Geekly Articles each Day

ADを介したFreeradiusでのACCEL-PPP + IPsecおよび認蚌を䜿甚した゚ンタヌプラむズVPN


このノヌトでは、PPTP、L2TPIPsecの有無にかかわらず、アドレスプヌル、さたざたなナヌザヌグルヌプ、LDAPおよびロヌカルデヌタベヌスから、グルヌプ、およびWindows、Linux、OSX、IOS、Androidクラむアント、およびこれらすべおをオヌプン゜リュヌションでサポヌトする個々のナヌザヌの䞡方のシェヌピングのオプション構成。
PSこのノヌトでは、ネットワヌクセキュリティの偎面は圱響を受けたせん。そうでなければ、実装に埮劙なニュアンスのある巚倧なドキュメントに成長したす。次回、境界保護ずネットワヌクセキュリティに぀いお説明したす。
誰も気にしない、猫ぞようこそ。

目次
はじめに
サヌバヌでの準備䜜業
Accel-PPPPPTP、L2TP
ストロングスワンIPsec
フリヌ半埄
サンバ4

その結果、次のようなものを取埗する予定です。

ネットワヌクには、モバむルクラむアント、オフィスクラむアント、重芁なサヌビスを備えた安党なネットワヌクがあり、VPNを介しおのみアクセス可胜である必芁がありたす。䞀方、オフィスクラむアントずモバむルクラむアントは、VPNから異なるサブネットを受け取り、リ゜ヌスにアクセスするための異なる暩利を持っおいる必芁がありたす。いずれにせよ、オフィスの倖から働いおいる䌚瀟の内郚むンフラストラクチャぞの完党なアクセス暩が必芁な管理者もネットワヌク䞊にいたす。このスキヌムは、オフィスで䜿甚可胜なサヌバヌを持぀内郚オフィスネットワヌクをカバヌしたせん。 ロヌカル、およびVPN経由のモバむルクラむアント。
サヌバヌのセットアップを開始したす。

0準備䜜業。



VPNのセットアップに盎接進む前に、いく぀かの準備䜜業を行いたす。
そしお、最小限の構成でDebian 7をむンストヌルしたばかりのサヌバヌがありたす問題ではなく、他のLinuxでも同じように動䜜したす。 sshたたはロヌカルコン゜ヌルでログむンし、次の操䜜を行いたす。
正しいタむムゟヌンを蚭定したすこの䟋ではMSKを配眮したす
mv /etc/localtime /etc/localtime_org && ln -s /usr/share/zoneinfo/"Europe/Moscow" /etc/localtime && date

このサヌバヌでIPv6を䜿甚する予定がない堎合は、IPv6を無効にしたす
 echo net.ipv6.conf.all.disable_ipv6=1 > /etc/sysctl.d/disableipv6.conf

バックポヌトをカブに接続したす倚くの問題を抱えおいる叀代のサンバずストロングスワンを眮かないように、このために/etc/apt/sources.listに次の行を远加したす。
 deb http://http.debian.net/debian wheezy-backports main contrib non-free deb http://mirror.yandex.ru/debian/ wheezy-backports main contrib non-free

この段階で最䜎限必芁なパッケヌゞをむンストヌルする
 apt-get update apt-get install cmake make libssl-dev libpcre3-dev libnet-snmp-perl libtritonus-bin bzip2 checkinstall ntpdate

サヌバヌの時刻を同期したす。ドメむンクロックを䜿甚するずすぐに改善されたす。最も簡単なオプションは
 ntpdate DC.DOMAIN.COM

/etc/resolv.confでDNSドメむンサヌバヌを指定したす
ファむアりォヌル蚭定は䌚瀟固有のものであり、ここでは公開したせんが、それに基づいお、VPNクラむアントの異なるサブネットを異なる犁止ず蚱可にバむンドしたす。

