문제

최근까지만 해도 많은 사람들은 재택근무가 어떤 것인지 몰랐습니다. 팬데믹은 전 세계의 상황을 극적으로 변화시켰고, 모든 사람이 현재 상황에 적응하기 시작했습니다. 즉, 집을 나서는 것 자체가 안전하지 않다는 사실에 적응하기 시작했습니다. 그리고 많은 기업이 직원들을 위해 재택근무를 급히 준비해야 했습니다.

그러나 원격 근무에 대한 솔루션을 선택하는 데 유능한 접근 방식이 부족하면 돌이킬 수 없는 손실로 이어질 수 있습니다. 사용자 비밀번호가 도용되면 공격자는 통제 없이 회사 네트워크와 IT 리소스에 접근할 수 있습니다.

이것이 신뢰할 수 있는 기업용 VPN 네트워크를 구축해야 할 필요성이 높아진 이유입니다. 나는 너에게 그것에 대해 말해줄게 믿을 수 있는, 안전한 и 단순한 VPN 네트워크를 사용하는 경우.

IPsec/L2TP 체계에 따라 작동하는데, 이는 토큰에 저장된 추출 불가능한 키와 인증서를 사용하여 클라이언트를 인증하고 암호화된 형태로 네트워크를 통해 데이터를 전송합니다.

서버 CentOS 7 (주소: centos.vpn.server.ad) 및 클라이언트 Ubuntu 20.04, 그리고 또한 클라이언트는 Windows 10.

시스템 설명

VPN은 IPSec + L2TP + PPP 방식에 따라 작동합니다. 규약 지점 간 프로토콜 (PPP)은 OSI 모델의 데이터 링크 계층에서 작동하며 사용자 인증과 전송되는 데이터의 암호화를 제공합니다. 해당 데이터는 L2TP 프로토콜 데이터로 캡슐화되어 VPN 네트워크에서 연결 생성을 실제로 보장하지만 인증 및 암호화는 제공하지 않습니다.

L2TP 데이터는 인증 및 암호화 기능을 제공하는 IPSec 프로토콜에 캡슐화되지만, PPP 프로토콜과 달리 인증 및 암호화는 사용자 수준이 아닌 장치 수준에서 수행됩니다.

이 기능을 사용하면 특정 기기의 사용자만 인증되도록 할 수 있습니다. IPSec 프로토콜을 기본으로 사용하고 모든 장치에서 사용자 인증을 허용합니다.

스마트 카드를 사용한 사용자 인증은 EAP-TLS 프로토콜을 사용하여 PPP 프로토콜 수준에서 수행됩니다.

이 계획이 어떻게 작동하는지에 대한 더 자세한 정보는 다음에서 찾을 수 있습니다. 이 기사.

