कैसे-कैसे-शैली वीपीएन सर्वर (pptpd + mysql + त्रिज्या) CentOS6 पर

यद्यपि शैली के लेखों पर बहुत टिप्पणी नहीं की गई है, और ज्यादातर सकारात्मक टिप्पणियों के साथ नहीं हैं, हालांकि, यह वह है जो सबसे अधिक बार बुकमार्क में जोड़े जाते हैं।
यहां मैं MySQL में उपयोगकर्ताओं के साथ CentOS6 पर एक वीपीएन सर्वर को स्थापित करने और कॉन्फ़िगर करने की प्रक्रिया का वर्णन करने की कोशिश करूंगा और एमएस-चप-वी 2 और एमपीपी का उपयोग करके एक एन्क्रिप्टेड कनेक्शन के लिए त्रिज्या के माध्यम से अधिकृत करूंगा।

प्रस्तावना

ये लेख कहाँ से आते हैं? सब कुछ सरल है। जब हम नौकरी चाहने वालों की तलाश कर रहे हैं, उदाहरण के लिए, सिस्टम प्रशासक की स्थिति के लिए, तो प्रारंभिक साक्षात्कार के लिए उम्मीदवारों का चयन करने के बाद, परीक्षण कार्यों को संकलित किया जाता है, अपने आप पर लागू किया जाता है, और फिर हम उन्हें आवेदकों द्वारा हल करने की पेशकश करते हैं। कार्यों को पूरा करने के लिए, आवेदक को एक वर्चुअल मशीन, इंटरनेट एक्सेस और एक निश्चित समय प्रदान किया जाता है। समय की गणना सरलता से की जाती है - हमारा कार्यान्वयन * २। उसी समय, आप यह विचार कर सकते हैं कि सभी आवश्यक समाधान (कैसे-करें) इंटरनेट पर पाए जा सकते हैं, हालांकि, हम इसे ध्यान में रखते हैं, और इसलिए हम तैयार किए गए समाधान नहीं लेते हैं, लेकिन हम उन्हें पहले खुद को तैयार करते हैं और ताजा वितरण पर हल करते हैं। वैसे, ऐसे समय होते हैं जब हम कार्यान्वयन के दौरान कुछ समस्याओं पर ठोकर खाते हैं (डेवलपर्स द्वारा छोटे अनिच्छुक मज़ाक), और अगर उम्मीदवार सही पाठ्यक्रम का पालन करता है, लेकिन इस समस्या पर झूठ में पड़ जाता है, तो हम उस समाधान का सुझाव देते हैं जो हमने पाया।

Dano

सफेद आईपी और हौसले से स्थापित CentOS6 x86_64 न्यूनतम केवीएम वर्चुअल मशीन।

कार्य

1. pptpd, freeradius2, radiusclient-ng और mysql के एक समूह में स्थापित और कॉन्फ़िगर करें।
2. नैट के माध्यम से उपयोग नहीं करने के साथ कॉन्फ़िगर किए गए वीपीएन सर्वर से कनेक्ट करने के लिए 2 क्लाइंट बनाएं। डायनेमिक एड्रेस एक्विजिशन वाला एक क्लाइंट, दूसरा लगातार आईपी वाला।
3. pptpd से त्रिज्या के लिए गतिशील ग्राहकों को वितरण के लिए पतों का हस्तांतरण।

निर्णय

पहला कदम सभी आवश्यक पैकेजों को स्थापित करना है। त्रिज्या-रोगी-एनपीटी और पीपीटीपी मानक रिपॉजिटरी में नहीं हैं, इसलिए त्रिज्या-एनजी के लिए हम एक ईपीईएल रिपॉजिटरी को कनेक्ट करेंगे, और सीधे पीपीटीपी पैकेज डाउनलोड करेंगे।
# rpm -Uhv fedora-epel.mirror.lstn.net/6/x86_64/epel-release-6-5.noarch.rpm
# yum install freeradius freeradius-mysql radiusclient-ng radiusclient-ng-utils freeradius-utils mysql mysql-devel mysql-server
#rpm -Uhv poptop.sourceforge.net/yum/stable/packages/pptpd-1.3.4-2.el6.x86_64.rpm

