CentOS 7에서 인증서 확인을 사용하여 AnyConnect 호환 VPN 서버 배포

• 전제 조건
• 서버 �� 소프트웨어 설치
• 인증서 생성 및 구성
• 서버 구성
• 시험 시간!

AnyConnect는 Cisco에서 개발 한 원격 액세스 솔루션입니다. 이식성과 안정성, 특히 DTLS 기능으로 잘 알려진 AnyConnect는 많은 회사에서 사용합니다. ocserv프로토콜과 호환되는 오픈 소스 버전을 사용할 것 입니다.

또한 인증서 확인을 배포 할 예정입니다. 서버는 구성된 CA가 클라이언트의 인증서를 발급했는지 확인하여 클라이언트를 식별합니다. 클라이언트에서 인증서를 가져 오기만하면 (대부분 pkcs12 파일 ( .pfx또는 .p12)) 비밀번호가 필요하지 않으므로 클라이언트 구성을 크게 단순화 합니다. 인터넷을 통해 암호가 이동하지 않기 때문에 더욱 안전합니다.

시작하자.

전제 조건

• IPv6이 활성화 된 새로 생성 된 CentOS 7 서버
• 작동중인 컴퓨터 (서버 자체 일 수 있지만 사용되지 않음 (아래 참조)) 참고 1 참조
• AnyConnect (또는 OpenConnect) 클라이언트 소프트웨어가 설치된 일부 클라이언트는 참고 2를 참조하십시오.

노트:

1. 서버에서 모든 작업을 수행하는 것이 가능하고 다소 편리하지만 배포 프로세스는 서명에 사용되는 개인 키를 생성하는 것으로 구성되며 보안 문제로 인해이 프로세스는 자체 컴퓨터에서 수행해야합니다.

2. 라이센스 문제로 인해 클라이언트 소프트웨어를 다운로드 할 수있는 링크를 제공하지 않습니다. 당신의 고객을 위해 그들을 찾는 것은 꽤 쉽습니다. AnyConnect는 각각 주요 모바일 플랫폼 (iOS, Android, BlackBerry OS (v10 이상), UWP)의 App Store에있는 앱이며 간단한 검색으로 사용자에게 제공됩니다. PC 플랫폼의 경우 일부 인터넷 검색에서 적합한 소프트웨어를 제공합니다.

서버 측 소프트웨어 설치

Vultr의 CentOS 7 시스템은 EPEL 저장소로 구성됩니다. 우리는 다음 ocserv과 yum같이 설치 합니다 .

yum update
yum install ocserv

작동하려면 서버 인증서가 필요합니다. 도메인 이름이 있다면 Let 's Encrypt가 가장 쉬운 선택입니다.

yum install certbot
certbot certonly

ACME CA로 인증하려면 "임시 웹 서버 스핀 업"을 선택하십시오. 도메인이 없으면 나중에 자체 서명 인증서가 발행됩니다.

인증서 생성 및 구성

전통적인 PKI는 사용하기에 다소 불편하므로 easyrsaOpenVPN 프로젝트 의 유틸리티를 사용할 것 입니다. 작업 머신에 git을 설치하고 저장소를 복제하십시오.

git clone https://github.com/OpenVPN/easy-rsa
cd easy-rsa/easyrsa3

CA를 구축하고 인증서를 발급합니다. 다음을 수행하고 설정 한 PEM 암호를 작성하십시오.

./easyrsa init-pki
./easyrsa build-ca

안전한 pki/private/ca.key곳에 보관하십시오 . 그렇게하면 전체 인프라가 쓸모 없게 될 것입니다.

자체 서명 된 서버 인증서를 사용하도록 선택한 경우 다음을 수행하십시오.

./easyrsa gen-req server

그리고 서버의 IP 주소를 공통 이름으로 입력하십시오.

./easyrsa sign-req server server

서버의 인증서에 서명합니다. 이동 pki/issued/server.crt과 pki/ca.crt에 /etc/ssl/certs와 pki/private/server.key에 /etc/ssl/private서버에.

다음으로 클라이언트 인증서를 만듭니다. 다음을 수행하십시오.

./easyrsa gen-req client_01
./easyrsa sign-req client client_01

클라이언트 이름을 선택하고 일반 이름 필드에 채우십시오. 암호를 기억하십시오!

다음으로 모바일 플랫폼에서 사용하기 위해 인증서를 pkcs12 형식으로 내보내겠습니다. 하다:

./easyrsa export-p12 client_01

전화로 인증서를 가져올 때 입력하라는 메시지가 표시되는 내보내기 비밀번호를 선택하십시오. pki/private/client_01.p12휴대 전화로 전송 하여 가져옵니다.

서버 구성

인증서 정보를 입력하겠습니다.

vim /etc/ocserv/ocserv.conf

server-cert섹션을 찾아서 다음을 채우 십시오 .

# If you use Let's Encrypt
server-cert = /etc/letsencrypt/live/example.com/fullchain.pem
server-key = /etc/letsencrypt/live/example.com/privkey.pem

# If you use self-signed server certificate 
server-cert = /etc/ssl/certs/server.crt
server-key = /etc/ssl/private/server.key

ca-cert = /etc/ssl/certs/ca.crt

자체 서명 된 인증서 를 사용하는 경우 개인 키를 사용할 수 openssl rsa -in server.key -out server-new.key있도록 먼저 암호를 제거해야 ocserv합니다.

auth섹션을 찾으십시오 . 이 줄을 활성화하십시오 :

auth = "certificate"

그리고 다른 모든 auth줄은 주석 처리하십시오 .

이 줄의 주석을 해제하십시오.

cert-user-oid = 2.5.4.3

ipv6-network서버의 ipv6 블록을 찾아 채우 십시오 . 서버가 임대 할 블록입니다.

ipv6-network = 2001:0db8:0123:4567::/64
ipv6-subnet-prefix = 124 

DNS 서버를 설정하십시오.

dns = 8.8.8.8
dns = 8.8.4.4

Cisco 클라이언트와의 호환성을 활성화하십시오.

cisco-client-compat = true

당신이 설정 한 포트 열기 tcp-port와 udp-port와 firewalld 모두 IPv4 및 IPv6에 대한 가장 무도회 수 있습니다.

서버를 시작하십시오.

systemctl enable ocserv
systemctl start ocserv

시험 시간!

서버가 성공적으로 구성되었습니다. 클라이언트에서 연결을 작성하고 연결하십시오. 문제가 발생하면이 명령을 사용하여 디버깅하십시오.

journalctl -fu ocserv

또한 클라이언트의 네트워크에서 주소를 제공하지 않더라도 클라이언트 소프트웨어가 ipv6을 지원하는 경우 IPv6은 클라이언트 측에서 작동해야합니다. 테스트 하려면 이 사이트 로 이동 하십시오 .

모든 설정! 새로운 AnyConnect 호환 VPN 서버를 즐기십시오!