在 CentOS 7 上搭建 Cisco AnyConnect VPN

阿新 • • 發佈：2019-01-08

因為最近的干擾力度變大，考慮到 AnyConnect 是思科的安全遠端接入解決方案，隱蔽性要好一些，所以決定在伺服器上搭建 AnyConnect 以提供給 iOS 裝置使用，原來的 Cisco IPSec VPN 廢棄，Shadowsocks 保留用於安卓和PC的連線。

AnyConnect 有以下優勢：

待機不會斷開
能夠下發路由表給客戶端（未測試）
穩定
耗電量較低

1. 安裝 ocserv (OpenConnect server)

ocserv 是一個 OpenConnect SSL VPN 協議服務端，0.3.0 版後相容使用 AnyConnect SSL VPN 協議的終端。
官方主頁：

http://www.infradead.org/ocserv/

ocserv 已經在 epel 倉庫中提供了，所以可以直接通過 yum 安裝

1 2	$ yum install epel-release $ yum install ocserv

2. 生成證書

這裡你需要先仔細閱讀官方文件，簡單的來說，如下幾步

建立工作資料夾

1 2	$ mkdir CA $ cd CA

生成 CA 證書

$ certtool --generate-privkey --outfile ca-key.pem
$ cat >ca.tmpl <<EOF 

cn = "VPN CA"
organization = "Big Corp"
serial = 1
expiration_days = 3650
ca
signing_key
cert_signing_key
crl_signing_key
EOF

$ certtool --generate-self-signed --load-privkey ca-key.pem \
--template ca.tmpl --outfile ca-cert.pem

生成本地伺服器證書

$ certtool --generate-privkey --outfile server-key.pem 

$ cat >server.tmpl <<EOF
cn = "www.example.com"
organization = "MyCompany"
serial = 2
expiration_days = 3650
encryption_key
signing_key
tls_www_server
EOF

$ certtool --generate-certificate --load-privkey server-key.pem \
--load-ca-certificate ca-cert.pem --load-ca-privkey ca-key.pem \
--template server.tmpl --outfile server-cert.pem

生成之後，server-cert.pem 放到 /etc/ssl/certs，server-key.pem 放到 /etc/ssl/private

3. 配置 ocserv

1	$ sudo vim /etc/ocserv/ocserv.conf

主要修改以下部分

#ocserv支援多種認證方式，這是自帶的密碼認證，使用ocpasswd建立密碼檔案
#ocserv還支援證書認證，可以通過Pluggable Authentication Modules (PAM)使用radius等認證方式
auth = "plain[/etc/ocserv/ocpasswd]"

#證書路徑
server-cert = /etc/ssl/certs/server-cert.pem
server-key = /etc/ssl/private/server-key.pem

#最大使用者數量
max-clients = 16

#同一個使用者最多同時登陸數
max-same-clients = 10

#tcp和udp埠
tcp-port = 4433
udp-port = 4433

#執行使用者和組
run-as-user = ocserv
run-as-group = ocserv

#分配給VPN客戶端的IP段
ipv4-network = 10.12.0.0
ipv4-netmask = 255.255.255.0

#DNS
dns = 8.8.8.8
dns = 8.8.4.4

#註釋掉route的欄位，這樣表示所有流量都通過 VPN 傳送
#route = 192.168.1.0/255.255.255.0
#route = 192.168.5.0/255.255.255.0

4. 建立使用者

1 2	#username為你要新增的使用者名稱 $ sudo ocpasswd -c /etc/ocserv/ocpasswd username

5. 配置系統設定

開啟核心轉發

1 2	$ sudo sed -i 's/net.ipv4.ip_forward = 0/net.ipv4.ip_forward = 1/g' /etc/sysctl.conf $ sudo sysctl -p