अगला, mysql कॉन्फ़िगर करें और पासवर्ड सेट करें:
mysql_secure_installation

दरअसल, चलिए pptpd विन्यास पर चलते हैं। हम निम्न रूप में विन्यास फाइल लाते हैं:
# cat /etc/pptpd.conf
option /etc/ppp/options.pptpd
logwtmp
localip 192.168.80.1
remoteip 192.168.80.5-35

# cat /etc/ppp/options.pptpd
name pptpd
refuse-pap
refuse-chap
refuse-mschap
require-mschap-v2
require-mppe-128
proxyarp
lock
nobsdcomp
novj
novjccomp
nologfd
plugin radius.so
plugin radattr.so

pptpd समाप्त होने के साथ, त्रिज्या-एनजी सेटिंग पर जाएं:

पहली समस्या जो हमें मिली, वह यह है कि जहां यह स्थापित किया गया है, उन रास्तों से त्रिज्या-एनजी के साथ काम करने के लिए पीपीपीडी की अनिच्छा है, इसलिए हम निम्न प्रकार से एक नरम लिंक बनाते हैं।
# ln -s /etc/radiusclient-ng /etc/radiusclient
और फ़ाइल में लाइन /etc/radiusclient-ng/radiusclient.conf पर टिप्पणी करें
#bindaddr *
अन्यथा एक अज्ञात पैरामीटर पर शपथ लेता है।
संपादन / आदि / त्रिज्या-एनजी / सर्वर, एक स्थानीय त्रिज्या सर्वर जोड़ें, जिस तक ग्राहक पहुंचेगा
localhost YouRsUpErpAAs

दूसरी समस्या जो हमें निपटनी थी, वह थी त्रिज्या-एनजी पैकेज में मिरिकोसॉफ्ट की विशेषताओं की कमी, गुग्लिंग के बाद, आवश्यक आर्टिबूट पाए गए। मौजूदा फ़ाइलों को कॉपी / usr / share / radiusclient-ng / to / etc / radiusclient-ng / से विशेषताओं के साथ कॉपी करें
# cp /usr/share/radiusclient-ng/diction* /etc/radiusclient-ng/
निम्नलिखित सामग्री के साथ / etc / radiusclient-ng / Dictionary.microsoft फ़ाइल बनाएँ:
VENDOR Microsoft 311 Microsoft

