Проблематика

Още съвсем наскоро много хора не знаеха какво означава да работиш от вкъщи. Пандемията рязко промени ситуацията в света, всички започнаха да се адаптират към новите обстоятелства, а именно че излизането навън стана просто небезопасно. И много хора трябваше бързо да организират работа от вкъщи за своите служители.

Въпреки това, липсата на грамотен подход при избора на решения за дистанционна работа може да доведе до необратими загуби. Паролите на потребителите могат да бъдат откраднати, което да даде възможност на злоумисленици да се свързват безконтролно с мрежата и ИТ ресурсите на предприятието.

Затова в момента нарасна нуждата от създаване на надеждни корпоративни VPN мрежи. Ще ви разкажа за надеждна, сигурна и лесна за ползване VPN мрежа.

Тя работи по схемата IPsec/L2TP, използвайки неизвличаеми ключове и сертификати за удостоверяване на клиентите, които се съхраняват на токени, и предава данни по мрежата в криптиран вид.

Като демонстрационни стендове за конфигуриране бяха използвани сървър с CentOS 7 (адрес: centos.vpn.server.ad) и клиент с Ubuntu 20.04, както и клиент с Windows 10.

Описание на системата

VPN ще работи по схемата IPSec + L2TP + PPP. Протоколът Point-to-Point Protocol (PPP) работи на канален уровень на модела OSI и осигурява удостоверяване на потребителя и криптиране на предаваните данни. Неговите данни са инкапсулирани в данните на протокола L2TP, който собствено осигурява създаването на свързаност в VPN мрежата, но не осигурява удостоверяване и криптиране.

Данните L2TP са инкапсулирани в протокола IPSec, който също осигурява удостоверяване и криптиране, но за разлика от протокола PPP, удостоверяването и криптирането се осъществяват на ниво устройства, а не на ниво потребители.

Тази особеност позволява удостоверяване на потребителите само от определени устройства. Ние обаче ще използваме протокол IPSec за това и ще позволим удостоверяване на потребителите от всяко устройство.

Удостоверяването на потребителя с помощта на смарт карти ще се извършва на ниво протокол PPP с помощта на протокол EAP-TLS.

По-подробна информация за работата на тази схема може да намерите в тази статия.

Защо тази схема отговаря на трите изисквания на добра VPN мрежа

1. Надеждността на тази схема е проверена с времето. Тя се използва за разгръщане на VPN мрежи от 2000 година.
2. Безопасната аутентификация на потребителя се осигурява от протокола PPP. Стандартната реализация на протокола PPP, разработена от Paul Mackerras, не осигурява достатъчно ниво на сигурност, тъй като за аутентификация в най-добрия случай се използва аутентификация с логин и парола. Всички знаем, че логинът и паролата могат да бъдат подслушани, подбрани или откраднати. Въпреки това, разработчикът Jan Just Keijser в поправи този момент в своята реализация на този протокол и добави възможността да се използват протоколи, основани на асиметрично шифроване, за аутентификация, като EAP-TLS. Освен това, той добави възможността за използване на смарт карти за аутентификация, което направи системата по-сигурна.
   В момента активно се водят преговори за сливането на тези два проекта и можем да бъдем сигурни, че рано или късно това ще се случи. Например, в хранилищата на Fedora отдавна има пачната версия на PPP, която използва безопасни протоколи за аутентификация.
3. Още преди малко време, тази мрежа можеха да използват само потребители на Windows, но нашите колеги от МГУ Василий Шоков и Александър Смирнов намериха стар проект за L2TP клиент за Linux и го доработиха. Със съвместните усилия успяхме да поправим множество бъгове и недочети в работата на клиента, да опростим инсталацията и конфигурацията на системата, дори при компилиране от изходния код. Най-съществените от тях са:
   • Проблемите с несъвместимост на стария клиент с интерфейса на новите версии на openssl и qt бяха отстранени.
   • Премахнато е предаването на PIN кода на токена чрез временно файлче.
   • Коригирано е неправилното стартиране на програмата за запитване на парола през графичния интерфейс. Това беше постигнато чрез настройка на коректната среда за услугата xl2tpd.
   • Сборката на демона L2tpIpsecVpn сега се извършва заедно със сборката на самия клиент, което улеснява процеса на компилиране и настройка.
   • За удобство при разработката е свързана системата Azure Pipelines за тестване на коректността на сборката.
   • Добавена е възможност за принудително понижаване на нивото на сигурност в контекста на openssl. Това е полезно за коректната поддръжка на новите операционни системи, където стандартното ниво на сигурност е зададено на 2, с VPN мрежи, в които се използват сертификати, които не отговарят на изискванията за сигурност на това ниво. Тази опция ще бъде полезна за работа с вече съществуващи стари VPN мрежи.

