OpenConnect+AnyConnect. Как сделать авторизацию по сертификату?

Question

[TechStudent]

Здравствуйте!

Нужно поднять сервер OpenConnect для использования AnyConnect на Windows Phone 10. Нашел хорошую инструкцию: https://dcamero.azurewebsites.net/ocserv-ubuntu-16...
Все прекрасно, но хочется сделать авторизацию не по логину и паролю, а просто по сертификату. Помогите, пожалуйста, а то туплю.

Answer 1

[TechStudent]

Вопрос решен. Ниже ссылка на инструкцию, язык хоть и китайский, но все равно все понятно. Плюс добавил/убавил парочку строк.

blog.sina.com.cn/s/blog_637246230102ve0h.html

Answer 2

[ValdikSS]

А в чем конкретно проблема? Там, вроде, в конфигурационном файле все расписано, достаточно указать путь до сертификата.

Comments

[TechStudent]

Сделал так, только понимаю, что очень сильно туплю. Подскажите, пожалуйста, что я пропустил?

auth = "certificate" в конфиге

certtool --generate-privkey --outfile ca-key.pempem

Содержимое ca.tmpl:
cn = "Мой_IP"
organization = "Big Corp"
serial = 1
expiration_days = -1
ca
signing_key
cert_signing_key
crl_signing_keykey

certtool --generate-self-signed --load-privkey ca-key.pem --template ca.tmpl --outfile ca-cert.pem
certtool --generate-privkey --outfile server-key.pem

Содержимое server.tmpl:
cn = "Мой_IP"
organization = "MyCompany"
expiration_days = -1
signing_key
encryption_key
tls_www_server

certtool --generate-certificate --load-privkey server-key.pem --load-ca-certificate ca-cert.pem --load-ca-privkey ca-key.pem --template server.tmpl --outfile server-cert.pem

certtool --generate-privkey --outfile server-key.pem

certtool --generate-request --load-privkey server-key.pem --template server.tmpl --outfile server-cert.csr

certtool --generate-privkey --outfile user-key.pem

user.tmpl:

cn = "user"
unit = "admins"
expiration_days = 9999
signing_key
tls_www_client

certtool --generate-certificate --load-privkey user-key.pem --load-ca-certificate ca-cert.pem --load-ca-privkey ca-key.pem --template user.tmpl --outfile user-cert.pem

certtool --to-p12 --load-privkey user-key.pem --pkcs-cipher 3des-pkcs12 --load-certificate user-cert.pem --outfile user.p12 --outder

Добавляю user.p12 в AnyConnect, но не работает.

[ValdikSS]

TechStudent: Возьмите https://github.com/ValdikSS/easy-rsa-ipsec и сгенерируйте им. Я, правда, на сервер ставил обычный покупной сертификат, а аутентифицировал клиентов внутренним CA (сгенерированным через easy-rsa).

[TechStudent]

ValdikSS: То есть сделать те же самые сертификаты, только вашим форком EasyRSA?

[ValdikSS]

TechStudent: Ну, я делал так. Какая у вас ошибка выдается-то? Может и не в сертификате дело.

[TechStudent]

ValdikSS: Дело в том, что я не могу разобраться с сертификатами, так как это все для меня новое. Например, только что я наконец-то понял, что помимо всего этого еще и нужен сертификат, подписанный со стороны. Подписал его сам командой openssl x509 -req -days 3650 -in server-cert.csr -signkey server-key.pem -out server.crt, дальше сделал cat server.crt > server-key.pem.

Добавил user.p12 в телефон, подключаюсь к серверу, выключив блокировку недоверенных серверов. Пытаюсь подключиться, в ответ только "Неудачная попытка соединения".

Пожалуйста, распишите по возможности все пошагово. Мне очень стыдно, что так сильно туплю, но как-то уже нужно заставить виндофон обойти великий файрволл (да, я из той самой страны, только название лучше писать не буду).

[ValdikSS]

TechStudent: Ну, я практически ничего не настраивал, честно говоря, и пробовал подключаться только через AnyConnect на Blackberry, на других платформах даже не устанавливал его ни разу.

У меня настроено следующим образом:
На сервере используется сертификат от центра сертификации WoSign (его можно получить бесплатно, https://buy.wosign.com/free/#myorder), а сервер аутентифицирует по центру сертификации, который я создал через easy-rsa-ipsec. Клиенту нужно импортировать только клиентский сертификат и ключ, без CA.

Конфигурация на сервере следующая:
auth = "certificate"
tcp-port = 443
udp-port = 443
run-as-user = ocserv
run-as-group = ocserv
socket-file = ocserv.sock
chroot-dir = /var/lib/ocserv
isolate-workers = false
max-clients = 16
max-same-clients = 2
keepalive = 32400
dpd = 90
mobile-dpd = 1800
try-mtu-discovery = false
server-cert = /etc/ssl/vpn.domain.com.crt
server-key = /etc/ssl/vpn.domain.com.key
ca-cert = /etc/ssl/ca.crt
cert-user-oid = 2.5.4.3
tls-priorities = "@SYSTEM"
auth-timeout = 40
min-reauth-time = 300
max-ban-score = 0
ban-reset-time = 300
cookie-timeout = 300
deny-roaming = false
rekey-time = 172800
rekey-method = ssl
use-occtl = true
pid-file = /var/run/ocserv.pid
device = vpns
predictable-ips = true
default-domain = example.com
ipv4-network = 192.168.123.0/24
dns = 8.8.8.8
ping-leases = false
cisco-client-compat = true
user-profile = profile.xml

Кроме этого, конечно же, настроен forwarding и NAT. И, по сути, все. Настраивал его первый и пока единственный раз, ушло на все про все не более 10 минут.