ATTRIBUTE MS-CHAP-Response 1 string Microsoft
ATTRIBUTE MS-CHAP-Error 2 string Microsoft
ATTRIBUTE MS-CHAP-CPW-1 3 string Microsoft
ATTRIBUTE MS-CHAP-CPW-2 4 string Microsoft
ATTRIBUTE MS-CHAP-LM-Enc-PW 5 string Microsoft
ATTRIBUTE MS-CHAP-NT-Enc-PW 6 string Microsoft
ATTRIBUTE MS-MPPE-Encryption-Policy 7 string Microsoft
ATTRIBUTE MS-MPPE-Encryption-Type 8 string Microsoft
ATTRIBUTE MS-MPPE-Encryption-Types 8 string Microsoft
ATTRIBUTE MS-RAS-Vendor 9 integer Microsoft
ATTRIBUTE MS-CHAP-Domain 10 string Microsoft
ATTRIBUTE MS-CHAP-Challenge 11 string Microsoft
ATTRIBUTE MS-CHAP-MPPE-Keys 12 string Microsoft
ATTRIBUTE MS-BAP-Usage 13 integer Microsoft
ATTRIBUTE MS-Link-Utilization-Threshold 14 integer Microsoft
ATTRIBUTE MS-Link-Drop-Time-Limit 15 integer Microsoft
ATTRIBUTE MS-MPPE-Send-Key 16 string Microsoft
ATTRIBUTE MS-MPPE-Recv-Key 17 string Microsoft
ATTRIBUTE MS-RAS-Version 18 string Microsoft
ATTRIBUTE MS-Old-ARAP-Password 19 string Microsoft
ATTRIBUTE MS-New-ARAP-Password 20 string Microsoft
ATTRIBUTE MS-ARAP-PW-Change-Reason 21 integer Microsoft
ATTRIBUTE MS-Filter 22 string Microsoft
ATTRIBUTE MS-Acct-Auth-Type 23 integer Microsoft
ATTRIBUTE MS-Acct-EAP-Type 24 integer Microsoft
ATTRIBUTE MS-CHAP2-Response 25 string Microsoft
ATTRIBUTE MS-CHAP2-Success 26 string Microsoft
ATTRIBUTE MS-CHAP2-CPW 27 string Microsoft
ATTRIBUTE MS-Primary-DNS-Server 28 ipaddr Microsoft
ATTRIBUTE MS-Secondary-DNS-Server 29 ipaddr Microsoft
ATTRIBUTE MS-Primary-NBNS-Server 30 ipaddr Microsoft
ATTRIBUTE MS-Secondary-NBNS-Server 31 ipaddr Microsoft
VALUE MS-BAP-Usage Not-Allowed 0
VALUE MS-BAP-Usage Allowed 1
VALUE MS-BAP-Usage Required 2
VALUE MS-ARAP-PW-Change-Reason Just-Change-Password 1
VALUE MS-ARAP-PW-Change-Reason Expired-Password 2
VALUE MS-ARAP-PW-Change-Reason Admin-Requires-Password-Change 3
VALUE MS-ARAP-PW-Change-Reason Password-Too-Short 4
VALUE MS-Acct-Auth-Type PAP 1
VALUE MS-Acct-Auth-Type CHAP 2
VALUE MS-Acct-Auth-Type MS-CHAP-1 3
VALUE MS-Acct-Auth-Type MS-CHAP-2 4
VALUE MS-Acct-Auth-Type EAP 5
VALUE MS-Acct-EAP-Type MD5 4
VALUE MS-Acct-EAP-Type OTP 5
VALUE MS-Acct-EAP-Type Generic-Token-Card 6
VALUE MS-Acct-EAP-Type TLS 13

के लिए फ़ाइल /etc/radiusclient-ng/radiusclient.conf संपादित करें
dictionary /etc/radiusclient-ng/dictionary

फ़ाइल / आदि / त्रिज्या-एनजी / शब्दकोश संपादित करें, अंत में जोड़ रहा है
INCLUDE /etc/radiusclient-ng/dictionary.microsoft
INCLUDE /etc/radiusclient-ng/dictionary.merit

ग्राहक के साथ भी समाप्त, mysql सेटअप पर जाएं:
freeradius-mysql पैकेज में उन्हें mysql में आयात करने के लिए आवश्यक फाइलें हैं, वे / etc / raddb / sql / mysql / में स्थित हैं
मानक से भिन्न पासवर्ड सेट करने के लिए admin.sql फ़ाइल को संपादित करें
vim admin.sql
:%s/radpass/radpass235/g
:wq

