Organisera distansarbete för små och medelstora företag OpenVPN

Problem uttalande

Artikeln beskriver organisationen av fjärråtkomst för anställda på produkter med öppen källkod och kan användas både för att bygga ett helt autonomt system och kommer att vara användbart för expansion när ett befintligt kommersiellt system får slut på licenser eller dess prestanda är otillräcklig.

Syftet med den här artikeln är att implementera ett komplett system för att tillhandahålla fjärråtkomst till en organisation, vilket inte är mycket mer än "installation". OpenVPN om 10 minuter."

Resultatet är ett system som använder certifikat och (valfritt) företagets Active Directory för att autentisera användare. Att. Vi får ett system med två verifieringsfaktorer – vad jag har (certifikat) och vad jag vet (lösenord).

En indikation på att en användare har behörighet att ansluta är deras medlemskap i myVPNUsr-gruppen. Certifieringscentret kommer att användas autonomt.

Kostnaden för att implementera lösningen är endast små hårdvaruresurser och 1 timmes arbete för systemadministratören.

Vi kommer att använda en virtuell maskin med OpenVPN och Easy-RSA version 3 på CetntOS 7, som allokeras 4 vCPU, 4 GiB RAM per 100 anslutningar.

I exemplet är vår organisations nätverk 172.16.0.0/16, där VPN-servern med adressen 172.16.19.123 finns i segmentet 172.16.19.0/24, DNS-servrarna är 172.16.16.16 och 172.16.17.17, och subnätet 172.16.20.0/23 är allokerat för VPN-klienter.

För extern anslutning används en anslutning via port 1194/udp, och i DNS för vår server har en A-post gw.abc.ru skapats.

Det rekommenderas starkt att inte inaktivera SELinux! OpenVPN Fungerar utan att inaktivera säkerhetspolicyer.

Innehåll

1. Installation av operativsystem och programvara
2. Konfigurera kryptografi
3. justering OpenVPN
4. Autentisering i AD
5. Lansering och diagnostik
6. Utfärdande och återkallelse av ett certifikat
7. Nätverkskonfiguration
8. Vad är nästa

Installation av operativsystem och programvara

Vi använder distributionen CentOS 7.8.2003. Vi behöver installera operativsystemet i en minimal konfiguration. Det är bekvämt att göra detta med hjälp av kickstart, kloning av en tidigare installerad operativsystemavbildning och andra metoder.

Efter installationen, efter att ha tilldelat en adress till nätverksgränssnittet (enligt villkoren för uppgiften 172.16.19.123), utför vi en OS-uppdatering:

$ sudo yum update -y && reboot

Vi måste också se till att vår maskin är tidssynkroniserad.
För att installera programvaran behöver du paketen openvpn, openvpn-auth-ldap, easy-rsa och vim som huvudredigerare (du behöver EPEL-arkivet).

$ sudo yum install epel-release
$ sudo yum install openvpn openvpn-auth-ldap easy-rsa vim

Det är användbart att installera en gästagent för en virtuell maskin:

$ sudo yum install open-vm-tools

för VMware ESXi-värdar eller för oVirt

$ sudo yum install ovirt-guest-agent

Konfigurera kryptografi

Gå till easy-rsa-katalogen:

$ cd /usr/share/easy-rsa/3/

Skapa en variabelfil:

$ sudo vim vars

följande innehåll:

export KEY_COUNTRY="RU"
export KEY_PROVINCE="MyRegion"
export KEY_CITY="MyCity"
export KEY_ORG="ABC LLC"
export KEY_EMAIL="admin@abc.ru"
export KEY_CN="allUsers"
export KEY_OU="allUsers"
export KEY_NAME="gw.abc.ru"
export KEY_ALTNAMES="abc-openvpn-server"
export EASYRSA_CERT_EXPIRE=3652

Här är parametrarna för den villkorade organisationen LLC "ABC", du kan ändra dem till de riktiga eller lämna dem från exemplet. Det viktigaste i parametrarna är den sista raden, som definierar certifikatets giltighetstid i dagar. Exemplet använder värdet 10 år (365*10+2 skottår). Detta värde måste justeras innan användarcertifikat utfärdas.

Därefter inrättade vi ett autonomt certifieringscenter.