これから
..1.99は、サヌバヌの倖郚IPです。

1Accel-PPP-L2TPおよびPPTPを操䜜するためのメむンサヌビス



プロゞェクトのりェブサむトからの説明
ACCEL-PPPは、Linux甚の高性胜VPN / IPoEサヌバヌです。
他の゜リュヌションに察する利点は、䞀般的なさたざたなVPNテクノロゞヌを単䞀のアプリケヌションに組み合わせおいるこずです。
VPNサヌビスを線成するための倚くのオヌプン゜リュヌションがありたすが、それらはすべお1皮類のVPNに焊点を圓おおいたす。PPTPのみ、PPPOEのみ、L2TPのみです。
マルチサヌビスVPNサヌバヌを起動する堎合は、各アプリケヌションを個別に調べお構成する必芁がありたす。
ACCEL-PPPを䜿甚するず、単䞀の構成ファむル、統合された管理ず監芖により、すべおをサポヌトする1​​぀のアプリケヌションを取埗できたす。
...
プロゞェクトの詳现に぀いおは、 こちらをご芧ください 。

このVPNは非垞に䞍十分であり、ハブに぀いおの蚀及はなく、倚かれ少なかれ同じnagaブランチを䞭心に議論されおいたすが、䜿いやすさ、安定性、機胜の点でより䞀般的な゜リュヌションをバむパスしおいたすが、歌詞で終わり、始めたしょう。

サヌバヌにダりンロヌドしおスロヌしたす。
 http://downloads.sourceforge.net/project/accel-ppp/accel-ppp-1.9.0.tar.bz2

解凍する
 tar -xjf accel-ppp-1.9.0.tar.bz2 mkdir accel-ppp-build cd accel-ppp-build

集める
 cmake -DBUILD_PPTP_DRIVER=FALSE -DLOG_PGSQL=FALSE -DNETSNMP=FALSE -DRADIUS=TRUE -DSHAPER=TRUE /root/accel-ppp-1.9.0/ make checkinstall -D

䟋から自動実行スクリプトを䜜成したす。
 cd ../accel-ppp-1.9.0/contrib/debian cp accel-ppp-init /etc/init.d/accel-ppp

デヌモンでディレクトリを定矩する
 which accel-pppd

debの可胜性が最も高いのは、 / usr / local / sbin / accel-pppdです。
開始ファむルで、パスを䞊蚘で取埗したパスに倉曎したす。
 nano /etc/init.d/accel-ppp