mysql से कनेक्ट करें, DB बनाएं, टेबल आयात करें और उपयोगकर्ता बनाएं
mysql -p
mysql> create database radius;
mysql> \. admin.sql
mysql> use radius;
mysql> \. schema.sql
अगला हम उपयोगकर्ता और उनकी सेटिंग बनाते हैं
mysql> INSERT INTO radusergroup (username,groupname) values ('user1','static-ip-vpn');
mysql> INSERT INTO radusergroup (username,groupname) values ('user2','dinamic-ip-vpn');
निम्नलिखित मिलना चाहिए
mysql> select * from radusergroup;
+----------+----------------+----------+
| username | groupname | priority |
+----------+----------------+----------+
| user1 | static-ip-vpn | 1 |
| user2 | dinamic-ip-vpn | 1 |
+----------+----------------+----------+
mysql> INSERT INTO radcheck (username,attribute,op,value) values ('user1','User-Password','==','pass1');
mysql> INSERT INTO radcheck (username,attribute,op,value) values ('user2','User-Password','==','pass2');
mysql> select * from radcheck;
+----+----------+---------------+----+-------+
| id | username | attribute | op | value |
+----+----------+---------------+----+-------+
| 1 | user1 | User-Password | == | pass1 |
| 2 | user2 | User-Password | == | pass2 |
+----+----------+---------------+----+-------+
राडग्रुप्रेप्ली टेबल में भरें
mysql> INSERT INTO radgroupreply (groupname, attribute, op, value) values ('dinamic-ip-vpn','Service-Type',':=','Framed-User');
और इसलिए निम्नलिखित प्राप्त करने के लिए
mysql> select * from radgroupreply;
+----+----------------+--------------------+----+---------------------+
| id | groupname | attribute | op | value |
+----+----------------+--------------------+----+---------------------+
| 1 | dinamic-ip-vpn | Service-Type | := | Framed-User |
| 2 | dinamic-ip-vpn | Framed-Protocol | := | PPP |
| 3 | dinamic-ip-vpn | Framed-Compression | := | Van-Jacobsen-TCP-IP |
| 4 | static-ip-vpn | Framed-Compression | := | Van-Jacobsen-TCP-IP |
| 5 | static-ip-vpn | Framed-Protocol | := | PPP |
| 6 | static-ip-vpn | Service-Type | := | Framed-User |
+----+----------------+--------------------+----+---------------------+

पहले क्लाइंट के लिए एक स्थायी आईपी सेट करने के लिए रेडरप्ले टेबल में भरें
mysql> INSERT INTO radreply (username, attribute, op, value) values ('user1','Framed-IP-Netmask',':=','255.255.255.255');
mysql> INSERT INTO radreply (username, attribute, op, value) values ('user1','Framed-IP-Address',':=','192.168.80.90');
mysql> select * from radreply;
+----+----------+-------------------+----+-----------------+
| id | username | attribute | op | value |
+----+----------+-------------------+----+-----------------+
| 1 | user1 | Framed-IP-Netmask | := | 255.255.255.255 |
| 2 | user1 | Framed-IP-Address | := | 192.168.80.90 |
+----+----------+-------------------+----+-----------------+

नतीजतन, हमने 2 क्लाइंट के इस डेटाबेस में प्रवेश किया, पासवर्ड 1 के साथ user1 और स्थैतिक आईपी - 192.168.80.90, और पासवर्ड 2 के साथ user2 और pptpd सेटिंग्स में निर्दिष्ट पूल से एक डायनामिक आईपी प्राप्त करना। यहां, उपयोगकर्ताओं को जानबूझकर समूहों में विभाजित किया जाता है, ग्राहकों में आगे की वृद्धि को ध्यान में रखते हुए, केवल ग्राहकों के लिए सभी विशेषताओं को मूल रूप से तालिका में बनाना संभव था, लेकिन बड़ी संख्या में ग्राहकों के साथ, उन समूहों का उपयोग करना अधिक सुविधाजनक है जहां समूह के ग्राहकों के लिए समान विशेषताओं का संकेत दिया जाता है। इसके अलावा, समूहों में आप अलग-अलग एड्रेस पूल और बहुत कुछ निर्दिष्ट कर सकते हैं, लेकिन हमने अभी इस बारे में बात नहीं की है, क्योंकि हमें समय पर समस्या को हल करने की आवश्यकता है।

त्रिज्या सेटिंग पर जाएं। यहां मैं उन फाइलों का उदाहरण दूंगा जिनमें बदलाव किए गए थे:
/etc/raddb/clients.conf
client 127.0.0.1 {
secret = YouRsUpErpAAs
shortname = localhost
nastype = other
}