Коригираната версия може да се намери в този репозитория.

Този клиент поддържа използването на смарт карти за автентикация и максимално скрива всички трудности и неудобства при настройката на тази схема под Linux, правейки конфигурацията на клиента възможно най-прост и бърз.

Разбира се, за удобната свързаност между PPP и GUI клиента не мина без допълнителни корекции на всеки от проектите, но все пак успяхме да минимизираме измененията до минимум:

• Поправено грешка в некоректното предаване на PIN кода на токена от PPP в контекста на openssl
• Поправено грешка в реда на зареждане на конфигурацията и инициализацията на контекста на openssl. Тази грешка не позволяваше да се зареждат от локалния /etc/ppp/openssl.cnf файл нищо освен информация за движките на openssl за работа със смарт карти, което представляваше сериозно неудобство, ако, например, освен информация за енджините искахме да зададем нещо още. Например, да фиксираме нивото на сигурност при установяване на връзка.

Сега можем да преминем към настройката.

Настройка на сървъра

Ще инсталираме всички необходими пакети.

Инсталация на strongswan (IPsec)

На първо място, ще настроим защитната стена за работа с ipsec

sudo firewall-cmd --permanent --add-port=1701/{tcp,udp}
sudo firewall-cmd --permanent --add-service=ipsec
sudo firewall-cmd --reload

След това ще преминем към инсталирането на

sudo yum install epel-release ipsec-tools dnf
sudo dnf install strongswan

След инсталацията е необходимо да зададем конфигурация за strongswan (една от реализациите на IPSec). За целта ще редактираме файла /etc/strongswan/ipsec.conf :

config setup
    nat_traversal=yes
    virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12
    oe=off
    protostack=netkey 

conn L2TP-PSK-NAT
    rightsubnet=vhost:%priv
    also=L2TP-PSK-noNAT

conn L2TP-PSK-noNAT
    authby=secret
    pfs=no
    auto=add
    keyingtries=3
    rekey=no
    ikelifetime=8h
    keylife=1h
    type=transport
    left=%any
    leftprotoport=udp/1701
    right=%any
    rightprotoport=udp/%any
    ike=aes128-sha1-modp1536,aes128-sha1-modp1024,aes128-md5-modp1536,aes128-md5-modp1024,3des-sha1-modp1536,3des-sha1-modp1024,3des-md5-modp1536,3des-md5-modp1024
    esp=aes128-sha1-modp1536,aes128-sha1-modp1024,aes128-md5-modp1536,aes128-md5-modp1024,3des-sha1-modp1536,3des-sha1-modp1024,3des-md5-modp1536,3des-md5-modp1024

Също така ще зададем обща парола за вход. Общата парола трябва да бъде известна на всички участници в мрежата за аутентификация. Този метод е изначално ненадежден, тъй като паролата лесно може да стане известна на лица, на които не искаме да предоставим достъп до мрежата.
Въпреки това, дори този факт няма да повлияе на сигурността на организацията на мрежата, тъй като основното криптиране на данните и аутентификацията на потребителите се осъществява чрез протокола PPP. Но честно казано, трябва да се отбележи, че strongswan поддържа по-безопасни технологии за аутентификация, например, с помощта на частни ключове. Освен това в strongswan има възможност за осигуряване на аутентификация чрез смарт картички, но за момента се поддържа ограничен набор от устройства, поради което аутентификацията с помощта на токени и смарт картички Рутокен е затруднена. Нека зададем общата парола чрез файл. /etc/strongswan/ipsec.secrets:

# ipsec.secrets - strongSwan IPsec secrets file
%any %any : PSK "SECRET_PASSPHRASE"

Нека рестартирахме strongswan:

sudo systemctl enable strongswan
sudo systemctl restart strongswan

Инсталация на xl2tp

sudo dnf install xl2tpd

Нека го конфигурираме чрез файл /etc/xl2tpd/xl2tpd.conf:

[global]
force userspace = yes
listen-addr = 0.0.0.0
ipsec saref = yes

[lns default]
exclusive = no
; определя статичен адрес на сървъра във виртуалната мрежа
local ip = 100.10.10.1
; задава диапазон от виртуални адреси
ip range = 100.10.10.1-100.10.10.254
assign ip = yes
refuse pap = yes
require authentication = yes
; тази опция може да бъде деактивирана след успешна настройка на мрежата
ppp debug = yes
length bit = yes
pppoptfile = /etc/ppp/options.xl2tpd
; посочва адреса на сървъра в мрежата
name = centos.vpn.server.ad

Нека рестартираме услугата:

sudo systemctl enable xl2tpd
sudo systemctl restart xl2tpd

Конфигурация на PPP

Препоръчително е да инсталирате последната версия на pppd. За целта изпълнете следната последователност от команди:

sudo yum install git make gcc openssl-devel
git clone "https://github.com/jjkeijser/ppp"
cd ppp
./configure --prefix /usr
make -j4
sudo make install

Впишете в файла /etc/ppp/options.xl2tpd следното (ако там има някакви стойности, те могат да бъдат изтрити):

ipcp-accept-local
ipcp-accept-remote
ms-dns 8.8.8.8
ms-dns 1.1.1.1

noccp
auth
crtscts
idle 1800
mtu 1410
mru 1410
nodefaultroute
debug
lock
proxyarp
connect-delay 5000

Изпишете коренния сертификат и сертификата на сървъра:

#директория с сертификатами пользователей, УЦ и сервера
sudo mkdir /etc/ppp/certs
#директория с закрытыми ключами сервера и УЦ
sudo mkdir /etc/ppp/keys
#запрещаем любой доступ к этой дирректории кроме администатора
sudo chmod 0600 /etc/ppp/keys/

#генерируем ключ и выписываем сертификат УЦ
sudo openssl genrsa -out /etc/ppp/keys/ca.pem 2048
sudo openssl req -key /etc/ppp/keys/ca.pem -new -x509 -out /etc/ppp/certs/ca.pem -subj "/C=RU/CN=L2TP CA"

#генерируем ключ и выписываем сертификат сервера
sudo openssl genrsa -out /etc/ppp/keys/server.pem 2048
sudo openssl req -new -out server.req -key /etc/ppp/keys/server.pem -subj "/C=RU/CN=centos.vpn.server.ad"
sudo openssl x509 -req -in server.req -CAkey /etc/ppp/keys/ca.pem -CA /etc/ppp/certs/ca.pem -out /etc/ppp/certs/server.pem -CAcreateserial

По този начин завършихме основната настройка на сървъра. Останалата част от конфигурацията на сървъра е свързана с добавянето на нови клиенти.

Добавяне на нов клиент

За да добавите нов клиент в мрежата, е необходимо да запишете сертификата му в списъка на доверените за този клиент.

Ако потребителят иска да се присъедини към VPN мрежа, той създава ключова двойка и заявка за сертификат за съответния клиент. Ако потребителят е доверен, то заявката може да бъде подписана, а полученият сертификат да бъде записан в директорията със сертификати:

sudo openssl x509 -req -in client.req -CAkey /etc/ppp/keys/ca.pem -CA /etc/ppp/certs/ca.pem -out /etc/ppp/certs/client.pem -CAcreateserial

Добавяме ред в файла /etc/ppp/eaptls-server за съвпадение на името на клиента и неговия сертификат:

"client" * /etc/ppp/certs/client.pem /etc/ppp/certs/server.pem /etc/ppp/certs/ca.pem /etc/ppp/keys/server.pem *

ЗАБЕЛЕЖКА
За да не се объркате, е по-добре: Общото име, името на файла със сертификата и името на потребителя да бъдат уникални.

Също е добре да проверите, че в други файлове за удостоверяване не фигурира името на потребителя, когото добавяме, в противен случай могат да възникнат проблеми с метода за удостоверяване на потребителя.

Този сертификат трябва да бъде изпратен обратно на потребителя.

Генерация на ключова двойка и сертификат

За успешна автентикация на клиента е необходимо:

1. да генерира ключова двойка;
2. да има коренен сертификат на УЦ;
3. да има сертификат за своята ключова двойка, подписан от коренния УЦ.