自動実行に远加
 insserv -v accel-ppp

ログ甚のディレクトリを䜜成する
mkdir /var/log/accel-ppp/

接続を確認するためのアクセス暩を持぀ファむルを䜜成したす。 将来的には、RADIUS認蚌に眮き換えたす
 touch /etc/ppp/chap-secrets

曞匏
login * password ip _for発行プヌルから取埗する必芁がある堎合は、*のみ

構成ファむル/etc/accel-ppp.confを䜜成したす
内容
*テスト䞭にオプションに぀いお可胜な限りコメントしようずしたした。chap-secretsのコメントを倖し、 モゞュヌルセクションの半埄をコメントアりトしたした。
 [modules] path=/usr/local/lib64/accel-ppp #        . log_file #     syslog. #log_syslog #  pptp l2tp #  auth_mschap_v2 auth_mschap_v1 auth_chap auth_pap #   CHAP-secrets   radius #chap-secrets #   RADIUS   chap-secrets radius # IPv4    . ippool sigchld #    ip-up/ip-down      RADIUS CoA . #pppd_compat #   . shaper #   . #connlimit [core] log-error=/var/log/accel-ppp/core.log thread-count=4 [ppp] verbose=0 min-mtu=1280 mtu=1480 mru=1480 #ccp=1 check-ip=1 #           . #    replace - accel-   ,    . #    deny accel-       #single-session=replace #   MPPE (Microsoft Point-to-Point Encryption) # prefer –        mppe=prefer ipv4=prefer #   ,   0,  PPP    LCP  -  n . lcp-echo-interval=300 #   -  ,    n   . lcp-echo-failure=6 [dns] dns1=8.8.8.8 dns2=8.8.4.4 [auth] #any-login=0 #noauth=0 [pptp] bind=..1.99 echo-interval=300 echo-failure=6 verbose=0 [l2tp] bind=..1.99 #ppp-max-mtu=1300 dictionary=/usr/local/share/accel-ppp/l2tp/dictionary hello-interval=300 #timeout=60 #rtimeout=5 retransmit=3 host-name=vpn.mydomain.ru #dir300_quirk=1 #secret= verbose=0 [radius] dictionary=/usr/local/share/accel-ppp/radius/dictionary nas-identifier=cisco nas-ip-address=127.0.0.1 gw-ip-address=..1.99 auth-server=127.0.0.1:1812,Radius-Sicret acct-server=127.0.0.1:1813,Radius-Sicret server=127.0.0.1,Radius-Sicret,auth-port=1812,acct-port=1813,req-limit=0,fail-time=0 dae-server=127.0.0.1:3799,Radius-Sicret timeout=5 max-try=3 acct-timeout=600 acct-delay-time=1 verbose=0 [shaper] attr=Filter-Id #down-burst-factor=1.0 #up-burst-factor=1.0 #latency=50 #mpu=0 #time-range=1,7:00-00:59 #time-range=2,1:00-3:59 #time-range=3,4:00-6:59 #leaf-qdisc=sfq perturb 10 up-limiter=htb down-limiter=htb cburst=1375000 ifb=ifb0 r2q=10 quantum=1500 verbose=0 #   IP-,         : xxxx/mask (for example 10.0.0.0/8) [client-ip-range] #192.168.0.0/18 disable [log] log-file=/var/log/accel-ppp/accel-ppp.log log-emerg=/var/log/accel-ppp/emerg.log log-fail-file=/var/log/accel-ppp/auth-fail.log log-debug=/var/log/accel-ppp/debug.log #syslog=accel-pppd,daemon #log-tcp=127.0.0.1:3000 copy=1 color=1 #per-user-dir=per_user #per-session-dir=per_session #per-session=1 level=0 #    ,     #[chap-secrets] #gw-ip-address=..1.99 #chap-secrets=/etc/ppp/chap-secrets [ip-pool] attr=Framed-Pool gw-ip-address=..1.99 10.65.16.129-254,fullaccess 10.65.17.129-254,mobila 10.65.18.129-254,office [cli] telnet=127.0.0.1:2000 tcp=127.0.0.1:2001 #password=123 #[connlimit] #limit=10/min #burst=3 #timeout=60



打ち䞊げ
 service accel-ppp start

䜕か問題がある堎合は、構成のログレベルを䞊げおログを確認したす。

負荷がかかった状態で䜜業するには、少しのチュヌニングが必芁です。VPN䞊に500未満の同時クラむアントがある堎合、アむテムnet.ipv4.ip_forward = 1を陀き、それを行うこずができたす。

/etc/sysctl.confに远加したす
###############################
net.ipv4.ip_forward = 1
net.ipv4.neigh.default.gc_thresh1 = 1024
net.ipv4.neigh.default.gc_thresh2 = 2048
net.ipv4.neigh.default.gc_thresh3 = 4096

net.ipv4.netfilter.ip_conntrack_max = 9548576
net.netfilter.nf_conntrack_max = 9548576

遞択的ACKずタむムスタンプをオフにする
net.ipv4.tcp_sack = 0
net.ipv4.tcp_timestamps = 0

メモリ割り圓お最小/圧力/最倧
読み取りバッファ、曞き蟌みバッファ、およびバッファスペヌス
net.ipv4.tcp_rmem = 10,000,000 10,000,000 10,000,000
net.ipv4.tcp_wmem = 10,000,000 10,000,000 10,000,000
net.ipv4.tcp_mem = 10,000,000 10,000,000 10,000,000

net.core.rmem_max = 524287
net.core.wmem_max = 524287
net.core.rmem_default = 524287
net.core.wmem_default = 524287
net.core.optmem_max = 524287
net.core.netdev_max_backlog = 300000
net.core.netdev_tstamp_prequeue = 0
###############################

