Problématika

Még nem is olyan régen sokan nem tudták, milyen is az otthonról dolgozni. A pandémia drámaian megváltoztatta a helyzetet a világban, mindenki alkalmazkodni kezdett a kialakult körülményekhez, nevezetesen ahhoz, hogy az otthon elhagyása egyszerűen biztonságtalan lett. Sokan kénytelenek voltak gyorsan megszervezni az otthoni munkát alkalmazottaik számára.

Azonban a távmunkához szükséges megoldások megválasztásának helytelen módja visszafordíthatatlan veszteségeket okozhat. A felhasználói jelszavak eltulajdoníthatók, ami lehetővé teszi a támadó számára, hogy ellenőrzés nélkül csatlakozzon a vállalat hálózatához és IT-erőforrásaihoz.

Ezért most megnőtt a megbízható vállalati VPN hálózatok létrehozásának iránti igény. Mesélni fogok önöknek a megbízható, biztonságosnak és könnyen használható VPN hálózatról.

IPsec/L2TP séma szerint működik, amely a kliensek azonosításához nem kiadható kulcsokat és tokeneken tárolt tanúsítványokat használ, valamint titkosítva továbbítja az adatokat a hálózaton.

A beállítási demonstrációs környezetekhez a CentOS 7 (cím: centos.vpn.server.ad) szervert és az Ubuntu 20.04, valamint a Windows 10 klienst használták.

A rendszer leírása

A VPN az IPSec + L2TP + PPP sémán fog működni. A Point-to-Point Protocol (PPP) az OSI modell adatkapcsolati szintjén működik, és lehetővé teszi a felhasználói azonosítást és az átvitt adatok titkosítását. Az adatai beágyazódnak az L2TP protokoll adataiba, amely valójában biztosítja a VPN hálózatokban való kapcsolat létrehozását, de nem nyújt azonosítást és titkosítást.

Az L2TP adatok beágyazódnak az IPSec protokollba, amely szintén biztosítja az azonosítást és titkosítást, de ellentétben a PPP protokollal az azonosítás és titkosítás az eszközök szintjén történik, nem pedig a felhasználók szintjén.

Ez a jellemző lehetővé teszi a felhasználók azonosítását csak bizonyos eszközökről. Mi azonban az IPSec protokollt fogjuk használni, és lehetővé tesszük a felhasználók azonosítását bármilyen eszközről.

A felhasználó azonosítása okoskártya segítségével a PPP protokoll szintjén, az EAP-TLS protokoll segítségével fog történni.

A rendszer működésével kapcsolatos részletesebb információket a cikkben.

Miért felel meg ez a séma a jó VPN hálózatra vonatkozó három követelménynek?