이 계획이 좋은 VPN 네트워크의 세 가지 요구 사항을 모두 충족하는 이유

이 계획의 신뢰성은 시간을 거쳐 검증되었습니다. 2000년부터 VPN 네트워크를 구축하는 데 사용되었습니다.
안전한 사용자 인증은 PPP 프로토콜을 통해 제공됩니다. Paul Mackerras가 개발한 PPP 프로토콜의 표준 구현 인증을 위해 최상의 경우 로그인과 비밀번호를 사용한 인증이 사용되기 때문에 충분한 수준의 보안을 제공하지 못합니다. 로그인과 비밀번호가 감시되거나, 추측되거나, 도난당할 수 있다는 사실은 누구나 알고 있습니다. 하지만 개발자는 오랫동안 존재해 왔습니다. 얀 저스트 케이저 в 그 구현 이 프로토콜은 이러한 문제를 해결하고 EAP-TLS와 같은 비대칭 암호화 기반 프로토콜을 인증에 사용할 수 있는 기능을 추가했습니다. 또한, 스마트 카드를 사용하여 인증하는 기능이 추가되어 시스템의 보안이 더욱 강화되었습니다.
현재 두 프로젝트를 통합하기 위한 협상이 활발히 진행 중이며, 조만간 이 프로젝트가 실행될 것이라는 점은 확실합니다. 예를 들어, Fedora 저장소에는 인증을 위해 보안 프로토콜을 사용하는 패치 버전의 PPP가 오랫동안 있었습니다.
최근까지 이 네트워크는 사용자만 이용할 수 있었습니다. Windows하지만 모스크바 국립대학교의 바실리 쇼코프와 알렉산더 스미르노프 동료는 다음과 같은 사실을 발견했습니다. 기존 L2TP 클라이언트 프로젝트 Linux 그리고 마무리했습니다. 우리는 함께 클라이언트 작업의 많은 버그와 단점을 수정하고, 소스에서 빌드하는 경우에도 시스템의 설치와 구성을 단순화했습니다. 가장 중요한 것은 다음과 같습니다.
- openssl 및 qt의 새 버전 인터페이스와 이전 클라이언트 간의 호환성 문제가 해결되었습니다.
- 임시 파일을 통한 토큰 PIN 코드의 pppd 전송을 제거했습니다.
- 그래픽 인터페이스를 통해 비밀번호 요청 프로그램이 잘못 실행되는 문제를 해결했습니다. 이는 xl2tpd 서비스에 적합한 환경을 설치하여 수행되었습니다.
- L2tpIpsecVpn 데몬은 이제 클라이언트 자체와 함께 빌드되어 빌드 및 구성 프로세스가 간소화되었습니다.
- 개발의 편의성을 위해 Azure Pipelines 시스템을 연결하여 빌드의 정확성을 테스트합니다.
- 강제 다운그레이드 기능 추가 보안 수준 openssl의 컨텍스트에서. 이 기능은 기본 보안 수준이 2로 설정되어 있고, 이 수준의 보안 요구 사항을 충족하지 않는 인증서를 사용하는 VPN 네트워크에서 새로운 운영 체제를 올바르게 지원하는 데 유용합니다. 이 옵션은 기존의 오래된 VPN 네트워크를 사용하는 데 유용합니다.

수정된 버전은 다음에서 찾을 수 있습니다. 이 저장소에서.

이 클라이언트는 스마트 카드를 이용한 인증을 지원하며, 동시에 이러한 인증 체계를 구축하는 데 따르는 어려움과 번거로움을 최대한 숨겨줍니다. Linux클라이언트 설정 과정을 최대한 간단하고 빠르게 진행할 수 있도록 합니다.

물론 편리한 PPP 통신과 클라이언트 GUI를 위해 각 프로젝트에 대한 추가 편집은 불가피했지만 그럼에도 불구하고 최소화하고 최소한으로 줄였습니다.

결정된 PPP에서 openssl 컨텍스트로 토큰 PIN 코드를 잘못 전달하는 오류
결정된 openssl 컨텍스트의 구성 및 초기화를 로드하는 순서에 오류가 있습니다.. 이 오류로 인해 스마트 카드 작업을 위한 openssl 엔진에 대한 정보를 제외하고 로컬 /etc/ppp/openssl.cnf 구성 파일에서 아무것도 로드할 수 없었습니다. 예를 들어 엔진에 대한 정보 외에 다른 것을 지정하려는 경우 심각한 불편을 겪었습니다. 예를 들어, 연결을 설정할 때 보안 수준을 수정합니다.

이제 설정을 시작할 수 있습니다.

서버 튜닝

필요한 패키지를 모두 설치해 보겠습니다.

strongswan(IPsec) 설치

먼저, ipsec이 작동하도록 방화벽을 구성해 보겠습니다.

sudo firewall-cmd --permanent --add-port=1701/{tcp,udp}
sudo firewall-cmd --permanent --add-service=ipsec
sudo firewall-cmd --reload

그러면 설치를 진행하겠습니다.