за клиента на Linux

Първо генерирайте ключова двойка на токена и създайте заявка за сертификат:

#идентификатор ключа (параметр --id) можно заменить на любой другой.
pkcs11-tool --module /usr/lib/librtpkcs11ecp.so --keypairgen --key-type rsa:2048 -l --id 45

openssl
OpenSSL> engine dynamic -pre SO_PATH:/usr/lib/x86_64-linux-gnu/engines-1.1/pkcs11.so -pre ID:pkcs11 -pre LIST_ADD:1 -pre LOAD -pre MODULE_PATH:librtpkcs11ecp.so
...
OpenSSL> req -engine pkcs11 -new -key 45 -keyform engine -out client.req -subj "/C=RU/CN=client"

Изпратете появилата се заявка client.req на УЦ. След като получите сертификат за своята ключова двойка, запишете го на токена с идентификатор, същий като на ключа:

pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -l -y cert -w ./client.pem --id 45

за Windows и Linux клиенти (по-универсален начин)

Този метод е по-универсален, тъй като позволява генериране на ключ и сертификат, който ще бъде успешно разпознат от потребителите на Windows и Linux, но изисква наличието на машина с Windows за провеждането на процедурата по генериране на ключове.

Преди генерирането на заявки и импортирането на сертификати е необходимо да добавите коренния сертификат на VPN мрежата в списъка на доверените. За целта го отворете и в появилото се прозорче изберете опцията "Инсталиране на сертификат":

В появилото се прозорче изберете инсталиране на сертификата за локален потребител:

Инсталираме сертификата в хранилището на доверените коренни сертификати на УЦ:

След всички тези действия приемаме всички следващи точки. Сега системата е настроена.

Нека създадем файл cert.tmp със следното съдържание:

[NewRequest]
Subject = "CN=client"
KeyLength = 2048
KeySpec = "AT_KEYEXCHANGE" 
ProviderName = "Microsoft Base Smart Card Crypto Provider"
KeyUsage = "CERT_KEY_ENCIPHERMENT_KEY_USAGE"
KeyUsageProperty = "NCRYPT_ALLOW_DECRYPT_FLAG"
RequestType = PKCS10
SMIME = FALSE

След това ще генерираме ключова двойка и ще създадем заявка за сертификат. За целта отваряме powershell и въвеждаме следната команда:

certreq.exe -new -pin $PIN .cert.tmp .client.req

Изпратете създадената заявка client.req на вашия УЦ и изчакайте получаването на сертификата client.pem. Може да го запишете на токен и да го добавите в хранилището за сертификати на Windows с помощта на следната команда:

certreq.exe -accept .client.pem

Струва си да се отбележи, че аналогични действия могат да се извършат и с помощта на графичния интерфейс на програмата mmc, но този метод е по-времезатратен и по-малко програмируем.

Настройка на клиента Ubuntu

ЗАБЕЛЕЖКА
Настройката на клиента на Linux в момента е доста продължителна, тъй като изисква компилиране на отделни програми от изходен код. Ще се опитаме в най-близко време да постигнем всички промени да бъдат включени в официалните репозитории.

За осигуряване на свързаност на ниво IPSec с сървъра — се използва пакетът strongswan и демонът xl2tp. За опростяване на свързаността в мрежата с помощта на смарт-карти – ще използваме пакета l2tp-ipsec-vpn, който осигурява графичен интерфейс за опростена настройка на свързването.

Ще започнем да компилираме елементите поетапно, но преди това ще инсталираме всички необходими пакети за непосредствена работа на VPN:

sudo apt-get install xl2tpd strongswan libp11-3

Инсталиране на софтуер за работа с токени

Инсталирайте последната версия на библиотеката librtpkcs11ecp.so с сайта, както и библиотеки за работа със смарт-карти:

sudo apt-get install pcscd pcsc-tools opensc libengine-pkcs11-openssl

Свържете Рутокен и проверете дали системата го разпознава:

pkcs11-tool --module /usr/lib/librtpkcs11ecp.so  -O -l

Инсталиране на пропатчения ppp

sudo apt-get -y install git make gcc libssl-dev
git clone "https://github.com/jjkeijser/ppp"
cd ppp
./configure --prefix /usr
make -j4
sudo make install

Инсталиране на клиента L2tpIpsecVpn

В момента клиента също трябва да се компилира от изходен код. Това става с помощта на следната последователност от команди:

sudo apt-get -y install git qt5-qmake qt5-default build-essential libctemplate-dev libltdl-dev
git clone "https://github.com/Sander80/l2tp-ipsec-vpn"
cd l2tp-ipsec-vpn
make -j4
sudo make install

Настройка на клиента L2tpIpsecVpn

Стартираме инсталирания клиент:

След стартиране трябва да се отвори аплетът L2tpIpsecVPN. Щракваме с десния бутон върху него и извършваме настройка на връзката:

За работа с токени, на първо място, ще укажем пътя на движка opensc OpenSSL и библиотеката PKCS#11. За целта отворете раздела "Настройки" за конфигуриране на параметрите на openssl:

.