A séma megbízhatóságát az idő igazolta. 2000 óta használják VPN hálózatok telepítésére.
A felhasználó biztonságos hitelesítését a PPP protokoll biztosítja. A PPP protokoll szabványos megvalósítását Paul Mackerras dolgozta ki. nem biztosít elegendő szintű biztonságot, mivel a hitelesítés legjobb esetben is csak felhasználónév és jelszó alapján történik. Mindannyian tudjuk, hogy a felhasználónév és jelszó könnyen megfigyelhető, kitalálható vagy ellopható. Ennek ellenére a fejlesztő, Jan Just Keijser be. saját megvalósításában javította ezt a problémát, és lehetőséget adott a hitelesítéshez az aszimmetrikus titkosításon alapuló protokollok, például az EAP-TLS használatára. Ezen kívül lehetőség nyílt smart kártyák használatára is a hitelesítéshez, ami biztonságosabbá tette a rendszert.
Jelenleg aktív tárgyalások folynak e két projekt egyesítéséről, és biztosak lehetünk benne, hogy előbb vagy utóbb ez bekövetkezik. Például a Fedora tárolóiban már régóta elérhető a biztonsági protokollokat használó PPP, amely javítja a hitelesítést.
Még nemrégiben ezt a hálózatot csak Windows felhasználók használhatták, de kollégáink, Vasily Shokov és Alexander Smirnov a MGU-ból, megtalálták a Linux számára készült L2TP kliens régi projektjét és fejlesztették azt. Közös erőfeszítéseinkkel számos hibát és hiányosságot orvosoltunk a kliens működésében, egyszerűsítettük a rendszer telepítését és beállítását, még a forráskódokból való összeállítás esetén is. A legfontosabb változások a következők:
- Kijavították a régi kliens kompatibilitási problémáit az újabb openssl és qt verziókkal.
- Eltávolították a pppd PIN-kód átvitelét a tokenen keresztül ideiglenes fájlon.
- Javították a jelszó lekérdezésének helytelen indítását a grafikus felületen. Ezt a xl2tpd szolgáltatás helyes környezetének beállításával sikerült elérni.
- Az L2tpIpsecVpn démon összeszerelése mostantól a kliens közvetlen összeszerelésével együtt történik, ami megkönnyíti a telepítést és a konfigurálást.
- A fejlesztés kényelme érdekében integrálva lett az Azure Pipelines rendszer a megfelelő összeállítás tesztelésére.
- Lehetőség lett bevezetve a biztonsági szint kényszerített csökkentésére. security level Az openssl kontextusában. Ez hasznos az új operációs rendszerek helyes támogatásához, ahol a standard biztonsági szint 2-re van állítva, VPN hálózatokban, amelyekben olyan tanúsítványokat használnak, amelyek nem felelnek meg ennek a szintnek a biztonsági követelményeinek. Ez a beállítás segít a már meglévő régi VPN hálózatokkal való munkához.

A javított verziót itt találhatja: ebben a tárolóban..

Ez az ügyfél támogatja az intelligens kártyák használatát az azonosításhoz, és maximálisan elrejti a Linux alatti beállításokkal járó nehézségeket, így a kliens beállítása a lehető legegyszerűbb és leggyorsabb lesz.

Természetesen a PPP és a kliens GUI kényelmes kapcsolatának érdekében nem maradhattak el a projektek egyedi módosításai, de a lehető legkevesebbre csökkentettük ezeket:

Kijavítva a PIN-kód helytelen átadásának hibája a PPP-ből az openssl kontextusába.
Kijavítva a konfiguráció betöltésének és az openssl kontextus inicializálásának hibája.. Ez a hiba megakadályozta, hogy a helyi /etc/ppp/openssl.cnf konfigurációs fájból bármit is betöltsön, kivéve az intelligens kártyákkal kapcsolatos openssl motorok részleteit, ami komoly kényelmetlenséget okozott, ha például az engine-ök információján kívül mást is szeretnénk megadni. Például rögzíteni a biztonsági szintet a kapcsolat létrehozásakor.

Most már kezdhetjük a beállítást.

A szerver beállítása

Telepítsünk minden szükséges csomagot.

Strongswan (IPsec) telepítése.

Először beállítjuk a tűzfalat az ipsec működéséhez.

sudo firewall-cmd --permanent --add-port=1701/{tcp,udp}
sudo firewall-cmd --permanent --add-service=ipsec
sudo firewall-cmd --reload

Ezután elkezdjük a telepítést.

sudo yum install epel-release ipsec-tools dnf
sudo dnf install strongswan

A telepítés után konfigurálni kell a strongswan-t (az IPSec egyik megvalósítása). Ehhez szerkesszük a következő fájlt: /etc/strongswan/ipsec.conf :

config setup
    nat_traversal=yes
    virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12
    oe=off
    protostack=netkey 

conn L2TP-PSK-NAT
    rightsubnet=vhost:%priv
    also=L2TP-PSK-noNAT

conn L2TP-PSK-noNAT
    authby=secret
    pfs=no
    auto=add
    keyingtries=3
    rekey=no
    ikelifetime=8h
    keylife=1h
    type=transport
    left=%any
    leftprotoport=udp/1701
    right=%any
    rightprotoport=udp/%any
    ike=aes128-sha1-modp1536,aes128-sha1-modp1024,aes128-md5-modp1536,aes128-md5-modp1024,3des-sha1-modp1536,3des-sha1-modp1024,3des-md5-modp1536,3des-md5-modp1024
    esp=aes128-sha1-modp1536,aes128-sha1-modp1024,aes128-md5-modp1536,aes128-md5-modp1024,3des-sha1-modp1536,3des-sha1-modp1024,3des-md5-modp1536,3des-md5-modp1024