sudo yum install epel-release ipsec-tools dnf
sudo dnf install strongswan

설치 후에는 strongswan(IPSec 구현 중 하나)에 대한 구성을 설정해야 합니다. 이를 위해 파일을 편집합니다. /etc/strongswan/ipsec.conf :

config setup
    nat_traversal=yes
    virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12
    oe=off
    protostack=netkey 

conn L2TP-PSK-NAT
    rightsubnet=vhost:%priv
    also=L2TP-PSK-noNAT

conn L2TP-PSK-noNAT
    authby=secret
    pfs=no
    auto=add
    keyingtries=3
    rekey=no
    ikelifetime=8h
    keylife=1h
    type=transport
    left=%any
    leftprotoport=udp/1701
    right=%any
    rightprotoport=udp/%any
    ike=aes128-sha1-modp1536,aes128-sha1-modp1024,aes128-md5-modp1536,aes128-md5-modp1024,3des-sha1-modp1536,3des-sha1-modp1024,3des-md5-modp1536,3des-md5-modp1024
    esp=aes128-sha1-modp1536,aes128-sha1-modp1024,aes128-md5-modp1536,aes128-md5-modp1024,3des-sha1-modp1536,3des-sha1-modp1024,3des-md5-modp1536,3des-md5-modp1024

로그인을 위한 공통 비밀번호도 설정합니다. 인증을 위해서는 모든 네트워크 참여자가 공유 비밀번호를 알아야 합니다. 이 방법은 분명히 신뢰할 수 없습니다. 왜냐하면 이 비밀번호는 네트워크에 접근하고 싶지 않은 개인에게 쉽게 알려질 수 있기 때문입니다.
하지만 이러한 사실조차도 네트워크 조직의 보안에는 영향을 미치지 않습니다. 왜냐하면 주요 데이터 암호화와 사용자 인증은 PPP 프로토콜을 통해 수행되기 때문입니다. 하지만 공평하게 말하자면, strongswan은 개인 키와 같은 더 안전한 인증 기술을 지원한다는 점도 주목할 만합니다. Strongswan은 스마트 카드를 사용하여 인증을 제공하는 기능도 갖추고 있지만, 지금까지 지원되는 기기의 수가 제한적이기 때문에 토큰과 Rutoken 스마트 카드를 사용한 인증은 여전히 어렵습니다. 파일을 통해 공통 비밀번호를 설정해 보자 /etc/strongswan/ipsec.secrets:

# ipsec.secrets - strongSwan IPsec secrets file
%any %any : PSK "SECRET_PASSPHRASE"

strongswan을 다시 시작해 보겠습니다.

sudo systemctl enable strongswan
sudo systemctl restart strongswan

xl2tp 설치

sudo dnf install xl2tpd

파일을 통해 구성해 보겠습니다. /etc/xl2tpd/xl2tpd.conf:

[global]
force userspace = yes
listen-addr = 0.0.0.0
ipsec saref = yes

[lns default]
exclusive = no
; определяет статический адрес сервера в виртуальной сети
local ip = 100.10.10.1
; задает диапазон виртуальных адресов
ip range = 100.10.10.1-100.10.10.254
assign ip = yes
refuse pap = yes
require authentication = yes
; данную опцию можно отключить после успешной настройки сети
ppp debug = yes
length bit = yes
pppoptfile = /etc/ppp/options.xl2tpd
; указывает адрес сервера в сети
name = centos.vpn.server.ad

서비스를 다시 시작해 보겠습니다.

sudo systemctl enable xl2tpd
sudo systemctl restart xl2tpd

PPP 설정

pppd의 최신 버전을 설치하는 것이 좋습니다. 이렇게 하려면 다음 명령 시퀀스를 실행하세요.

sudo yum install git make gcc openssl-devel
git clone "https://github.com/jjkeijser/ppp"
cd ppp
./configure --prefix /usr
make -j4
sudo make install

파일에 입력 /etc/ppp/옵션.xl2tpd 다음(값이 있는 경우 삭제할 수 있음):

ipcp-accept-local
ipcp-accept-remote
ms-dns 8.8.8.8
ms-dns 1.1.1.1

noccp
auth
crtscts
idle 1800
mtu 1410
mru 1410
nodefaultroute
debug
lock
proxyarp
connect-delay 5000

루트 인증서와 서버 인증서를 작성합니다.