適甚したす
 sysctl -p

/ etc / ppp / chap-secretsで指定されたナヌザヌ名ずパスワヌドを䜿甚しお、IPsecなしでPPTPおよびL2TPに接続しようずしたす。

サヌバヌ自䜓では、接続されおいるクラむアントのリストを次のように衚瀺できたす。
 accel-cmd show session

accel-cmdのヘルプを読むこずを匷くお勧めしたす。これには、セッションを䞭断するこずなくナヌザヌ認蚌方法をその堎で倉曎するなど、倚くの機胜がありたす。

すべお問題なければ、次の項目に進みたす

2IPsec



それが䜕であるか、なぜそれが必芁なのかを知るために、 ここに簡単に

むンストヌルする
 apt-get -t wheezy-backports install strongswan libcharon-extra-plugins

構成可胜
nano /etc/ipsec.conf
ipsec.conf
 # ipsec.conf - strongSwan IPsec configuration file config setup #           strictcrlpolicy=no include /var/lib/strongswan/ipsec.conf.inc conn %default ikelifetime=1440m keylife=60m rekeymargin=3m keyingtries=1 keyexchange=ikev1 authby=xauthpsk #   Dead Peer Detection (DPD)  ,     ,       dpdaction=clear #    DPD # dpddelay=35s #   DPD # dpdtimeout=300s #   .   IPsec  ,    IP-  fragmentation=yes #       . Windows   . rekey=no #  ciphersuites    IKE ike=aes256gcm16-aes256gcm12-aes128gcm16-aes128gcm12-aesxcbc-sha256-sha1-modp4096-modp2048-modp1024,aes256-aes128-sha256-sha1-modp4096-modp2048-modp1024! #  ciphersuites    esp=aes128gcm12-aes128gcm16-aes256gcm12-aes256gcm16-modp4096-modp2048-modp1024,aes128-aes256-sha1-sha256-modp4096-modp2048-modp1024,aes128-sha1-modp1024,aes128-sha1! conn L2TP_Accel-PPP authby=psk rekey=no type=transport esp=aes128-sha1,null-sha1,md5 ike=aes128-sha-modp1024,null-sha1,md5 left=194.135.1.99 leftprotoport=17/%any #  1701    iOS right=%any rightprotoport=17/%any rightsubnetwithin=0.0.0.0/0 auto=add compress=no dpddelay=30 dpdtimeout=120 dpdaction=clear forceencaps=yes conn IPsec authby=secret rekeymargin=3m keyingtries=1 keyexchange=ikev1 leftfirewall=yes rekey=no left=XX.YY.1.99 leftsubnet=0.0.0.0/0 leftauth=psk rightsourceip=%radius rightdns=8.8.8.8 right=%any rightauth=psk rightauth2=xauth-radius dpdaction=clear dpdtimeout = 5s auto=add



次に、秘密鍵を指定したす
nano /etc/ipsec.secrets
: PSK "Sicret-Test-Key"

Freeradiusずのさらなる統合のために、線集も行いたす
nano /etc/strongswan.d/charon/eap-radius.conf
eap-radius.conf
 eap-radius { accounting = yes load = yes nas_identifier = StrongSwan #   Radius secret = Radius-Sicret server = 127.0.0.1 dae { enable = yes listen = 127.0.0.1 port = 3799 secret = Radius-Sicret } forward { } servers { } xauth { } }


打ち䞊げ
 service ipsec start

次のようなステヌタスを確認できたす。
 ipsec statusall


3FreeRadius



*それが䜕であるかを知らない人のために。
暙準ずしおむンストヌル
 apt-get install freeradius freeradius-ldap

FreeRadiusナヌザヌの蚭定を含む/etc/freeradius/clients.confファむルを修正したす。ロヌカルAccel-PPPおよびStrongswanデヌモンがあり、以䞋の内容は最小限です。
 client localhost { ipaddr = 127.0.0.1 secret = Radius-Sicret nastype = cisco shortname = MY_TEST_VPN }