Ezért egy közös jelszót is megadunk a bejelentkezéshez. A közös jelszónak minden hálózat résztvevője számára ismertnek kell lennie az azonosításhoz. Ez a módszer megbízhatatlan, mivel ez a jelszó könnyen tudomására juthat azoknak a személyeknek, akiknek nem szeretnénk hozzáférést biztosítani a hálózathoz.
Mindazonáltal ez a tény nem befolyásolja a hálózat biztonságát, mivel az adatforgalom alapvető titkosítása és a felhasználók azonosítása a PPP protokoll által történik. Igazság szerint érdemes megjegyezni, hogy a strongswan támogatja a biztonságosabb azonosítási technológiákat, például a magánkulcsokkal való azonosítást. A strongswanban lehetőség van okoskártyás azonosításra is, de eddig csak korlátozott számú eszköz támogatott, ezért a RUTOKEN-es azonosítások nehézkesek. Állítsuk be a közös jelszót egy fájlon keresztül. /etc/strongswan/ipsec.secrets:

# ipsec.secrets - strongSwan IPsec secrets file
%any %any : PSK "SECRET_PASSPHRASE"

Indítsuk újra a strongswant:

sudo systemctl enable strongswan
sudo systemctl restart strongswan

xl2tp telepítése

sudo dnf install xl2tpd

Konfiguráljuk be a fájlon keresztül: /etc/xl2tpd/xl2tpd.conf:

[global]
force userspace = yes
listen-addr = 0.0.0.0
ipsec saref = yes

[lns default]
exclusive = no
; a virtuális hálózat statikus szerver címe
local ip = 100.10.10.1
; virtuális címek tartománya
ip range = 100.10.10.1-100.10.10.254
assign ip = yes
refuse pap = yes
require authentication = yes
; ezt az opciót a hálózat sikeres beállítása után ki lehet kapcsolni
ppp debug = yes
length bit = yes
pppoptfile = /etc/ppp/options.xl2tpd
; a szerver címe a hálózaton
name = centos.vpn.server.ad

Indítsuk újra a szolgáltatást:

sudo systemctl enable xl2tpd
sudo systemctl restart xl2tpd

PPP beállítása

Javasolt a legfrissebb pppd verzió telepítése. Ehhez hajtsuk végre a következő parancssorokat:

sudo yum install git make gcc openssl-devel
git clone "https://github.com/jjkeijser/ppp"
cd ppp
./configure --prefix /usr
make -j4
sudo make install

Írja be a fájlba /etc/ppp/options.xl2tpd a következőt (ha vannak ott értékek, azokat törölheti):

ipcp-accept-local
ipcp-accept-remote
ms-dns 8.8.8.8
ms-dns 1.1.1.1

noccp
auth
crtscts
idle 1800
mtu 1410
mru 1410
nodefaultroute
debug
lock
proxyarp
connect-delay 5000

Írja ki a gyökeret és a szerver tanúsítványát:

#директория с сертификатами пользователей, УЦ и сервера
sudo mkdir /etc/ppp/certs
#директория с закрытыми ключами сервера и УЦ
sudo mkdir /etc/ppp/keys
#запрещаем любой доступ к этой дирректории кроме администатора
sudo chmod 0600 /etc/ppp/keys/

#генерируем ключ и выписываем сертификат УЦ
sudo openssl genrsa -out /etc/ppp/keys/ca.pem 2048
sudo openssl req -key /etc/ppp/keys/ca.pem -new -x509 -out /etc/ppp/certs/ca.pem -subj "/C=RU/CN=L2TP CA"

#генерируем ключ и выписываем сертификат сервера
sudo openssl genrsa -out /etc/ppp/keys/server.pem 2048
sudo openssl req -new -out server.req -key /etc/ppp/keys/server.pem -subj "/C=RU/CN=centos.vpn.server.ad"
sudo openssl x509 -req -in server.req -CAkey /etc/ppp/keys/ca.pem -CA /etc/ppp/certs/ca.pem -out /etc/ppp/certs/server.pem -CAcreateserial

Így befejeztük a szerver alapvető beállítását. A szerver további konfigurációja az új ügyfelek hozzáadásával kapcsolatos.