#директория с сертификатами пользователей, УЦ и сервера
sudo mkdir /etc/ppp/certs
#директория с закрытыми ключами сервера и УЦ
sudo mkdir /etc/ppp/keys
#запрещаем любой доступ к этой дирректории кроме администатора
sudo chmod 0600 /etc/ppp/keys/

#генерируем ключ и выписываем сертификат УЦ
sudo openssl genrsa -out /etc/ppp/keys/ca.pem 2048
sudo openssl req -key /etc/ppp/keys/ca.pem -new -x509 -out /etc/ppp/certs/ca.pem -subj "/C=RU/CN=L2TP CA"

#генерируем ключ и выписываем сертификат сервера
sudo openssl genrsa -out /etc/ppp/keys/server.pem 2048
sudo openssl req -new -out server.req -key /etc/ppp/keys/server.pem -subj "/C=RU/CN=centos.vpn.server.ad"
sudo openssl x509 -req -in server.req -CAkey /etc/ppp/keys/ca.pem -CA /etc/ppp/certs/ca.pem -out /etc/ppp/certs/server.pem -CAcreateserial

이것으로 기본 서버 설정이 끝났습니다. 나머지 서버 구성은 새로운 클라이언트를 추가하는 것과 관련이 있습니다.

새 클라이언트 추가

네트워크에 새로운 클라이언트를 추가하려면 해당 클라이언트의 신뢰할 수 있는 인증서 목록에 해당 인증서를 추가해야 합니다.

사용자가 VPN 네트워크의 회원이 되려면 해당 클라이언트에 대한 키 쌍과 인증서 신청서를 만들어야 합니다. 사용자가 신뢰할 수 있는 경우 이 애플리케이션에 서명하고, 생성된 인증서를 인증서 디렉터리에 쓸 수 있습니다.

sudo openssl x509 -req -in client.req -CAkey /etc/ppp/keys/ca.pem -CA /etc/ppp/certs/ca.pem -out /etc/ppp/certs/client.pem -CAcreateserial

/etc/ppp/eaptls-server 파일에 클라이언트 이름과 인증서를 일치시키는 줄을 추가해 보겠습니다.

"client" * /etc/ppp/certs/client.pem /etc/ppp/certs/server.pem /etc/ppp/certs/ca.pem /etc/ppp/keys/server.pem *

주의사항
혼란을 피하려면 다음 사항을 따르는 것이 좋습니다. 일반 이름, 인증서 파일 이름 및 사용자 이름은 고유해야 합니다.

또한 추가하는 사용자 이름이 다른 인증 파일의 어느 곳에도 나타나지 않는지 확인하는 것이 좋습니다. 그렇지 않으면 사용자 인증 방법에 문제가 발생합니다.

동일한 인증서를 사용자에게 다시 보내야 합니다.

키 쌍과 인증서 생성

성공적인 인증을 위해 클라이언트는 다음을 수행해야 합니다.

키 쌍을 생성합니다.
루트 CA 인증서가 있습니다.
루트 CA에서 서명한 키 쌍에 대한 인증서를 보유하세요.

고객을 위해 Linux

먼저 토큰에 대한 키 쌍을 생성하고 인증서에 대한 애플리케이션을 만들어 보겠습니다.

#идентификатор ключа (параметр --id) можно заменить на любой другой.
pkcs11-tool --module /usr/lib/librtpkcs11ecp.so --keypairgen --key-type rsa:2048 -l --id 45

openssl
OpenSSL> engine dynamic -pre SO_PATH:/usr/lib/x86_64-linux-gnu/engines-1.1/pkcs11.so -pre ID:pkcs11 -pre LIST_ADD:1 -pre LOAD -pre MODULE_PATH:librtpkcs11ecp.so
...
OpenSSL> req -engine pkcs11 -new -key 45 -keyform engine -out client.req -subj "/C=RU/CN=client"

결과 client.req 요청을 CA로 보냅니다. 키 쌍에 대한 인증서를 받으면 키와 동일한 ID를 가진 토큰에 기록합니다.

pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -l -y cert -w ./client.pem --id  45

고객을 위해 Windows и Linux (보다 보편적인 방법)

이 방법은 사용자들이 성공적으로 인식할 수 있는 키와 인증서를 생성할 수 있으므로 더욱 보편적입니다. Windows и Linux하지만 차가 있어야 합니다. Windows 키 생성 절차를 수행하기 위해.