Installationen inkluderar export av variabler, initiering av CA, utfärdande av rot-CA-nyckel och certifikat, Diffie-Hellman-nyckeln, TLS-nyckeln samt servernyckeln och certifikatet. Certifikatutfärdarens nyckel måste noggrant skyddas och hållas hemlig! Alla parametrar i förfrågningar kan lämnas som standard.

cd /usr/share/easy-rsa/3/
. ./vars
./easyrsa init-pki
./easyrsa build-ca nopass
./easyrsa gen-dh
./easyrsa gen-req myvpngw nopass
./easyrsa sign-req server myvpngw
./easyrsa gen-crl
openvpn --genkey --secret pki/ta.key

Detta avslutar huvuddelen av att konfigurera den kryptografiska mekanismen.

justering OpenVPN

Gå till katalogen OpenVPN, skapa servicekataloger och lägg till en länk till easy-rsa:

cd /etc/openvpn/
mkdir /var/log/openvpn/ /etc/openvpn/ccd /usr/share/easy-rsa/3/client
ln -s /usr/share/easy-rsa/3/pki/ /etc/openvpn/

Skapa en huvudkonfigurationsfil OpenVPN:

$ sudo vim server.conf

nästa innehåll

port 1194
proto udp
dev tun
ca /etc/openvpn/pki/ca.crt
cert /etc/openvpn/pki/issued/myvpngw.crt
key /etc/openvpn/pki/private/myvpngw.key
crl-verify /etc/openvpn/pki/crl.pem
dh /etc/openvpn/pki/dh.pem
server 172.16.20.0 255.255.254.0
ifconfig-pool-persist ipp.txt
push "route 172.16.0.0 255.255.255.0"
push "route 172.17.0.0 255.255.255.0"
client-config-dir ccd
push "dhcp-option DNS 172.16.16.16"
push "dhcp-option DNS 172.16.17.17"
keepalive 10 120
cipher AES-256-CBC
user nobody
group nobody
persist-key
persist-tun
status /var/log/openvpn/openvpn-status.log
log-append  /var/log/openvpn/openvpn.log
verb 3
explicit-exit-notify 1
username-as-common-name
plugin /usr/lib64/openvpn/plugin/lib/openvpn-auth-ldap.so /etc/openvpn/ldap.conf

Några anmärkningar om parametrarna:

• Om ett annat namn angavs när certifikatet utfärdades, vänligen ange det;
• ange adresspoolen för dina uppgifter*;
• Det kan finnas en eller flera rutter och DNS-servrar;
• De sista två raderna behövs för att implementera autentisering i AD**.

*Adressintervallet som valts i exemplet tillåter upp till 127 klienter att ansluta samtidigt, eftersom nätverket /23 är valt, och OpenVPN skapar ett subnät med masken /30 för varje klient.
Om särskilda behov uppstår kan port och protokoll ändras, men det bör noteras att ändring av portnumret kommer att medföra SE-konfiguration.Linux, och användningen av TCP-protokollet kommer att öka omkostnaderna, eftersom kontrollen av leveransen av TCP-paket redan utförs på nivån av paket som är inkapslade i tunneln.

**Om du inte behöver AD-autentisering, kommentera bort dem, hoppa över nästa avsnitt och i mallen ta bort raden auth-user-pass.

Autentisering i AD

För att stödja den andra faktorn kommer vi att använda kontoverifiering i AD.

Vi behöver ett domänkonto med vanliga användarrättigheter och en grupp vars medlemskap avgör möjligheten att ansluta.

Skapa en konfigurationsfil:

/etc/openvpn/ldap.conf

nästa innehåll

<LDAP>
        URL             "ldap://ldap.abc.ru"
        BindDN          "CN=bindUsr,CN=Users,DC=abc,DC=ru"
        Password        b1ndP@SS
        Timeout         15
        TLSEnable       no
        FollowReferrals yes
</LDAP>
<Authorization>
        BaseDN          "OU=allUsr,DC=abc,DC=ru"
        SearchFilter    "(sAMAccountName=%u)"
        RequireGroup    true
        <Group>
                BaseDN          "OU=myGrp,DC=abc,DC=ru"
                SearchFilter    "(cn=myVPNUsr)"
                MemberAttribute "member"
        </Group>
</Authorization>

Skötsel:

• URL:en "ldap://ldap.abc.ru" är domänkontrollantens adress;
• BindDN «CN=bindUsr,CN=Users,DC=abc,DC=ru» — kanoniskt namn för bindning till LDAP (Us — bindUsr i containern abc.ru/Users);
• Lösenord b1ndP@SS — användarlösenord för bindning;
• BaseDN "OU=allUsr,DC=abc,DC=ru" är sökvägen från vilken sökningen efter en användare ska börja;
• BaseDN "OU=myGrp,DC=abc,DC=ru" - behållare för tillståndsgruppen (grupp myVPNUsr i behållaren abc.rumyGrp);
• SearchFilter "(cn=myVPNUsr)" är namnet på behörighetsgruppen.

