ADを介したFreeradiusでのACCEL-PPP + IPsecおよび認証を使用したエンタープライズVPN

このノートでは、PPTP、L2TP（IPsecの有無にかかわらず）、アドレスプール、さまざまなユーザーグループ、LDAPおよびローカルデータベースから、グループ、およびWindows、Linux、OSX、IOS、Androidクライアント、およびこれらすべてをオープンソリューションでサポートする個々のユーザーの両方のシェーピングのオプション構成。

PSこのノートでは、ネットワークセキュリティの側面は影響を受けません。そうでなければ、実装に微妙なニュアンスのある巨大なドキュメントに成長します。次回、境界保護とネットワークセキュリティについて説明します。

誰も気にしない、猫へようこそ。



目次：

はじめに

サーバーでの準備作業

Accel-PPP（PPTP、L2TP）

ストロングスワン（IPsec）

フリー半径

サンバ4



その結果、次のようなものを取得する予定です。



ネットワークには、モバイルクライアント、オフィスクライアント、重要なサービスを備えた安全なネットワークがあり、VPNを介してのみアクセス可能である必要があります。一方、オフィスクライアントとモバイルクライアントは、VPNから異なるサブネットを受け取り、リソースにアクセスするための異なる権利を持っている必要があります。いずれにせよ、オフィスの外から働いている会社の内部インフラストラクチャへの完全なアクセス権が必要な管理者もネットワーク上にいます。このスキームは、オフィスで使用可能なサーバーを持つ内部オフィスネットワークをカバーしません。 ローカル、およびVPN経由のモバイルクライアント。

サーバーのセットアップを開始します。

0）準備作業。

VPNのセットアップに直接進む前に、いくつかの準備作業を行います。

そして、最小限の構成でDebian 7をインストールしたばかりのサーバーがあります（問題ではなく、他のLinuxでも同じように動作します）。 sshまたはローカルコンソールでログインし、次の操作を行います。

正しいタイムゾーンを設定します（この例ではMSKを配置します）

mv /etc/localtime /etc/localtime_org && ln -s /usr/share/zoneinfo/"Europe/Moscow" /etc/localtime && date
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

このサーバーでIPv6を使用する予定がない場合は、IPv6を無効にします

 echo net.ipv6.conf.all.disable_ipv6=1 > /etc/sysctl.d/disableipv6.conf
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

バックポートをカブに接続します（多くの問題を抱えている古代のサンバとストロングスワンを置かないように）、このために/etc/apt/sources.listに次の行を追加します。

 deb http://http.debian.net/debian wheezy-backports main contrib non-free deb http://mirror.yandex.ru/debian/ wheezy-backports main contrib non-free
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

この段階で最低限必要なパッケージをインストールする

 apt-get update apt-get install cmake make libssl-dev libpcre3-dev libnet-snmp-perl libtritonus-bin bzip2 checkinstall ntpdate
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

サーバーの時刻を同期します。ドメインクロックを使用するとすぐに改善されます。最も簡単なオプションは

 ntpdate DC.DOMAIN.COM
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

/etc/resolv.confでDNSドメインサーバーを指定します

ファイアウォール設定は会社固有のものであり、ここでは公開しませんが、それに基づいて、VPNクライアントの異なるサブネットを異なる禁止と許可にバインドします。



これから

..1.99は、サーバーの外部IPです。

1）Accel-PPP-L2TPおよびPPTPを操作するためのメインサービス

このVPNは非常に不十分であり、ハブについての言及はなく、多かれ少なかれ同じnagaブランチを中心に議論されていますが、使いやすさ、安定性、機能の点でより一般的なソリューションをバイパスしていますが、歌詞で終わり、始めましょう。



サーバーにダウンロードしてスローします。

 http://downloads.sourceforge.net/project/accel-ppp/accel-ppp-1.9.0.tar.bz2
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

解凍する

 tar -xjf accel-ppp-1.9.0.tar.bz2 mkdir accel-ppp-build cd accel-ppp-build
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

集める

 cmake -DBUILD_PPTP_DRIVER=FALSE -DLOG_PGSQL=FALSE -DNETSNMP=FALSE -DRADIUS=TRUE -DSHAPER=TRUE /root/accel-ppp-1.9.0/ make checkinstall -D
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