Ще затворим прозореца с настройки OpenSSL и ще преминем към настройка на мрежата. Добавете нова мрежа, като натиснете бутона Добави… в панела с настройки и въведете името на мрежата:

След това тази мрежа ще стане достъпна в панела с настройки. Ще кликнем два пъти с десния бутон на мишката върху новата мрежа, за да я конфигурираме. На първия раздел е необходимо да извършим настройки на IPsec. Ще зададем адреса на сървъра и общия ключ:

След това преминаваме към раздела с настройки на PPP и ще укажем там потребителското име, с което искаме да се свържем към мрежата:

След това ще отворим раздела Properties и ще укажем пътя до ключа, сертификата на клиента и CA:

Ще затворим този раздел и ще извършим финалната настройка, за което ще отворим раздела "IP настройки" и ще поставим отметка в опцията "Автоматично получаване на адрес на DNS сървъра":

Тази опция ще позволи на клиента да получава личен IP адрес от сървъра в мрежата.

След всички настройки ще затворим всички раздели и ще рестартираме клиента:

Свързване с мрежата

След настройките можем да се свържем с мрежата. За това ще отворим раздела с аплета и ще изберем мрежата, с която искаме да се свържем:

В процеса на установяване на връзката, клиентът ще поиска да въведем PIN кода на Рутокена:

Ако в статус бара се появи известие, че връзката е успешна, то настройката е извършена успешно:

В противен случай е необходимо да разберем защо връзката не е установена. За това е добре да погледнем логовете на програмата, като изберем в аплета командата "Информация за връзката":

Настройка на клиента за Windows

Настройката на клиента в Windows е значително по-лесна, отколкото в Linux, тъй като целият необходим софтуер вече е вграден в системата.

Настройка на системата

Ще инсталираме всички необходими драйвери за работа с Рутокени, като ги изтеглим от официалния сайт.

Импорт на кореновия сертификат за удостоверяване

Ще изтеглим кореновия сертификат на сървъра и ще го инсталираме в системата. За това ще го отворим и в отворилия се прозорец ще изберем опцията "Инсталиране на сертификата":

В отворилия се прозорец ще изберем инсталирането на сертификата за локален потребител. Ако искате сертификатът да бъде достъпен за всички потребители на компютъра, тогава трябва да изберете инсталиране на сертификата на локалния компютър:

Инсталираме сертификата в хранилището на доверените коренни сертификати на УЦ:

След всички тези действия приемаме всички следващи точки. Сега системата е настроена.

Настройка на VPN връзка

За настройване на VPN връзка, отидете в контролния панел и изберете опцията за създаване на нова връзка.

В изскачащия прозорец изберете опцията за създаване на връзка за свързване с работното място:

В следващия прозорец изберете връзката по VPN:

и въведете данните за VPN връзката, както и посочете опцията за използване на смарт карта:

Тук настройката не приключва. Остава да посочим общия ключ за протокола IPsec, за което ще преминем на раздела 'Настройки на мрежовите връзки' и след това на раздела 'Свойства за тази връзка':

В отворения прозорец преминете на раздела "Сигурност", посочете типа на мрежата "Мрежа L2TP/IPsec" и изберете "Допълнителни параметри":

В отворения прозорец посочете общия ключ IPsec:

Свързване

След завършване на настройките можете да опитате да се свържете с мрежата:

При свързването от нас ще бъдат изисквани PIN-код на токена:

Ние настройвахме сигурна VPN мрежа и се уверихме, че това не е сложно.

Благодарности

Бих искал още веднъж да благодаря на нашите колеги Василий Шоков и Александър Смирнов за съвместната работа за опростяване на създаването на VPN връзки за клиенти на Linux.

Източник: habr.com