Új kliens hozzáadása

Az új ügyfél hálózatba állításához a tanúsítványát fel kell venni az adott ügyfél számára megbízható listára.

Ha a felhasználó csatlakozni szeretne a VPN hálózathoz, létrehoz egy kulccsomót és egy tanúsítványkérelmet az adott kliens számára. Ha a felhasználó megbízható, akkor ezt a kérelmet alá lehet írni, és a kapott tanúsítványt a tanúsítványok könyvtárába kell menteni:

sudo openssl x509 -req -in client.req -CAkey /etc/ppp/keys/ca.pem -CA /etc/ppp/certs/ca.pem -out /etc/ppp/certs/client.pem -CAcreateserial

Adjunk hozzá egy sort az /etc/ppp/eaptls-server fájlhoz a kliens neve és a tanúsítványa közötti megfeleléshez:

"client" * /etc/ppp/certs/client.pem /etc/ppp/certs/server.pem /etc/ppp/certs/ca.pem /etc/ppp/keys/server.pem *

MEGJEGYZÉS
Annak elkerülése érdekében, hogy összezavarodjunk, jobb, ha a: Common Name, a tanúsítvány fájl neve és a felhasználónév egyediek.

Érdemes azt is ellenőrizni, hogy más hitelesítési fájlokban ne szerepeljen a hozzáadott felhasználónév, különben problémák merülhetnek fel a felhasználó hitelesítési módjával.

Ugyanezt a tanúsítványt vissza kell küldeni a felhasználónak.

Kulccsomó és tanúsítvány generálása

A sikeres hitelesítéshez a kliensnek szüksége van:

kulccsomó generálására;
rendelkeznie kell a CA gyökértanúsítványával;
rendelkeznie kell a saját kulccsomójához tartozó CA által aláírt tanúsítvánnyal.

Linux kliens számára

Először generáljunk kulccsomót a tokenen és hozzunk létre egy tanúsítványkérelmet:

#идентификатор ключа (параметр --id) можно заменить на любой другой.
pkcs11-tool --module /usr/lib/librtpkcs11ecp.so --keypairgen --key-type rsa:2048 -l --id 45

openssl
OpenSSL> engine dynamic -pre SO_PATH:/usr/lib/x86_64-linux-gnu/engines-1.1/pkcs11.so -pre ID:pkcs11 -pre LIST_ADD:1 -pre LOAD -pre MODULE_PATH:librtpkcs11ecp.so
...
OpenSSL> req -engine pkcs11 -new -key 45 -keyform engine -out client.req -subj "/C=RU/CN=client"

Az így létrejött client.req kérelmet küldje el a CA-nak. Miután megkapta a saját kulccsomójához tartozó tanúsítványt, mentse azt a tokenre ugyanazzal az azonosítóval, mint a kulcs:

pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -l -y cert -w ./client.pem --id  45

Windows és Linux kliensek számára (univerzálisabb módszer)

Ez a módszer univerzálisabb, mivel lehetővé teszi egy kulcs és tanúsítvány generálását, amelyet sikeresen észlelnek a Windows és Linux felhasználók, ám szükséges hozzá egy Windows gép a kulcsok generálásának elvégzéséhez.

A kérések generálása és a tanúsítványok importálása előtt hozzá kell adni a VPN hálózat gyökértanúsítványát a megbízható tanúsítványok listájához. Ehhez nyissa meg, és a megnyíló ablakban válassza a "Tanúsítvány telepítése" opciót:

A megnyíló ablakban válasszuk ki a tanúsítvány telepítését a helyi felhasználó számára:

Telepítsük a tanúsítványt a CA megbízható gyökértanúsítványainak tárolójába:

Mindezek után egyetértenünk kell az összes további feltétellel. Most a rendszer beállítva.

