Centos 8 पर दो-कारक प्राधिकरण के साथ Openconnect आपातकालीन वीपीएन सर्वर

प्रस्तावना

मार्च के मध्य में रविवार की शाम को मुझे एक फोन कॉल आया, जिसका सार यह था कि 200+ लोग सोमवार को कार्यालय नहीं आएंगे, लेकिन «udalenka 'में स्थानांतरित हो जाएंगे। वाक्यांश: "रिमोट" पर एक, और "विस्तारित" पर प्रशंसा, मेरे सिर में घूमती है।

यह कहने के लिए नहीं है कि हमारे पास आंतरिक संसाधनों के लिए दूरस्थ पहुंच बिल्कुल नहीं थी, लेकिन हमने समर्थन में लगाए गए सूचना प्रणालियों में कुछ आईटी विशेषज्ञों की आपातकालीन पहुंच के लिए Shrew soft VPN client + Pfsense के एक समूह पर IPSEC VPN का उपयोग किया। श्योर सॉफ्ट वीपीएन क्लाइंट ने इस तथ्य में एक ख़ासियत दिखाई है कि कई सफल कनेक्शनों के बाद आईपीवी 4 मार्गों ने काम करना बंद कर दिया है। इस स्थिति का इलाज विंडोज सेवाओं को फिर से शुरू करने या अंतिम डिवाइस को रिबूट करने से किया गया था। सहकर्मियों को दिन में कई बार अनिश्चित समय के लिए इस बारीकियों को समझाने की संभावना ने एक साथ अंगों के तंत्रिका टिक और कंपकंपी का कारण बना।

पसंद का आटा

मैंने वीपीएन को कार्यालय प्रणालियों में व्यवस्थित करने के लिए निम्नलिखित समाधान आवश्यकताओं की पहचान की है:

1. आसान सेटअप। इस उम्मीद में कि कुछ अपने दम पर सामना करेंगे;
2. लोकप्रिय ऑपरेटिंग सिस्टम के लिए क्लाइंट की उपलब्धता;
3. पासवर्ड प्रमाणीकरण के लिए समर्थन सक्रिय निर्देशिका; चाबियाँ (प्रमाण पत्र) का तत्काल मुद्दा मेरी योजनाओं में नहीं था
4. दो तरीकों से प्रमाणीकरण। अधिमानतः मुक्त;
5. न्यूनतम निवेश, और मुफ्त में बेहतर है, क्योंकि आईटी उपकरण 2020 के लिए बजट में रिमोट एक्सेस गेटवे की लागत नहीं थी;
6. और अनुमानित स्थिरता और प्रदर्शन;

WireGuard , openvpn-gui, , , SoftEther VPN, , Shrew soft . Openconnect VPN Server + OpenConnect SSL VPN Client — 1 , tcp, , LDAP, ! Cisco Anyconnect client :)

Centos 8. Centos 8 , glibc-langpack-en, >

dnf install glibc-langpack-en
setfont UniCyr_8x16
  /etc/vconsole.conf FONT="UniCyr_8x16"

:

#  trusted -    
#     nftables     Firewalld      Forward.     trusted 
firewall-cmd --set-default-zone=trusted
#    firewalld - ocserv (  443/tcp 443/udp)
firewall-cmd --permanent --new-service=ocserv
firewall-cmd --permanent --service=ocserv --set-description="OpenConnect SSL VPN Server"
firewall-cmd --permanent --service=ocserv --add-port=443/tcp
firewall-cmd --permanent --service=ocserv --add-port=443/udp
# (   ens192)   drop
firewall-cmd --zone=drop --change-interface=ens192 --permanent
firewall-cmd --reload
#  drop       ocserv
firewall-cmd --zone=drop --permanent --add-service=ocserv
firewall-cmd --reload

OpenConnect SSL वीपीएन सर्वर प्राधिकरण के लिए pam तंत्र का उपयोग कर सकता है। सक्रिय निर्देशिका क्लाइंट के "एंड-टू-एंड" प्राधिकरण के लिए, हमारे नए सर्वर को डोमेन में जोड़ें:

#   
dnf install realmd sssd oddjob oddjob-mkhomedir adcli samba-common samba-common-tools krb5-workstation

realm  discover mydomain.ru

 #    Active Directory
realm join mydomain.ru -U Username

systemctl enable sssd
systemctl start sssd

realm permit --all

दो - कारक दो - चरणीय प्रमाणीकरण को लागू करने के लिए एक मॉड्यूल का चयन , मैंने बॉक्स से समर्थित डुओ सुरक्षा की लागत को देखा और Google प्रमाणक द्वारा दर्शाए गए TOTP (टाइम-आधारित वन-टाइम पासवर्ड) को चुना। इस कार्यान्वयन में, सटीक समय सेवाओं द्वारा सर्वर समय सिंक्रनाइज़ेशन का समय महत्वपूर्ण है। आप कमांड के साथ क्रोनॉइड डेमन के सही संचालन की जांच कर सकते हैं: क्रोनाइक स्रोत

dnf install epel-release
dnf install google-authenticator qrencode-libs

Openconnect VPN Server:

dnf install ocserv
#    
systemctl enable ocserv

LetsEncrypt VPN . . , , 3- COVID-19 .

firewall-cmd --zone=drop --add-service=http
curl -O  https://dl.eff.org/certbot-auto
mv certbot-auto /usr/local/bin/certbot-auto
chown root /usr/local/bin/certbot-auto
chmod 0755 /usr/local/bin/certbot-auto
certbot-auto certonly --standalone --preferred-challenges http -d vpn.mydomain.ru
firewall-cmd --zone=drop --remove-service=http

VPN

sed '/^#%PAM-1.0$/a auth       required     pam_google_authenticator\.so' /etc/pam.d/ocserv
systemctl start ocserv
systemctl start ocserv

echo "net.ipv4.ip_forward=1">/etc/sysctl.d/0-ocserv.conf
sysctl -w net.ipv4.ip_forward=1

openconnect-gui. vpn.mydomain.ru

Password OTP Google Authenticator. Password1 Active Directory.

...