在 CentOS 7 上搭建 Cisco AnyConnect ocserv

来源:https://www.cnblogs.com/grafin/archive/2023/10/24/17785264.html
-Advertisement-
Play Games

@目錄1. 安裝 ocserv (OpenConnect server)2.生成證書1) 創建工作文件夾2) 生成 CA 證書3) 生成本地伺服器證書4) 生成客戶端證書(不生成)3. 配置 ocserv4.創建用戶5.配置系統設置1) 開啟內核轉發2) 配置iptables規則(不需要配置)3) ...


@

目錄

1. 安裝 ocserv (OpenConnect server)

ocserv 是一個 OpenConnect SSL VPN 協議服務端，0.3.0 版後相容使用 AnyConnect SSL VPN 協議的終端。
官方主頁：http://www.infradead.org/ocserv/

ocserv 已經在 epel 倉庫中提供了，所以可以直接通過 yum 安裝

yum install epel-release
yum install ocserv

2.生成證書

閱讀官方文檔

1) 創建工作文件夾

mkdir /opt/anyconnect
cd /opt/anyconnect/

2) 生成 CA 證書

certtool --generate-privkey --outfile ca-key.pem

cat >ca.tmpl <<EOF
cn = "VPN CA"
organization = "Big Corp"
serial = 1
expiration_days = 3650
ca
signing_key
cert_signing_key
crl_signing_key
EOF

certtool --generate-self-signed --load-privkey ca-key.pem \
--template ca.tmpl --outfile ca-cert.pem

把生成的 ca-cert.pem 放到 /etc/ocserv/ 中

cp ca-key.pem /etc/ocserv/

3) 生成本地伺服器證書

certtool --generate-privkey --outfile server-key.pem

cat >server.tmpl <<EOF
cn = "VPN server"
organization = "MyCompany"
serial = 2
expiration_days = 3650
encryption_key
signing_key
tls_www_server
EOF

certtool --generate-certificate --load-privkey server-key.pem \
--load-ca-certificate ca-cert.pem --load-ca-privkey ca-key.pem \
--template server.tmpl --outfile server-cert.pem

把生成的 server-cert.pem 和 server-key.pem 放到 /etc/ocserv/ 中

cp server-cert.pem server-key.pem /etc/ocserv/

4) 生成客戶端證書(不生成)


3. 配置 ocserv

vim /etc/ocserv/ocserv.conf

# 使用密碼登錄註釋掉
#auth = "pam"
auth = "plain[/etc/ocserv/ocpasswd]"

# 埠 TCP and UDP port number
tcp-port = 443
udp-port = 443

# 證書地址
server-cert = /etc/ocserv/server-cert.pem
server-key = /etc/ocserv/server-key.pem

# 取消註釋設置客戶端IP段
ipv4-network = 192.168.111.0
ipv4-netmask = 255.255.255.0

# 取消註釋設置客戶端DNS
dns = 114.114.114.114


# 必須配置一個自己連接的VPN伺服器IP段，允許訪問下麵的網段
route = 192.168.0.0/255.255.0.0

4.創建用戶

#username為你要添加的用戶名
ocpasswd -c /etc/ocserv/ocpasswd username

5.配置系統設置

1) 開啟內核轉發

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf

sysctl -p

2) 配置iptables規則(不需要配置)

# 對指定的表 table 進行操作，添加一個規則，把192.168.111.0的流量指定到ens36出去
iptables -t nat -A POSTROUTING -s 192.168.111.0 -o ens36 -j MASQUERADE

iptables -A FORWARD -i vpns+ -j ACCEPT
iptables -A FORWARD -o vpns+ -j ACCEPT

# 保存路由表
iptables-save > /etc/sysconfig/iptables

3) 放行埠(必須配置)

firewall-cmd --permanent --add-port=443/tcp
firewall-cmd --permanent --add-port=443/udp
firewall-cmd --add-masquerade --permanent #必須配置，重要
firewall-cmd --reload

6.測試

現在我們可以開啟伺服器試試了

ocserv -c /etc/ocserv/ocserv.conf -f -d 10

如果沒有問題，那麼就可以配置成開機運行了

systemctl enable ocserv
systemctl start ocserv

Tips:

註意：一定要配置route=VPN自己的IP段，否則連接VPN後無法訪問VPN伺服器

#ocserv支持多種認證方式，這是自帶的密碼認證，使用ocpasswd創建密碼文件
#ocserv還支持證書認證，可以通過Pluggable Authentication Modules (PAM)使用radius等認證方式
auth = "plain[passwd=/etc/ocserv/ocpasswd]"
#指定替代的登錄方式，這裡使用證書登錄作為第二種登錄方式
enable-auth = "certificate"
#證書路徑
server-cert = /etc/ocserv/server-cert.pem
server-key = /etc/ocserv/server-key.pem
#ca路徑
ca-cert = /etc/ocserv/ca-cert.pem
#從證書中提取用戶名的方式，這裡提取的是證書中的 CN 欄位作為用戶名
cert-user-oid = 2.5.4.3
#最大用戶數量
max-clients = 16
#同一個用戶最多同時登陸數
max-same-clients = 10
#tcp和udp埠
tcp-port = 4433
udp-port = 4433
#運行用戶和組
run-as-user = ocserv
run-as-group = ocserv
#虛擬設備名稱
device = vpns
#分配給VPN客戶端的IP段
ipv4-network = 10.12.0.0
ipv4-netmask = 255.255.255.0
#DNS
dns = 8.8.8.8
dns = 8.8.4.4



#註釋掉全部route的欄位，這樣表示所有流量都通過 VPN 發送
#route = 192.168.1.0/255.255.255.0
#route = 192.168.5.0/255.255.255.0

#只允許訪問下麵的網段
route = 192.168.0.0/255.255.0.0
route = 172.16.0.0/255.255.0.0
route = 120.79.158.102/255.255.255.255
route = 120.79.166.14/255.255.255.255

# 採用賬號密碼方式認證
auth = "plain[passwd=/etc/ocserv/ocpasswd]"

# 設置伺服器監聽埠，預設的是443埠，但是會和https衝突，
# 可以設置成任意不衝突的埠
tcp-port = 4433
udp-port = 4433

# 程式以哪個用戶和組運行
run-as-user = ocserv
run-as-group = ocserv

# socket文件
socket-file = /var/run/ocserv.sock

# 預設證書配置
server-cert = /etc/pki/ocserv/public/server.crt
server-key = /etc/pki/ocserv/private/server.key

# 開啟lz4壓縮
compression = true

# 隔離工作，預設不動
isolate-workers = true

# 最大客戶端數量，0表示無限數量
max-clients = 16

# 同一用戶可以同時登陸的客戶端數量
max-same-clients = 5

# 預設不動
rate-limit-ms = 100
# 伺服器統計重置時間，不動
server-stats-reset-time = 604800

# 保持連接，每隔多少秒向客戶端發送連接數據包，防止斷線。
# IOS系統5分鐘會關閉後臺數據通訊，然後就會斷線。
# 因此將keepalive和mobile-dpd設置成200秒
keepalive = 200
dpd = 90
mobile-dpd = 200

# udp埠無傳輸25秒後轉成tcp埠
switch-to-tcp-timeout = 25

# 啟用MTU轉發以優化性能
try-mtu-discovery = true

# 空閑斷開時間，如果想無限期連接，註釋這兩行
# idle-timeout=1200
# mobile-idle-timeout=2400

# 僅使用TLS1.2以上版本
cert-user-oid = 0.9.2342.19200300.100.1.1
tls-priorities = "NORMAL:%SERVER_PRECEDENCE:%COMPAT:-RSA:-VERS-SSL3.0:-ARCFOUR-128:-VERS-TLS1.0:-VERS-TLS1.1"

# 認證超時時間
auth-timeout = 240
# 最小重新認證時間
min-reauth-time = 300
max-ban-score = 80
ban-reset-time = 1200
cookie-timeout = 324000
deny-roaming = false
rekey-time = 172800
rekey-method = ssl
use-occtl = true
pid-file = /var/run/ocserv.pid
device = vpns
predictable-ips = true

# 預設功能變數名稱，修改為你的功能變數名稱或ip地址，這個設置沒有任何作用
default-domain = xxx.com:4433

# 配置自定義私有IP地址範圍，註釋預設的兩行
#ipv4-network = 192.168.1.0
#ipv4-netmask = 255.255.255.0
ipv4-network = 10.70.25.0
ipv4-netmask = 255.255.255.0