तीसरी समस्या , डिबगिंग के समय, जब त्रिज्या अभी तक mysql से जुड़ा नहीं था, वे इस तथ्य से सामना कर रहे थे कि अगर / etc / raddb / users फ़ाइल में क्लाइंट फ़ाइल की शुरुआत में पंजीकृत नहीं थे, तो कुछ भी काम नहीं किया गया।

/ etc / raddb / उपयोगकर्ता
DEFAULT Simultaneous-Use := 1
Fall-Through = 1
यह पंजीकृत होना चाहिए ताकि एक ही समय में एक ही लॉगिन के साथ एक से अधिक कनेक्शन न हों

/etc/raddb/radiusd.conf
मॉड्यूल अनुभाग में, टिप्पणियों को हटा दें
$INCLUDE sql.conf

/etc/raddb/sql.conf
mysql से कनेक्ट करने के लिए डेटा रजिस्टर करें
password = "radpass235"

/ etc / raddb / साइट-सक्षम / डिफ़ॉल्ट
प्राधिकृत, सत्र, उत्तर-पश्चात और लेखा अनुभाग में, sql को सक्षम करें
प्राधिकृत अनुभाग में mschap सक्षम करें

/ etc / raddb / मॉड्यूल / mschap
mschap {
use_mppe = yes
require_encryption = yes
require_strong = yes
}

शायद कार्य लगभग हल हो गया है, कुछ स्पर्श बने हुए हैं:

Iptables सेट अप करें और दुनिया को क्लाइंट जारी करने के लिए सक्षम करें
iptables -I INPUT -p gre -j ACCEPT
iptables -I INPUT -p tcp -m state --state NEW -m tcp --dport 1723 -j ACCEPT
iptables -I INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD -s 192.168.80.0/24 -o eth0 -j ACCEPT
iptables -I FORWARD -d 192.168.80.0/24 -i eth0 -j ACCEPT
iptables -t nat -I POSTROUTING -s 192.168.80.0/24 -o eth0 -j MASQUERADE

/etc/sysctl.conf
net.ipv4.ip_forward = 1
# sysctl -p

पहले से ही इस स्तर पर, यदि हम स्थापित सेवाओं को चलाते हैं, तो हम वीपीएन के माध्यम से अपनी मशीन से कनेक्ट कर सकते हैं, यह केवल पीपीटीपीड से त्रिज्या के डायनेमिक क्लाइंट को जारी किए गए पतों के पूल को स्थानांतरित करने के लिए बनी हुई है। इसके लिए कई विकल्प हैं, नीचे पूल को mysql में डालने के लिए। हम एक सरल विकल्प का उपयोग करते हैं।

/ etc / raddb / मॉड्यूल / ippool
ippool main_pool अनुभाग में, हमारे पता पूल के लिए संपादन करें
range-start = 192.168.80.35
range-stop = 192.168.80.65

फ़ाइल में / etc / raddb / साइटों-सक्षम / डिफ़ॉल्ट उपयुक्त वर्गों में जोड़ें

accounting {
main_pool
}

post-auth {
main_pool
}

अगला, उन फ़ाइलों को बनाएँ जहाँ पूल संग्रहीत किया जाएगा
touch /etc/raddb/db.ipindex /etc/raddb/db.ippool
chmod 664 /etc/raddb/db.ipindex /etc/raddb/db.ippool
chown root:radiusd /etc/raddb/db.ipindex /etc/raddb/db.ippool

और / etc / raddb / उपयोगकर्ताओं को जोड़ें
DEFAULT Pool-Name := main_pool
Fall-Through = Yes