Hozzunk létre egy cert.tmp fájlt a következő tartalommal:

[NewRequest]
Subject = "CN=client"
KeyLength = 2048
KeySpec = "AT_KEYEXCHANGE"
ProviderName = "Microsoft Base Smart Card Crypto Provider"
KeyUsage = "CERT_KEY_ENCIPHERMENT_KEY_USAGE"
KeyUsageProperty = "NCRYPT_ALLOW_DECRYPT_FLAG"
RequestType = PKCS10
SMIME = FALSE

Ezután generáljuk le a kulcspárot, és készítünk egy kérelmet a tanúsítványra. Ehhez nyissuk meg a PowerShell-t, és írjuk be a következő parancsot:

certreq.exe -new -pin $PIN .cert.tmp .client.req

Küldje el az elkészített kérelmet client.req a hitelesítésszolgáltatónak, és várja meg a client.pem tanúsítvány megérkezését. Ezt lementheti a tokentára, és hozzáadhatja a Windows tanúsítványtárhoz a következő parancs segítségével:

certreq.exe -accept .client.pem

Érdemes megjegyezni, hogy hasonló lépéseket lehet végrehajtani a mmc program grafikus felületén is, de ez az eljárás időigényesebb és kevésbé programozható.

Ubuntu kliens beállítása

MEGJEGYZÉS
A Linux kliens beállítása jelenleg eléggé időigényes, mivel külön programokat kell forrásból építeni. A lehető leghamarabb elérjük, hogy minden változás bekerüljön a hivatalos tárolókba.

Az IPSec szintű csatlakozás biztosításához a strongswan csomagot és az xl2tp démonot használjuk. Az okoskártyák egyszerűsített hálózati csatlakozásához az l2tp-ipsec-vpn csomagot fogjuk használni, amely grafikus felületet biztosít a csatlakozás egyszerű beállításához.

Lépésről lépésre kezdjük el az elemek összeszerelését, de előtte telepítsük az összes szükséges csomagot a VPN közvetlen működéséhez:

sudo apt-get install xl2tpd strongswan libp11-3

Szoftver telepítése a tokentekkel való munkához

Telepítse a librtpkcs11ecp.so legújabb verzióját a következő címen: weboldalról, valamint a kártyákkal való munkához szükséges könyvtárakat:

sudo apt-get install pcscd pcsc-tools opensc libengine-pkcs11-openssl

Csatlakoztassa a Rootokent, és ellenőrizze, hogy a rendszer felismeri-e:

pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -O -l

Patchelés utáni ppp telepítése

sudo apt-get -y install git make gcc libssl-dev
git clone "https://github.com/jjkeijser/ppp"
cd ppp
./configure --prefix /usr
make -j4
sudo make install

L2tpIpsecVpn kliens telepítése

Jelenleg a klienst is forrásból kell összeszerelni. Ez a következő parancsok sorozatával történik:

sudo apt-get -y install git qt5-qmake qt5-default build-essential libctemplate-dev libltdl-dev
git clone "https://github.com/Sander80/l2tp-ipsec-vpn"
cd l2tp-ipsec-vpn
make -j4
sudo make install

L2tpIpsecVpn kliens beállítása

Futtassa az telepített klienst:

A program indításakor meg kell nyílnia az L2tpIpsecVPN applikációnak. Kattintson rá jobb gombbal, és állítsa be a kapcsolatot:

A tokenokkal való munka érdekében elsőként adjuk meg az OpenSSL motor és a PKCS#11 könyvtár elérési útját. Ehhez nyissa meg a "Beállítások" fület az openssl paraméterek beállításához:

Zárja be az OpenSSL beállítást, és térjünk át a hálózat beállítására. Új hálózatot adunk hozzá az "Add…" gomb megnyomásával a beállítások panelen, és írjuk be a hálózat nevét:

Ezt követően a megadott hálózat hozzáférhetővé válik a beállítások panelen. Kattintson jobb gombbal az új hálózatra, hogy beállítsa azt. Az első fülön végezze el az IPsec beállításokat. Adja meg a szerver címét és a közös kulcsot:

Ezt követően lépjünk át a PPP beállítások fülre, ahol megadjuk azt a felhasználónevet, amellyel szeretnénk belépni a hálózatba:

Ezután nyissa meg a Tulajdonságok fület, és adja meg a kulcs, a kliens tanúsítvány és az OA elérési útját:

Zárja be ezt a fület, és végezze el a végső beállítást, ehhez nyissa meg az "IP beállítások" fület, és jelölje be az "Automatikusan kapja meg a DNS szerver címét" opciót:

Ez az opció lehetővé teszi, hogy a kliens kapjon egyéni IP-címet a szervertől a hálózaton belül.