# 以VPN隧道傳輸所有DNS查詢
tunnel-all-dns = true

# 更改DNS伺服器(國內伺服器就填寫國內dns)
dns = 8.8.8.8
dns = 1.1.1.1

# 允許思科客戶端連接
cisco-client-compat = true

# 以下路由表不通過VPN隧道，直接本地網路連接
# 一定要添加自己伺服器的ip地址，否則連上VPN後打不開自己的網站
no-route = x.x.x.x / 255.255.255.255

您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • SqlSugar框架之WPF應用端功能介紹
    WPF應用端是我們《SqlSugar開發框架》多端界面中的一部分，和Winform前端框架、Vue3+ElementPlus前端、UniApp+Thorn移動端，組成一個完整的整體框架，後端服務是基於SqlSugar的基礎ORM的.netcore框架，提供Web API服務供各個前端使用，底層支持多... ...
  • 淺析 C# Console 控制台為什麼也會卡死
    一：背景 1. 講故事 在分析旅程中，總會有幾例控制台的意外卡死導致的生產事故，有經驗的朋友都知道，控制台卡死一般是動了 快速編輯視窗 的緣故，截圖如下： 雖然知道緣由，但一直沒有時間探究底層原理，市面上也沒有對這塊的底層原理介紹，昨天花了點時間簡單探究了下，算是記錄分享吧。 二：幾個疑問解答 1. ...
  • 循序漸進介紹基於CommunityToolkit.Mvvm 和HandyControl的WPF應用端開發(12) -- 使用代碼生成工具Database2Sharp生成WPF界面代碼
    在經過基於SqlSugar框架的WPF應用端系統界面及模塊的不斷優化和重構後，視圖界面及視圖模型等代碼已趨穩定，因此完成前面的介紹後，現在開始統一基於代碼生成工具Database2Sharp進行WPF應用端界面代碼的快速生成了，代碼除了和WPF應用端的基類保持一致處理外，並添加一些註釋代碼，整合使用... ...
  • WPF 已知問題 RadioButton 指定 GroupName 後關閉視窗可能導致無法選中
    aspnetcore微服務之間通信grpc，一般服務對外介面用restful架構，HTTP請求，服務之間的通信grpc多走內網。 以前寫過一篇grpc和web前端之間的通訊，代碼如下： exercisebook/grpc/grpc-web at main · liuzhixin405/exercis ...
  • Linux第二章：文件許可權管理
    文件類型和擴展名 文件種類 常規文件 純文本文件（ASCII) 二進位文件（binary） 數據文件(data) 在ls -al顯示屬性為[-] 目錄 在ls -al顯示屬性為[d] 鏈接文件 區塊設備文件：[b] 字元設備文件：[c] 數據介面文件：[s] 數據輸送文件FIFO：[p] 擴展名 L ...
  • Linux下gcc編譯，動態庫和靜態庫，makefile，gdb調試
    1.編譯過程 1.1 預處理(Pre-Processing) 展開頭文件， 巨集替換（變數巨集、函數巨集）、替換空格等 gcc -E hello.c -o hello.i // -E 預處理選項, -o 重命名 1.2 編譯(Compilation) 逐行檢查程式中出現的語法錯誤，簡單的邏輯錯誤 gcc ...
  • 安信可開發環境構建-基於Ai-WB2系列 和 Ai-M61 或 Ai-M62 （環境上下文切換）
    首先，對於Ai-WB2系列環境的構建官方文檔已經講的非常明白了，這裡不做闡述如下鏈接所示https://blog.csdn.net/Boantong_/article/details/128480919 本人親自測試可行，請嚴格follow官方的steps。 另外需要註意的是，為了避免錯誤，儘量不要 ...
  • 關於STM32F407ZGT6的USB損壞後使用ST-Link和USART1實現串口功能
    開發板：STM32F407ZGT6； 目標：想使用軟體“串口調試助手” 情況：開發板上的USB_UART口所在器件損壞或者直接沒有； 解決辦法：查看該開發板的原理圖，可得：串口1的RX接TXD，串口1的TX接RXD，那麼按如下步驟操作：1、現在使用USB轉TTL模塊，將串口1的RX接USB轉TTL模 ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類