fullchain.pem
server-key = /etc/letsencrypt/live/example.com/privkey.pem

# If you use self-signed server certificate 
server-cert = /etc/ssl/certs/server.crt
server-key = /etc/ssl/private/server.key

ca-cert = /etc/ssl/certs/ca.crt

Si noti che se si utilizza un certificato autofirmato, ricordarsi di rimuovere prima la passphrase in openssl rsa -in server.key -out server-new.keymodo da ocservpoter utilizzare la chiave privata.

Trova la authsezione. Abilita questa linea:

auth = "certificate"

E commenta tutte le altre authrighe.

Rimuovi commento questa riga:

cert-user-oid = 2.5.4.3

Individua ipv6-networke compila il blocco ipv6 del tuo server. Questo è il blocco da cui il server fornirà i leasing.

ipv6-network = 2001:0db8:0123:4567::/64
ipv6-subnet-prefix = 124 

Imposta server DNS.

dns = 8.8.8.8
dns = 8.8.4.4

Abilita la compatibilità con i client Cisco.

cisco-client-compat = true

Aprire le porte impostate in tcp-porte udp-porte consentire mascherata sia per IPv4 e IPv6 in firewalld.

Avvia il server.

systemctl enable ocserv
systemctl start ocserv

Tempo di prova!

Il server è stato configurato correttamente. Crea una connessione nel tuo client e connettiti. Se le cose vanno male, usa questo comando per eseguire il debug:

journalctl -fu ocserv

Inoltre, IPv6 dovrebbe funzionare sul lato client se il software client supporta ipv6 anche se la rete del client non fornisce un indirizzo. Vai a questo sito per testare.

Tutto stabilito! Goditi il ​​tuo nuovo server VPN compatibile con AnyConnect!