Minden beállítás után zárja be az összes fület, és indítsa újra a klienst:

Csatlakozás a hálózathoz

A beállítások után csatlakozhatunk a hálózatra. Ehhez nyissa meg az alkalmazáspanelt, és válassza ki a hálózatot, amelyhez csatlakozni szeretne:

A kapcsolat telepítése során a kliens megkéri, hogy adja meg a RUTOKEN PIN-kódját:

Ha a státuszbáron értesítés jelenik meg arról, hogy a kapcsolat sikeresen létesült, akkor a beállítás sikeres volt:

Ellenkező esetben érdemes megvizsgálni, hogy miért nem alakult ki a kapcsolat. Ehhez nézze meg a program naplóját, válaszd az "Kapcsolat információ" parancsot az alkalmazásban:

Windows kliens beállítása

A Windows kliens beállítása sokkal egyszerűbb, mint Linuxban, mivel az összes szükséges szoftver már be van építve a rendszerbe.

A rendszer beállítása

Telepítjük az összes szükséges illesztőprogramot a RUTOKEN-ok működtetéséhez, letöltve azokat a hivatalos webhelyről.

Gyökér tanúsítvány importálása az azonosításhoz

Töltsük le a szerver gyökértanúsítványát és telepítsük a rendszerbe. Ehhez nyissuk meg ezt, és a megnyíló ablakban válasszuk az "Install Certificate" lehetőséget:

A megnyíló ablakban válasszuk a tanúsítvány helyi felhasználó számára történő telepítését. Ha azt szeretnénk, hogy a tanúsítvány minden felhasználó számára elérhető legyen a számítógépen, akkor válasszuk a tanúsítvány helyi számítógépre történő telepítését:

Telepítsük a tanúsítványt a CA megbízható gyökértanúsítványainak tárolójába:

Mindezek után egyetértenünk kell az összes további feltétellel. Most a rendszer beállítva.

VPN kapcsolat beállítása

A VPN kapcsolat beállításához lépjen a vezérlőpultba, és válassza ki az új kapcsolat létrehozásának lehetőségét.

A felugró ablakban válassza ki a munkahelyi csatlakozás létrehozásának opcióját:

A következő ablakban válassza ki a VPN csatlakozást:

és adja meg a VPN kapcsolat adatait, valamint jelölje be az okos kártya használatának opcióját:

Ezzel a beállítás nem fejeződött be. Meg kell adni a közös kulcsot az IPsec protokollhoz, ezért lépjünk a "Hálózati kapcsolatok beállításai" fülre, majd a "Tulajdonságok erre a kapcsolatra" fülre:

A megnyíló ablakban lépjünk a "Biztonság" fülre, állítsuk be a hálózat típusát "L2TP/IPsec hálózat"-ra, és válasszuk az "További beállítások" lehetőséget:

A megnyíló ablakban adjuk meg az IPsec közös kulcsot:

Csatlakozás

A beállítások befejezése után próbáljon meg csatlakozni a hálózathoz:

A csatlakozás során meg kell adnunk a token PIN-kódját:

Beállítottunk egy biztonságos VPN hálózatot, és megbizonyosodtunk arról, hogy ez nem nehéz.

Köszönetnyilvánítások

Szeretném még egyszer megköszönni kollégáinknak, Vaszilij Sokovnak és Alekszandr Szmirnovnak a közösen végzett munkát a VPN kapcsolatok ügyfelek Linux-ra történő egyszerűsítése érdekében.

Forrás: habr.com