次に、起動甚のプロファむルを準備したす。暙準プロファむルはここにありたす/ etc / freeradius /サむト察応/デフォルト
、次の圢匏にする必芁がありたす。
/ etc / freeradius /サむト察応/デフォルト
* LDAPずの統合が蚭定されるたで、ldapおよびntlm_authに関連するすべおのオプションをコメント化しおから、それらのいずれかをコメント解陀する必芁がありたすが、䞀床に䞡方ではなく、競合したす。この䟋では、䜜業蚭定にはすでにグルヌプが含たれおいたす。
 authorize { preprocess chap mschap ldap # ntlm_auth digest suffix eap { ok = return } files expiration logintime pap } authenticate { Auth-Type PAP { pap } Auth-Type CHAP { chap } Auth-Type MS-CHAP { mschap } Auth-Type LDAP { ldap } # Auth-Type ntlm_auth { # ntlm_auth # } digest unix eap } preacct { preprocess acct_unique suffix files } accounting { detail unix radutmp exec attr_filter.accounting_response } session { radutmp } post-auth { exec Post-Auth-Type REJECT { attr_filter.access_reject } } pre-proxy { } post-proxy { eap }


次に、ロヌカルナヌザヌのファむルず、LDAPからのさたざたなグルヌプの蚭定の説明を䜜成したす。
/ etc / freeradius / users
 #      ,    , #       #perl -e 'print(crypt("testpassword","abrakadabra")."\n");' #    #testuser Crypt-Password := "abA5hjwYqm1.I" testuser Cleartext-Password := "testpassword" , MS-CHAP-Use-NTLM-Auth := 0 Service-Type = Framed-User, Framed-Protocol = PPP, #     IP,      ,   Framed-Pool Framed-IP-Address = 10.65.18.12, Framed-IP-Netmask = 255.255.255.255, #       ,    ip-pool  accel-ppp Framed-Pool = "office", #      . Filter-Id = "100000/100000", #         ,    Reply-Message = "Accepted from local file" #        #   Idle-Timeout, Acct-Interim-Interval  .. #      LDAP,     # remote-connection   office,    ip-pool  accel-ppp DEFAULT Ldap-Group == "remote-connection" Service-Type = Framed-User, Framed-Protocol = PPP, Framed-Pool = "office", Filter-Id = "100000/100000" #     DEFAULT Ldap-Group == "full-access" Service-Type = Framed-User, Framed-Protocol = PPP, Framed-Pool = "fullaccess" #       # Filter-Id = "100000/100000" DEFAULT Ldap-Group == "mobile-access" Service-Type = Framed-User, Framed-Protocol = PPP, Framed-Pool = "mobila", Filter-Id = "100000/100000"


再起動半埄
 service freeradius restart

*デバッグのために、端末freeradius -Xでログ出力モヌドで実行できたす
すべおが正垞で、起動に゚ラヌがない堎合は、テストナヌザヌを確認したす。
 radtest testuser testpassword 127.0.0.1 0 Radius-Sicret

次のような回答が埗られたす。
 Sending Access-Request of id 238 to 127.0.0.1 port 1812 User-Name = "testuser" User-Password = "testpassword" NAS-IP-Address = XX.YY.1.99 NAS-Port = 0 Message-Authenticator = 0x00000000000000000000000000000000 rad_recv: Access-Accept packet from host 127.0.0.1 port 1812, id=238, length=105 Service-Type = Framed-User Framed-Protocol = PPP Framed-IP-Address = 10.65.18.12 Framed-IP-Netmask = 255.255.255.255 Framed-Pool = "office" Filter-Id = "100000/100000" Reply-Message = "Accepted from local file"

回答にAccess-Acceptが含たれおいる堎合、すべおが正垞であり、FreeradiusずLDAPの統合の構成に進むこずができたす。事前にこのセクションに構成を配眮し、修正する必芁がありたす。
nano / etc / freeradius / modules / ntlm_auth
* KR.LOCの代わりに、ドメむンを瀺す
 exec ntlm_auth { wait = yes program = "/usr/bin/ntlm_auth --request-nt-key --domain=KR.LOC --username=%{mschap:User-Name} --password=%{User-Password}" }

mschap、tkを介しお少し調敎したす。 papは安党に䜿甚できたせん。
nano / etc / freeradius / modules / mschap
 mschap { #  use_mppe = yes #      ,     ,    -   yes require_encryption = no require_strong = yes with_ntdomain_hack = no ntlm_auth = "/usr/bin/ntlm_auth --request-nt-key --username=%{%{Stripped-User-Name}:-%{%{User-Name}:-None}} --challenge=%{%{mschap:Challenge}:-00} --nt-response=%{%{mschap:NT-Response}:-00}" }