配置 iptables 規則

你可以參考Linode 的文章來配置 iptables

#IP段和venet0介面要根據自己的情況修改
$ sudo iptables -t nat -A POSTROUTING -s 10.12.0.0/24 -o venet0 -j MASQUERADE
$ sudo iptables -A FORWARD -s 10.12.0.0/24 -j ACCEPT
$ sudo iptables-save > /etc/sysconfig/iptables

6. 測試

現在我們可以開啟伺服器試試了

1	$ sudo ocserv -c /etc/ocserv/ocserv.conf -f -d 1

拿起你的 iOS 裝置，下載思科的 AnyConnect 客戶端，連線你的伺服器。

出現問題可以看debug的返回資訊，如果資訊不詳細，可以把 1 改成 10。

如果沒有問題，那麼就可以配置成開機運行了。

1 2	$ sudo systemctl enable ocserv $ sudo systemctl start ocserv

a. 下發路由

我想這個功能是最激動人心的，因為我們手機如果長期連線，那麼肯定是某些服務走 VPN，而國內的網站可以走手機自己的網路體驗最好。

但是這裡的一個問題是，AnyConnect 有下發路由表的 64 條數限制。

所以我們只能保證下某幾個常用的服務是可用的，比如 Google Facebook 以及 Twitter

編輯配置檔案

1	$ sudo vim /etc/ocserv/ocserv.conf

新增 route = 的欄位即可

在 CentOS 7 上搭建 Cisco AnyConnect VPN

Redis實戰（二）CentOS 7上搭建redis-3.0.2

str 進程 ps 禁用安裝redis 結果 redis 啟動服務 pro bin 1.安裝redis wget http://download.redis.io/releases/redis-3.0.2.tar.gz tar zxvf redis-3.0.2.tar

在centos 7上搭建web常用軟件和優化

web運維 web代理WEB搭建及優化本文主要是針對web服務的，生產環境會使用的一些軟件，只是簡單陳述，如果有什麽不正確的地方，請指教，謝謝！ Web搭建的軟件：httpd，nginx，tomcat代理軟件：squid，varnish數據庫軟件：mariadb，redis，mencache驗證瀏覽方式：el

CentOS 7 上搭建nginx 1.6

elinks kcon %d 年月日日期結尾 bmp 就會 XP c-c 準備要素，編譯環境，創建組，創建被service所管理的腳本，兩種隱藏版本方法，實現主進程用root創建子進程有nginx 創建，圖片緩存時間在最新的centos7.3上搭建nginx 1.6

在 CentOS 7 上搭建 KVM 虛擬化平臺

create 采購 sha 安裝工具 work 文件格式磁盤 ces 進程調度 KVM 簡介 Kernel-based Virtual Machine的簡稱，是一個開源的系統虛擬化模塊，自Linux 2.6.20之後集成在Linux的各個主要發行版本中。它使用Linu

在CentOS 7上搭建Zabbix

先最小安裝CentOS7 安裝源：http://mirrors.163.com/centos/7/os/x86_64/ 軟體選擇：最小安裝基本功能新增epel源 yum install epel-release 命令自動補全 yum in

CentOS 7上搭建安全、容災、高可用的etcd叢集_Kubernetes中文社群

【編者的話】etcd 是 CoreOS 團隊發起的開源專案，基於 Go 語言實現，做為一個分散式鍵值對儲存，通過分散式鎖，leader選舉和寫屏障(write barriers)來實現可靠的分散式協作。本文目標是部署一個基於TLS（Self-signed certificates）的安全、快

經驗分享之在CentOS 7上搭建SVN伺服器

背景：上一篇文章中介紹瞭如何搭建虛擬機器《經驗分享之使用vagrant安裝linux虛擬機器》，我們的最終目的是搭建SVN伺服器，所以本篇將重點介紹一下如何搭建SVN伺服器。安裝步驟這一系列的操

一步步在 Centos 7 上搭建 vim C++ IDE

安裝 vim ，安裝外掛，目錄外掛， buffer 外掛，括號自動成對的外掛，程式碼自動補全外掛（還支援 STL 的補全）。在安裝過程中，每個人遇到的問題都會不一樣，所以只能一個個解決問題。可以通過 Google + stackoverflow