Lansering och diagnostik

Nu kan vi försöka aktivera och starta vår server:

$ sudo systemctl enable openvpn@server.service
$ sudo systemctl start openvpn@server.service

Kontrollerar lanseringen:

systemctl status openvpn@server.service
journalctl -xe
cat /var/log/messages
cat /var/log/openvpn/*log

Utfärdande och återkallelse av ett certifikat

Eftersom nycklar och andra inställningar behövs utöver själva certifikaten är det mycket praktiskt att samla allt i en enda profilfil. Denna fil överförs sedan till användaren, och profilen importeras sedan till klienten. OpenVPNFör att göra detta skapar vi en inställningsmall och ett skript som genererar en profil.

Du måste lägga till innehållet i rotcertifikatfilerna (ca.crt) och TLS-nyckeln (ta.key) i profilen.

Innan användarcertifikat utfärdas Glöm inte att ange den obligatoriska giltighetstiden för certifikaten i parameterfilen. Du bör inte göra det för stort, jag rekommenderar att begränsa det till maximalt 180 dagar.

vim /usr/share/easy-rsa/3/vars

...
export EASYRSA_CERT_EXPIRE=180

vim /usr/share/easy-rsa/3/client/template.ovpn

client
dev tun
proto udp
remote gw.abc.ru 1194
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
cipher AES-256-CBC
verb 3
auth-user-pass

<ca>
-----BEGIN CERTIFICATE-----
PUT YOUR CA CERT (ca.crt) HERE
-----END CERTIFICATE-----
</ca>

key-direction 1
<tls-auth>
-----BEGIN OpenVPN Static key V1-----
PUT YOUR TA KEY (ta.key) HERE
-----END OpenVPN Static key V1-----
</tls-auth>

Anmärkningar:

• tidsfrister SÄTT DINA… ändra innehåll deras certifikat;
• i fjärrdirektivet, ange namnet/adressen på din gateway;
• Direktivet auth-user-pass används för ytterligare extern autentisering.

I hemkatalogen (eller annan lämplig plats), skapa ett skript för att begära ett certifikat och skapa en profil:

vim ~/make.profile.sh

#!/bin/bash

if [ -z "$1" ] ; then
 echo Missing mandatory client name. Usage: $0 vpn-username
 exit 1
fi

#Set variables
basepath=/usr/share/easy-rsa/3
clntpath=$basepath/client
privpath=$basepath/pki/private
certpath=$basepath/pki/issued
profile=$clntpath/$1.ovpn

#Get current year and lowercase client name
year=`date +%F`
client=${1,,}
echo Processing $year year cert for user/device $client

cd $basepath

if [  -f client/$client* ]; then
    echo "*** ERROR! ***"
    echo "Certificate $client already issued!"
    echo "*** ERROR! ***"
    exit 1
fi

. ./vars
./easyrsa --batch --req-cn=$client gen-req $client nopass
./easyrsa --batch sign-req client $client

#Make profile
cp $clntpath/template.ovpn $profile

echo "<key>" >> $profile
cat $privpath/$1.key >> $profile
echo "</key>" >> $profile

echo -e "n" >> $profile
openssl x509 -in $certpath/$1.crt -out $basepath/$1.crt

echo "<cert>" >> $profile
cat $basepath/$1.crt >> $profile
echo "</cert>" >> $profile
echo -e "n" >> $profile

#remove tmp file
rm -f $basepath/$1.crt

echo Complete. See $profile file.

cd ~

Gör filen körbar:

chmod a+x ~/make.profile.sh

Och vi kan utfärda vårt första certifikat.