त्रिज्या को पुनरारंभ करें, और vpn के माध्यम से मशीन से कनेक्ट करने का प्रयास करें, सब कुछ काम करना चाहिए। हम त्रिज्या तालिका में विस्तृत कनेक्शन आँकड़े देख सकते हैं
पूल से चयनित पते कमांड के साथ देखे जा सकते हैं:
rlm_ippool_tool -av /etc/raddbdb/db.ippool /etc/raddbdb/db.ipindex

अंतभाषण

मैंने जानबूझकर उन समस्याओं पर जोर दिया, जिनका हमें सामना करना था। हमने इस प्रणाली को लागू करने में एक घंटे से थोड़ा अधिक समय लगाया। उम्मीदवारों के लिए 2.5 घंटे आवंटित किए गए थे। 4 आवेदकों में से किसी ने भी इस कार्य को पूरा नहीं किया। उनमें से केवल एक यात्रा के अंत तक पहुँच गया। उसके साथ, शायद हम सहयोग करना जारी रखेंगे।
बेशक, मैं समझता हूं कि सभी नियोक्ता नौकरी चाहने वालों के परीक्षण की इस पद्धति का उपयोग नहीं करते हैं। हालांकि, मुझे लगता है कि यह उम्मीदवारों के ज्ञान और क्षमताओं का वास्तव में परीक्षण करने का सबसे अच्छा तरीका है। आखिरकार, यदि उम्मीदवार ने इसी तरह की समस्या को हल किया है (या लगभग हल किया है), तो कुछ समय बाद, टीम में शामिल होने और नेटवर्क संरचना में विसर्जन करना, उस पर भरोसा करना काफी संभव है।

मैं इस लेख को नाम दे सकता हूं - "हम श्रमिकों का चयन कैसे करते हैं", और सामान्य रूप में प्रारंभिक चयन और व्यावहारिक कार्यों की प्रक्रिया का वर्णन करते हैं, लेकिन फिर, लेख का पास-तकनीकी के रूप में इसका मूल्य नहीं होगा, और यह कैसे, के रूप में नहीं होगा, लेकिन यह कम उपयोगी होगा, मेरी राय में। मुझे पता है कि कई ऐसे ही लेख हैं, जिन्हें अबिल से जोड़ना है, लेकिन वे डेढ़ साल से अधिक पुराने हैं और वे अन्य विकृतियों से गुजर रहे हैं।

UPD: शायद नौकरी चाहने वालों ने हैबर को पढ़ा, और, आखिर में, उस कार्य का समाधान देखेंगे जो उन्होंने पारित नहीं किया था।

UPD2: कार्यान्वयन के लिए समय की कमी के बारे में, वे लिखते हैं कि 2.5 घंटे पर्याप्त नहीं हैं। मैं जोर देता हूं कि समय मुख्य नहीं है , हालांकि महत्वपूर्ण संकेतक। मुख्य बात "सही तरीका" है।

UPD3: pptp प्रोटोकॉल कीचड़ के बारे में टिप्पणियों से प्रेरित । स्थिति l2tp के समान है।
Pptpd के बजाय, xl2tpd डालें
#yum install xl2tpd
कॉन्फ़िगरेशन फ़ाइलों को निम्न फ़ॉर्म में घटाया जाता है:
# cat /etc/xl2tpd/xl2tpd.conf
[global]
port = 1701
auth file = /etc/xl2tpd/l2tp-secrets
access control = no
rand source = dev
[lns default]
exclusive = no
ip range = 192.168.80.5-192.168.81.35
local ip = 192.168.80.1
require chap = yes
refuse pap = yes
require authentication = yes
name = VPNserver
ppp debug = yes
pppoptfile = /etc/ppp/options.xl2tpd
length bit = yes
flow bit = yes

# cat /etc/ppp/options.xl2tpd
ipcp-accept-local
ipcp-accept-remote
lcp-echo-failure 30
lcp-echo-interval 5
noccp
nodeflate
auth
crtscts
idle 1800
mtu 1410
mru 1410
defaultroute
debug
proxyarp
connect-delay 5000
lock
plugin radius.so
plugin radattr.so