在Centos 7 上搭建 K8S --坑a)

在node 上建立etcd，將其加入master 中，發現pod 狀態是：CrashLoopBackOff Debug steps: step 1）在master 上check 新加的etcd pod 狀態 [[email protected] kuberne

在CentOS 7上搭建WordPress

環境（ECS阿里雲伺服器）伺服器作業系統：CentOS 7.4 ；部落格部署伺服器：Apache HTTP；資料庫：MySql；框架：WordPress；步驟一、安裝 Apache HTTP 安裝 Apache HTTP 很簡單，

Centos 7上KVM虛擬化平臺搭建及管理，圖文並茂，詳細易懂~~

machine err vnc 上傳 ng- list ESS 自己 nag 何為虛擬化：虛擬化是雲計算的基礎。簡單的說，虛擬化使得在一臺物理的服務器上可以跑多臺虛擬機，虛擬機共享物理機的 CPU、內存、IO 硬件資源，但邏輯上虛擬機之間是相互隔離的。物理機我們一般稱為宿

基於centOS 7上的FTP伺服器搭建詳解

基於Spring boot的FTP工具類Demo詳見Github 安裝（在root使用者下）首先查詢本機是否裝有FTP伺服器；命令如下： rpm -qa | grep vsftpd 如果沒有，則執行：yum -y install vs

【Redis】2、CentOS 7 上安裝 redis3.2.3安裝與配置

sync 倉庫 ace /var/ 發現 wan sudo base str 一、redis源碼安裝【更正】現在最新穩定的版本已經到了3.2.8 截至到2016.8.11，redis最新穩定版本為3.2.3.本篇文章我們就以此版本為基礎，進行相關的講解。下載redis源

在CentOS 7上安裝Jenkins

在centos 7上安裝jenkins在CentOS 7上安裝Jenkins安裝添加yum repos，然後安裝sudo wget -O /etc/yum.repos.d/jenkins.repo http://pkg.jenkins-ci.org/RedHat/jenkins.repo sudo rpm -

在CentOS 7上源碼編譯安裝MySQL 5.7

mysql source cmake 1.系統環境[[email protected]/* */ ~]# uname -r3.10.0-514.el7.x86_64 [[email protected]/* */ ~]# cat /etc/redhat-release

在CentOS 7上使用Yum源安裝 Zabbix 3.2

zabbix mysql centos 在CentOS 7上使用Yum源安裝 Zabbix 3.2 1. 環境準備[[email protected]/* */ ~]# setenforce 0 [[email protected]/* */ ~]# sed -i "s/S

在CentOS 7上使用Yum源安裝和卸載 MongoDB 3.4

enabled 1.配置Yum源1vim /etc/yum.repos.d/mongodb-org-3.4.repo[mongodb-org-3.4] name=MongoDB Repository baseurl=https://repo.mongodb.org/yum/redhat/$relea

在CentOS 7 上設置返回上一級目錄的快捷鍵為 Backspace

logs fff ext color con 重啟 line n-n 文件參考這裏。編輯文件： $ vi ~/.config/nautilus/accels 找到這一行： ; (gtk_accel_path "<Actions>/ShellAction

Centos 7 上安裝Samba的詳細步驟

samba 為了實現Windows主機與Linux服務器之間的資源共享，Linux操作系統提供了Samba服務，Samba服務為兩種不同的操作系統架起了一座橋梁，使Linux系統和Windows系統之間能夠實現互相通信，為廣泛的Linux愛好者提供了極大方便。本文簡要介紹如何在Linux操作系統上搭建S

在 CentOS 7 上搭建 Cisco AnyConnect VPN

1. 安裝 ocserv (OpenConnect server)

2. 生成證書

3. 配置 ocserv

4. 建立使用者

5. 配置系統設定

6. 測試

a. 下發路由

相關推薦