例から自動実行スクリプトを作成します。

 cd ../accel-ppp-1.9.0/contrib/debian cp accel-ppp-init /etc/init.d/accel-ppp
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

デーモンでディレクトリを定義する

 which accel-pppd
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

debの可能性が最も高いのは、 / usr / local / sbin / accel-pppdです。

開始ファイルで、パスを上記で取得したパスに変更します。

 nano /etc/init.d/accel-ppp
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

自動実行に追加

 insserv -v accel-ppp
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

ログ用のディレクトリを作成する

mkdir /var/log/accel-ppp/







接続を確認するためのアクセス権を持つファイルを作成します。 将来的には、RADIUS認証に置き換えます

 touch /etc/ppp/chap-secrets
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

書式：

login * password ip _for発行（プールから取得する必要がある場合は、*のみ）



構成ファイル/etc/accel-ppp.confを作成します





打ち上げ

 service accel-ppp start
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

何か問題がある場合は、構成のログレベルを上げてログを確認します。



負荷がかかった状態で作業するには、少しのチューニングが必要です。VPN上に500未満の同時クライアントがある場合、アイテムnet.ipv4.ip_forward = 1を除き、それを行うことができます。





適用します：

 sysctl -p
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

/ etc / ppp / chap-secretsで指定されたユーザー名とパスワードを使用して、IPsecなしでPPTPおよびL2TPに接続しようとします。



サーバー自体では、接続されているクライアントのリストを次のように表示できます。

 accel-cmd show session
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

accel-cmdのヘルプを読むことを強くお勧めします。これには、セッションを中断することなくユーザー認証方法をその場で変更するなど、多くの機能があります。



すべて問題なければ、次の項目に進みます

2）IPsec

それが何であるか、なぜそれが必要なのかを知るために、 ここに簡単に



インストールする

 apt-get -t wheezy-backports install strongswan libcharon-extra-plugins
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

構成可能

nano /etc/ipsec.conf





次に、秘密鍵を指定します

nano /etc/ipsec.secrets

: PSK "Sicret-Test-Key"







Freeradiusとのさらなる統合のために、編集も行います

nano /etc/strongswan.d/charon/eap-radius.conf



打ち上げ

 service ipsec start
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

次のようなステータスを確認できます。

 ipsec statusall
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

3）FreeRadius

*それが何であるかを知らない人のために。

標準としてインストール

 apt-get install freeradius freeradius-ldap
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

FreeRadiusユーザーの設定を含む/etc/freeradius/clients.confファイルを修正します。ローカルAccel-PPPおよびStrongswanデーモンがあり、以下の内容は最小限です。

 client localhost { ipaddr = 127.0.0.1 secret = Radius-Sicret nastype = cisco shortname = MY_TEST_VPN }
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

次に、起動用のプロファイルを準備します。標準プロファイルはここにあります/ etc / freeradius /サイト対応/デフォルト

、次の形式にする必要があります。



次に、ローカルユーザーのファイルと、LDAPからのさまざまなグループの設定の説明を作成します。



再起動半径

 service freeradius restart
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

*デバッグのために、端末freeradius -Xでログ出力モードで実行できます

すべてが正常で、起動にエラーがない場合は、テストユーザーを確認します。

 radtest testuser testpassword 127.0.0.1 0 Radius-Sicret
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

次のような回答が得られます。

 Sending Access-Request of id 238 to 127.0.0.1 port 1812 User-Name = "testuser" User-Password = "testpassword" NAS-IP-Address = XX.YY.1.99 NAS-Port = 0 Message-Authenticator = 0x00000000000000000000000000000000 rad_recv: Access-Accept packet from host 127.0.0.1 port 1812, id=238, length=105 Service-Type = Framed-User Framed-Protocol = PPP Framed-IP-Address = 10.65.18.12 Framed-IP-Netmask = 255.255.255.255 Framed-Pool = "office" Filter-Id = "100000/100000" Reply-Message = "Accepted from local file"
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