요청을 생성하고 인증서를 가져오기 전에 VPN 네트워크 루트 인증서를 신뢰할 수 있는 목록에 추가해야 합니다. 이렇게 하려면 인증서를 열고 열리는 창에서 "인증서 설치" 옵션을 선택하세요.

열리는 창에서 로컬 사용자에 대한 인증서 설치를 선택합니다.

CA의 신뢰할 수 있는 루트 인증서 저장소에 인증서를 설치해 보겠습니다.

이러한 모든 조치를 취한 후, 우리는 나머지 모든 사항에 동의합니다. 이제 시스템이 구성되었습니다.

다음 내용으로 cert.tmp 파일을 만들어 보겠습니다.

[NewRequest]
Subject = "CN=client"
KeyLength = 2048
KeySpec = "AT_KEYEXCHANGE" 
ProviderName = "Microsoft Base Smart Card Crypto Provider"
KeyUsage = "CERT_KEY_ENCIPHERMENT_KEY_USAGE"
KeyUsageProperty = "NCRYPT_ALLOW_DECRYPT_FLAG"
RequestType = PKCS10
SMIME = FALSE

그런 다음 키 쌍을 생성하고 인증서 신청서를 작성합니다. 이렇게 하려면 PowerShell을 열고 다음 명령을 입력하세요.

certreq.exe -new -pin $PIN .cert.tmp .client.req

생성된 client.req 요청을 CA에 제출하고 client.pem 인증서가 도착할 때까지 기다립니다. 해당 인증서를 토큰에 기록하고 인증서 저장소에 추가할 수 있습니다. Windows 다음 명령을 사용하십시오.

certreq.exe -accept .client.pem

비슷한 동작을 mmc 프로그램의 그래픽 인터페이스를 사용하여 재현할 수 있지만, 이 방법은 시간이 더 많이 걸리고 프로그래밍이 덜 가능하다는 점은 주목할 가치가 있습니다.

클라이언트 설정 Ubuntu

주의사항
클라이언트 설정 Linux 현재로서는 소스 코드에서 개별 프로그램을 빌드해야 하므로 시간이 상당히 많이 소요됩니다. 모든 변경 사항이 가능한 한 빨리 공식 저장소에 반영되도록 노력하겠습니다.

서버에 대한 IPSec 수준의 연결을 보장하기 위해 strongswan 패키지와 xl2tp 데몬이 사용됩니다. 스마트 카드를 사용하여 네트워크에 연결하는 것을 단순화하기 위해, 연결 설정을 단순화하는 그래픽 셸을 제공하는 l2tp-ipsec-vpn 패키지를 사용할 것입니다.

단계별로 요소를 조립해 보겠습니다. 하지만 그 전에 VPN을 직접 작동시키는 데 필요한 모든 패키지를 설치해 보겠습니다.

sudo apt-get install xl2tpd strongswan libp11-3

토큰 작업을 위한 소프트웨어 설치

librtpkcs11ecp.so 라이브러리의 최신 버전을 설치하세요. сайта, 스마트 카드 작업을 위한 라이브러리도 있습니다:

sudo apt-get install pcscd pcsc-tools opensc libengine-pkcs11-openssl

Rutoken을 연결하고 시스템에서 인식되는지 확인하세요.

pkcs11-tool --module /usr/lib/librtpkcs11ecp.so  -O -l

패치된 ppp 설치

sudo apt-get -y install git make gcc libssl-dev
git clone "https://github.com/jjkeijser/ppp"
cd ppp
./configure --prefix /usr
make -j4
sudo make install

L2tpIpsecVpn 클라이언트 설치

현재 클라이언트도 소스 코드에서 컴파일해야 합니다. 이 작업은 다음 명령 시퀀스를 사용하여 수행됩니다.

sudo apt-get -y install git qt5-qmake qt5-default build-essential libctemplate-dev libltdl-dev
git clone "https://github.com/Sander80/l2tp-ipsec-vpn"
cd l2tp-ipsec-vpn
make -j4
sudo make install