そしお最も重芁なのは、LDAPずの盎接統合
nano / etc / freeradius / modules / ldap
に枛らす
*アクセス蚭定を独自のldapに倉曎するこずを忘れないでください。ナヌザヌアカりントには、ドメむン内のプロファむルを読み取る暩限が必芁です。
 ldap { server = "10.13.205.7" #  identity = "sf-test@KR.LOC" #  password = "987654321" #   basedn = "dc=KR,dc=LOC" #   filter = "(sAMAccountName=%{%{Stripped-User-Name}:-%{User-Name}})" ldap_connections_number = 5 max_uses = 0 #port = 389 timeout = 4 timelimit = 3 net_timeout = 1 tls { start_tls = no } dictionary_mapping = ${confdir}/ldap.attrmap password_attribute = userPassword edir_account_policy_check = no groupname_attribute = cn groupmembership_filter = "(|(&(objectClass=GroupOfNames)(member=%{control:Ldap-UserDn}))(&(objectClass=GroupOfUniqueNames)(uniquemember=%{control:Ldap-UserDn})))" groupmembership_attribute = memberOf access_attr_used_for_allow = yes chase_referrals = yes rebind = yes # set_auth_type = yes keepalive { idle = 60 probes = 3 interval = 3 } }


別の重芁な点は、特定のナヌザヌの半埄属性をldapドメむン属性から盎接取埗するには、盞互の察応を構成する必芁がありたす。これは/etc/freeradius/ldap.attrmapファむルで行われたす。独自のいく぀か
 replyItem Framed-IP-Address msRADIUSFramedIPAddress replyItem Framed-Pool msRADIUSFramedRoute

したがっお、ナヌザヌのドメむンでmsRADIUSFramedIPAddress個人属性を指定するず、半埄を転送しお、それをFramed-IP-Address属性であるず芋なし、類掚によるプヌルに぀いお、VPNを介しおナヌザヌに明瀺的に発行したす。
ドメむン偎からは、次のようになりたす。

IPはIP蚈算機でHEXに倉換する必芁がありたす。もちろん、属性゚ディタヌを䜿甚しおldapの任意の属性を䜜成できたすが、説明を加速するために暙準のものを䜿甚したす。

*これらのオプションはsamba4の蚭定埌に利甚可胜になりたす。/etc/freeradius/sites-enabled/defaultのldapセクションのコメントを忘れないでください。

4SAMBA 4



*クむックリファレンス

開始するには、必芁なものをすべおむンストヌルしたす。
 apt-get install krb5-user libpam-krb5 samba winbind libnss-winbind libpam-winbind -t wheezy-backports

Sambaの蚭定は/etc/samba/smb.confファむルにありたす
smb.conf
*ドメむン名を自分のものに倉曎するこずを忘れないでください。
 [global] obey pam restrictions = Yes log file = /var/log/samba/log.%m log level = 1 socket options = TCP_NODELAY SO_SNDBUF=8192 SO_RCVBUF=8192 encrypt passwords = yes idmap config * : range = 10000-20000 idmap config * : backend = tdb auth methods = winbind name resolve order = hosts bcast lmhosts case sensitive = no dns proxy = no netbios name = SAMBA server string = %v samba password server = DC02.KR.LOC #        realm = KR.LOC client use spnego = yes client signing = yes local master = no domain master = no preferred master = no workgroup = KR debug level = 2 # ads        security = ads unix charset = UTF-8 dos charset = 866 max log size = 50 os level = 0 follow symlinks = yes winbind uid = 10000-20000 winbind gid = 10000-20000 winbind enum groups = yes winbind enum users = yes


ここでwinbindを構成したすSambaがADナヌザヌを認識し、ロヌカルナヌザヌずしお通信できるようにしたす。
ファむル/etc/nsswitch.confを線集しお、远加する必芁がありたす。
 passwd: compat winbind group: compat winbind shadow: compat winbind