回答にAccess-Acceptが含まれている場合、すべてが正常であり、FreeradiusとLDAPの統合の構成に進むことができます。事前にこのセクションに構成を配置し、修正する必要があります。

nano / etc / freeradius / modules / ntlm_auth

* KR.LOCの代わりに、ドメインを示す

 exec ntlm_auth { wait = yes program = "/usr/bin/ntlm_auth --request-nt-key --domain=KR.LOC --username=%{mschap:User-Name} --password=%{User-Password}" }
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

mschap、tkを介して少し調整します。 papは安全に使用できません。

nano / etc / freeradius / modules / mschap

 mschap { #  use_mppe = yes #      ,     ,    -   yes require_encryption = no require_strong = yes with_ntdomain_hack = no ntlm_auth = "/usr/bin/ntlm_auth --request-nt-key --username=%{%{Stripped-User-Name}:-%{%{User-Name}:-None}} --challenge=%{%{mschap:Challenge}:-00} --nt-response=%{%{mschap:NT-Response}:-00}" }
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

そして最も重要なのは、LDAPとの直接統合

nano / etc / freeradius / modules / ldap



別の重要な点は、特定のユーザーの半径属性をldapドメイン属性から直接取得するには、相互の対応を構成する必要があります。これは/etc/freeradius/ldap.attrmapファイルで行われます。独自のいくつか：

 replyItem Framed-IP-Address msRADIUSFramedIPAddress replyItem Framed-Pool msRADIUSFramedRoute
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

したがって、ユーザーのドメインでmsRADIUSFramedIPAddress個人属性を指定すると、半径を転送して、それをFramed-IP-Address属性であると見なし、類推によるプールについて、VPNを介してユーザーに明示的に発行します。

ドメイン側からは、次のようになります。



IPはIP計算機でHEXに変換する必要があります。もちろん、属性エディターを使用してldapの任意の属性を作成できますが、説明を加速するために標準のものを使用します。



*これらのオプションはsamba4の設定後に利用可能になります。/etc/freeradius/sites-enabled/defaultのldapセクションのコメントを忘れないでください。

4）SAMBA 4

*クイックリファレンス



開始するには、必要なものをすべてインストールします。

 apt-get install krb5-user libpam-krb5 samba winbind libnss-winbind libpam-winbind -t wheezy-backports
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

Sambaの設定は/etc/samba/smb.confファイルにあります



ここでwinbindを構成します（SambaがADユーザーを認識し、ローカルユーザーとして通信できるようにします）。

ファイル/etc/nsswitch.confを編集して、追加する必要があります。

 passwd: compat winbind group: compat winbind shadow: compat winbind
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

Kerberosを構成するために残ります（SambaをActive Directoryに統合するために使用）

ファイル/etc/krb5.confをフォームに入れます



構成が修正され、サービスを再起動できます。

 service samba restart service winbind restart
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

ドメインユーザーを確認します。

 kinit sf-test@KR.LOC
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

パスワードのリクエストを受け取り、入力します。

 Password for sf-test@KR.LOC:
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

すべてが問題ない場合、画面に出力は表示されません。すべてが表示されている場合は、設定のエラーを注意深く読んで修正してください。

私たちはすべてがあなたとうまくいっていると信じて、ドメイン内のサーバーに入ります

 net join –U sf-test@KR.LOC
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

winbindの動作を確認します。

 wbinfo -u wbinfo -g
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

出力には、ドメインユーザーとグループのリストが表示されます。



ドメインユーザーがローカルとして認識されているかどうかを確認するには、次のコマンドを使用できます。

 id domain_user
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

認証モジュールの動作を確認します（ログイン/パスワード/ドメイン-当然私たちのもの）

 ntlm_auth --request-nt-key --domain=KR.LOC --username=sf-test --password=123456789
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

OKになったので、radius configでldapまたはntlm_authモジュールのコメントを解除し（ドメイングループが不要な場合）、freeradiusを再起動し、ドメインアカウントでVPNサーバーの作業を楽しんでください。

 radtest -t mschap sf-test 123456789 127.0.0.1 0 Radius-Sicret
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

これで、自宅でVPN接続を作成し、全体を確認できます。

5）ボーナス

メモをスクロールして、ネットワークダイアグラムをもう一度見て、IPsecのサイト間接続があることを思い出しました。VPNユーザーが他のネットワークにアクセスする必要がある場合にも便利です。これはすべてファイアウォールによって実装されますが、このためのストロングスワンの設定例以下に接続を示します。

おわりに

すべてが初めてうまくいき、そうでなければすぐにうまくいったことを願っています-コメントで質問してください。 間違い、タイプミス、あいまいさ、またはメモの認識を妨げる他の瞬間を見つけた場合、著者は病理学的に読み書きができません。PMでお知らせください。 お時間をありがとうございました。