~/make.profile.sh my-first-user

återkallande

Vid kompromettering av certifikatet (förlust, stöld) är det nödvändigt att återkalla detta certifikat:

cd /usr/share/easy-rsa/3/
./easyrsa revoke my-first-user
./easyrsa gen-crl

Visa utfärdade och återkallade certifikat

För att se utfärdade och återkallade certifikat, titta helt enkelt på indexfilen:

cd /usr/share/easy-rsa/3/
cat pki/index.txt

Förklaring:

• den första raden är servercertifikatet;
• första tecknet
  • V (Giltig) — giltig;
  • R (Återkallad) — återkallad.

Nätverkskonfiguration

De sista stegen är att konfigurera överföringsnätet – routing och brandväggar.

Tillåta anslutningar i den lokala brandväggen:

$ sudo firewall-cmd --add-service=openvpn
$ sudo firewall-cmd --add-service=openvpn --permanent

Nästa steg är att aktivera IP-trafikrouting:

$ sudo sysctl net.ipv4.ip_forward=1
$ sudo echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/50-sysctl.conf

I en företagsmiljö finns det sannolikt subnät och vi måste tala om för routern/routerarna hur de ska vidarebefordra paket som är avsedda för våra VPN-klienter. Kör kommandot på följande sätt i kommandoraden (beroende på vilken utrustning som används):

# ip route 172.16.20.0 255.255.254.0 172.16.19.123

och spara konfigurationen.

Dessutom är det nödvändigt att tillåta passage av udp/1194-paket på gränssnittet för borderroutern där den externa adressen gw.abc.ru serveras.

Om din organisation har strikta säkerhetsregler måste du även konfigurera en brandvägg på vår VPN-server. Enligt min mening ges mest flexibilitet genom att konfigurera iptables FORWARD-kedjor, även om de är mindre praktiska att konfigurera. Lite mer detaljer om deras inställningar. För detta är det bekvämast att använda "direkta regler" som är lagrade i en fil. /etc/firewalld/direct.xml. Den nuvarande konfigurationen av regler kan erhållas enligt följande:

$ sudo firewall-cmd --direct --get-all-rule

Innan du ändrar en fil, gör en säkerhetskopia av den:

cp /etc/firewalld/direct.xml /etc/firewalld/direct.xml.`date +%F.%T`.bak

Filens ungefärliga innehåll är följande:

<?xml version="1.0" encoding="utf-8"?>
<direct>
 <!--Common Remote Services-->
  <!--DNS-->
    <rule priority="0" table="filter" ipv="ipv4" chain="FORWARD">-i tun0 -o ens192 -p udp --dport 53 -j ACCEPT</rule>
  <!--web-->
    <rule priority="0" table="filter" ipv="ipv4" chain="FORWARD">-i tun0 -o eth0 -p tcp -d 172.16.19.200 --dport 80 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT</rule>
    <rule priority="0" table="filter" ipv="ipv4" chain="FORWARD">-i tun0 -o eth0 -p tcp -d 172.16.19.201 --dport 443 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT</rule>
  <!--Some Other Systems-->
    <rule priority="0" table="filter" ipv="ipv4" chain="FORWARD">-i tun0 -o eth0 -p udp -d 172.16.19.100 --dport 7000 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT</rule>
  <!--just logging-->
    <rule priority="1" table="filter" ipv="ipv4" chain="FORWARD">-i tun0 -o eth0 -j LOG --log-prefix 'forward_fw '</rule>
</direct>

förklaringar

Dessa är i huvudsak vanliga iptables-regler, paketerade annorlunda efter tillkomsten av firewalld.

Destinationsgränssnittet med standardinställningar är tun0, och det externa för tunneln kan vara annorlunda, t.ex. ens192, beroende på vilken plattform som används.

Den sista raden är för att logga tappade paket. För att loggning ska fungera måste du ändra felsökningsnivån i firewalld-konfigurationen:

vim /etc/sysconfig/firewalld
FIREWALLD_ARGS=--debug=2

Att tillämpa inställningarna är ett vanligt firewalld-kommando för att läsa om inställningarna:

$ sudo firewall-cmd --reload

Tappade paket kan visas så här:

grep forward_fw /var/log/messages

Vad är nästa

Detta avslutar installationen!

Allt som återstår på klientsidan är att installera klientprogramvaran, importera profilen och ansluta. För operativsystemtyp Windows Distributionen är belägen på utvecklarwebbplats.

Slutligen ansluter vi vår nya server till övervaknings- och arkiveringssystemen och glömmer inte att installera uppdateringar regelbundet.

Ha en stabil anslutning!

Källa: will.com