Ubuntu 14.04 x64でCisco AnyConnect用のOpenConnect VPNサーバーをセットアップする

• ocservのインストール
• ocservの構成
• ocservを起動し、Cisco AnyConnectを使用して接続する

OpenConnectサーバーはocservとも呼ばれ、SSLを介して通信するVPNサーバーです。設計上、その目標は、安全で軽量かつ高速なVPNサーバーになることです。OpenConnectサーバーはOpenConnect SSL VPNプロトコルを使用します。執筆時点では、AnyConnect SSL VPNプロトコルを使用するクライアントとの実験的な互換性もあります。

この記事では、Ubuntu 14.04 x64にocservをインストールしてセットアップする方法を説明します。

ocservのインストール

Ubuntu 14.04にはocservが同梱されていないため、ソースコードをダウンロードしてコンパイルする必要があります。ocservの最新の安定バージョンは0.9.2です。

公式サイトからocservをダウンロードしてください。

wget ftp://ftp.infradead.org/pub/ocserv/ocserv-0.9.2.tar.xz
tar -xf ocserv-0.9.2.tar.xz
cd ocserv-0.9.2

次に、コンパイル依存関係をインストールします。

apt-get install build-essential pkg-config libgnutls28-dev libwrap0-dev libpam0g-dev libseccomp-dev libreadline-dev libnl-route-3-dev

ocservをコンパイルしてインストールします。

./configure
make
make install

ocservの構成

サンプルの設定ファイルがディレクトリの下に置かれますocser-0.9.2/doc。このファイルをテンプレートとして使用します。最初に、独自のCA証明書とサーバー証明書を作成する必要があります。

cd ~
apt-get install gnutls-bin
mkdir certificates
cd certificates

ca.tmpl次のような内容のCAテンプレートファイル（）を作成します。独自の「cn」と「organization」を設定できます。

cn = "VPN CA" 
organization = "Big Corp" 
serial = 1 
expiration_days = 3650
ca 
signing_key 
cert_signing_key 
crl_signing_key 

次に、CAキーとCA証明書を生成します。

certtool --generate-privkey --outfile ca-key.pem
certtool --generate-self-signed --load-privkey ca-key.pem --template ca.tmpl --outfile ca-cert.pem

次に、server.tmpl以下の内容でローカルサーバー証明書テンプレートファイル（）を作成します。「cn」フィールドに注意してください。サーバーのDNS名またはIPアドレスと一致する必要があります。

cn = "you domain name or ip"
organization = "MyCompany" 
expiration_days = 3650 
signing_key 
encryption_key
tls_www_server

次に、サーバーの鍵と証明書を生成します。

certtool --generate-privkey --outfile server-key.pem
certtool --generate-certificate --load-privkey server-key.pem --load-ca-certificate ca-cert.pem --load-ca-privkey ca-key.pem --template server.tmpl --outfile server-cert.pem

キー、証明書、構成ファイルをocserv configディレクトリにコピーします。

mkdir /etc/ocserv
cp server-cert.pem server-key.pem /etc/ocserv
cd ~/ocserv-0.9.2/doc
cp sample.config /etc/ocserv/config
cd /etc/ocserv

で設定ファイルを編集します/etc/ocserv。以下で説明するフィールドのコメントを外すか変更します。

auth = "plain[/etc/ocserv/ocpasswd]"

try-mtu-discovery = true

server-cert = /etc/ocserv/server-cert.pem
server-key = /etc/ocserv/server-key.pem

dns = 8.8.8.8

# comment out all route fields
#route = 10.10.10.0/255.255.255.0
#route = 192.168.0.0/255.255.0.0
#route = fef4:db8:1000:1001::/64
#no-route = 192.168.5.0/255.255.255.0

cisco-client-compat = true

ocservへのログインに使用するユーザーを生成します。

ocpasswd -c /etc/ocserv/ocpasswd username

NATを有効にします。

iptables -t nat -A POSTROUTING -j MASQUERADE

IPv4転送を有効にします。ファイルを編集します/etc/sysctl.conf。

net.ipv4.ip_forward=1

この変更を適用します。

sysctl -p /etc/sysctl.conf

ocservを起動し、Cisco AnyConnectを使用して接続する

まず、ocservを起動します。

ocserv -c /etc/ocserv/config

次に、Cisco AnyConnectをiPhone、iPad、またはAndroidデバイスなどの任意のデバイスにインストールします。自己署名サーバーキーと証明書を使用したため、安全でないサーバーを防ぐオプションをオフにする必要があります。このオプションは、AnyConnectの設定にあります。この時点で、ocservのドメイン名またはIPアドレスと作成したユーザー名/パスワードを使用して、新しい接続をセットアップできます。

接続してお楽しみください！