[TechStudent]

ValdikSS: Можете подробнее, как сделать все нужные сертификаты? Желательно с самоподписанным сертификатом, так как не хочу светить домен, а без домена сертификаты уже не дают. И что должен содержать файл profile.xml? С forwarding и NAT, благо, проблем нет.

Простите уж за наглость, но я уже немного отчаялся.

[ValdikSS]

TechStudent: Попробуйте следующее:

./easyrsa init-pki
./easyrsa build-ca nopass
./easyrsa build-server-full vpn.domain.com nopass
./easyrsa build-client-full client1 nopass
./easyrsa export-p12 client1 — здесь введите пароль, любой.

Теперь в server-cert пропишите pki/issued/vpn.domain.com.crt, в server-key — pki/private/vpn.domain.com.key, на стороне клиента импортируйте pki/private/client1.p12.

Обратите внимание, серверный сертификат требует ввода действующего домена! Не какого-то выдуманного, не IP-адрес, а именно домен. Если домена нет, придется либо добавлять его в hosts на клиентской стороне, либо чуть изменить x509-types/server:

-subjectAltName=DNS:$ENV::EASYRSA_REQ_CN
+subjectAltName=IP:$ENV::EASYRSA_REQ_CN

[TechStudent]

ValdikSS: Что насчет profile.xml?

[ValdikSS]

TechStudent: Это файл из стандартной поставки, я его не менял. Лежит в /var/lib/ocserv

[TechStudent]

ValdikSS: Не взлетело, хотя и NAT, и Forwarding, и сертификаты расставил как надо. Думаю, стоит завтра на свежую голову сделать все по-хорошему, то есть с доменом и официальным сертификатом.

[ValdikSS]

TechStudent: что там у вас, получилось?

[TechStudent]

ValdikSS: Да, поставил ocserv и gnutls-bin на Ubuntu 16.04 и сделал так:

/etc/ocserv/ocserv.conf:

auth = "certificate"
max-clients = 16
max-same-clients = 10
tcp-port = 443
udp-port = 443
keepalive = 10
dpd = 240
mobile-dpd = 1800
try-mtu-discovery = true
server-cert = /etc/ssl/certs/server-cert.pem
server-key = /etc/ssl/private/server-key.pem
ca-cert = /etc/ocserv/ca-cert.pem
tls-priorities = "NORMAL:%SERVER_PRECEDENCE:%COMPAT"
auth-timeout = 40
mobile-idle-timeout = 2400
cookie-timeout = 86400000
rekey-time = 86400000
rekey-method = ssl
use-utmp = true
use-occtl = true
cert-user-oid = 2.5.4.3
cert-group-oid = 2.5.4.11
pid-file = /var/run/ocserv.pid
socket-file = /var/run/ocserv-socket
run-as-user = nobody
run-as-group = nogroup
device = vpns
default-domain = www.example.com
ipv4-network = 10.10.0.0
ipv4-netmask = 255.255.255.0
dns = 77.88.8.8
dns = 77.88.8.1
ping-leases = false
cisco-client-compat =true
compression = yes
no-compress-limit = 256

ca.tmpl:

cn = "CA"
organization = "Organization"
serial = 1
expiration_days = 7777
ca
signing_key
cert_signing_key
crl_signing_key

server.tmpl:

cn = "Мой_IP"
organization = "Organization"
expiration_days = 3650
signing_key
encryption_key
tls_www_server

cn = "User"
unit = "users"
expiration_days = 7777
signing_key
tls_www_client

certtool --generate-privkey --outfile ca-key.pem
certtool --generate-self-signed --load-privkey ca-key.pem --template ca.tmpl --outfile ca-cert.pem
certtool --generate-privkey --outfile server-key.pem
certtool --generate-certificate --load-privkey server-key.pem --load-ca-certificate ca-cert.pem --load-ca-privkey ca-key.pem
certtool --generate-privkey --outfile user-key.pem
certtool --generate-certificate --load-privkey user-key.pem --load-ca-certificate ca-cert.pem --load-ca-privkey ca-key.pem --template user.tmpl --outfile user-cert.pem
openssl pkcs12 -export -inkey user-key.pem -in user-cert.pem -certfile ca-cert.pem -out client.user.p12

Потом скинул сертификат сервера и ключ в /etc/ssl/ (не знаю зачем это нужно, если честно).

Разумеется, нужно все сделать более грамотно, но и сейчас работает отлично. Спасибо за помощь! Все мы в самом начале тупим, я тоже не исключение.

Answer 3

[frostbitten]

Вот ссылка на подробную установку и настройку OpenConnect сервера с сертификатами TLS/SSL Let's Encrypt:
https://www.linuxbabe.com/ubuntu/openconnect-vpn-s...

А вот ссылка на подробную установку и настройку центра сертификации, для авторизации клиента во время подключения к серверу без логина и пароля, а с помощью *.p12 сертификата:
https://www.linuxbabe.com/ubuntu/certificate-authe...