Kerberosを構成するために残りたすSambaをActive Directoryに統合するために䜿甚
ファむル/etc/krb5.confをフォヌムに入れたす
krb5.conf
*ドメむンを独自のものに倉曎したす。
  [logging] default = FILE:/var/log/krb5.log kdc = FILE:/var/log/krb5kdc.log [libdefaults] default_realm = KR.LOC clockskew = 500 dns_lookup_realm = false dns_lookup_kdc = true ticket_lifetime = 324000 [realms] KR.LOC = { kdc = DC02.KR.LOC admin_server = DC02.KR.LOC default_domain = KR.LOC } [domain_realm] .kr.loc = KR.LOC [login] krb4_convert = true krb4_get_tickets = false


構成が修正され、サヌビスを再起動できたす。
 service samba restart service winbind restart

ドメむンナヌザヌを確認したす。
 kinit sf-test@KR.LOC

パスワヌドのリク゚ストを受け取り、入力したす。
 Password for sf-test@KR.LOC:

すべおが問題ない堎合、画面に出力は衚瀺されたせん。すべおが衚瀺されおいる堎合は、蚭定の゚ラヌを泚意深く読んで修正しおください。
私たちはすべおがあなたずうたくいっおいるず信じお、ドメむン内のサヌバヌに入りたす
 net join –U sf-test@KR.LOC

winbindの動䜜を確認したす。
 wbinfo -u wbinfo -g

出力には、ドメむンナヌザヌずグルヌプのリストが衚瀺されたす。

ドメむンナヌザヌがロヌカルずしお認識されおいるかどうかを確認するには、次のコマンドを䜿甚できたす。
 id domain_user

認蚌モゞュヌルの動䜜を確認したすログむン/パスワヌド/ドメむン-圓然私たちのもの
 ntlm_auth --request-nt-key --domain=KR.LOC --username=sf-test --password=123456789

OKになったので、radius configでldapたたはntlm_authモゞュヌルのコメントを解陀しドメむングルヌプが䞍芁な堎合、freeradiusを再起動し、ドメむンアカりントでVPNサヌバヌの䜜業を楜しんでください。
 radtest -t mschap sf-test 123456789 127.0.0.1 0 Radius-Sicret

これで、自宅でVPN接続を䜜成し、党䜓を確認できたす。

5ボヌナス


メモをスクロヌルしお、ネットワヌクダむアグラムをもう䞀床芋お、IPsecのサむト間接続があるこずを思い出したした。VPNナヌザヌが他のネットワヌクにアクセスする必芁がある堎合にも䟿利です。これはすべおファむアりォヌルによっお実装されたすが、このためのストロングスワンの蚭定䟋以䞋に接続を瀺したす。
ipsec.conf
/etc/ipsec.confで 、セクションを最埌に远加したす。
 conn juniper forceencaps=yes dpddelay=30 # Dead peer detection - 30  -   keep-alive  dpdtimeout=120 # dpd  120 ,       # IKE alg 3DES - HASH sha1 - DH group 2 (1024) ike=3des-sha1-modp1024 # IKE lifetime 86400 seconds (24 hours) ikelifetime=86400s # IKE auth method Pre-Shared Key (PSK secret) authby=secret # IPSec type tunnel type=tunnel #  -  #left side (myside) left=..1.99 # OpenSWAN side leftsubnet=10.65.0.0/16 #  ,      right=..116.5 #  rightsubnet=192.168.105.0/24 #   ,     VPN auto=start esp=3des-sha1,3des-md5 keyexchange=ikev1


おわりに


すべおが初めおうたくいき、そうでなければすぐにうたくいったこずを願っおいたす-コメントで質問しおください。 間違い、タむプミス、あいたいさ、たたはメモの認識を劚げる他の瞬間を芋぀けた堎合、著者は病理孊的に読み曞きができたせん。PMでお知らせください。 お時間をありがずうございたした。

Source: https://habr.com/ru/post/J267103/

More articles:


All Articles