Ocserv 配置备忘 // Majin's

于2015/3/21更新

在网络环境越来越严苛的今天，如何维护一个较为良好的网络环境成为了我最关心的问题。现在看来，Ocserv（即Openconnect Server）是一个良好的解决方法。原因如下：

Ocserv基于一个还算“可靠”的系统，这个可靠并不指安全性这一点，因为安全性这点上与它一致或比它好的VPN服务并不少……主要是，Ocserv其实是一个基于Cisco的Anyconnect系统的VPN服务端。只这点就相对来说比较有保障了，毕竟这条路断了的话也很有可能影响正常的经济运行呢……此中深意只要稍微了解一下VPN真正的用途就明确了。
Anyconnect这套协议是在TLS/DTLS上的，换句话说，在真正建立连接的时候，刚开始的几步和其余使用TLS的协议并无太大差距。换句话说，如果你把这个服务的TCP监听端口放在443、并只启用TLS的话，那么你真正交互内容的过程在外界看来和HTTPS没什么大区别，只是流量比较大而已。
Anyconnect可以只基于TCP，也可以通过TCP完成连接、认证等必要步骤后使用DTLS/UDP进行真正的数据通信。其实，在可以使用UDP的环境下，还是尽量要使用UDP，因为，TCP实在是太过“沉重”了，并不适合VPN的应用，尤其是如果VPN基于TCP的话，那么TCP over TCP的情况将会经常产生，这是非常低效的……（虽然PPTP也是这么干的……但还是不吐槽了）
Ocserv的运行只需要系统对TUN/TAP的支持，所以OVZ用户也存在使用Ocserv的可能。

基于以上四点，再加上OpenWRT可以直接通过OpenConnect直接与Ocserv服务连接，所以，目前我的主要维护优良上网环境的方式就是它了。下面是Debian系Linux配置Ocserv的重点步骤。

Step 0. 如果你用的是Ubuntu的话，只要更新好了就可以忽略此步骤；如果你用的是Debian Wheezy的话，那么一定要在 /etc/apt/sources.list后加上wheezy-backports的源：

deb http://ftp.us.debian.org/debian/ wheezy-backports main contrib non-free

当然，上面的源地址可以根据你的喜好更改。

Step 1. 到了这里，我们要安装编译Ocserv必要的东西了：

sudo apt-get update
sudo apt-get install libwrap0-dev libpam0g-dev libdbus-1-dev libnl-route-3-dev \
libprotobuf-c0-dev libpcl1-dev libopts25-dev autogen libgnutls28-dev \
libseccomp-dev libreadline-dev build-essential

（注：如果wheezy下出现找不到包的情况，请在apt-get与install间加上-t wheezy-backports）

Step 2. 先到 ftp://ftp.infradead.org/pub/ocserv/ 上确认目前 Ocserv 的最新版本，然后将网址复制下来，到服务器上进行下载、解压、编译、安装：

wget ftp://ftp.infradead.org/pub/ocserv/ocserv-0.9.0.1.tar.xz
tar Jxvf ocserv-0.9.0.1.tar.xz
cd ocserv-0.9.0/
./configure --prefix=/usr --sysconfdir=/etc
make
sudo make install

如果上述Step 1.做好了的话，这里应该不会出现任何错误的……

Step 3. 进行Ocserv的配置。首先，在你执行make的目录中执行：

sudo mkdir /etc/ocserv
cp doc/sample.config /etc/ocserv/ocserv.conf

接下来就按照文件中的注释去修改/etc/ocserv/ocserv.conf文件吧……

如果使用用户证书认证的话，你需要把生成用户证书的跟证书放在配置文件的ca-certificate属性中，并在上面的认证配置中选择证书认证。

如果你使用的是plain认证，那么你可以通过ocpasswd来生成对应的密钥文件：

ocpasswd -c /path/to/.ocpasswd <username>

当然，Ocserv为SSLVPN，所以，你需要证书。如果是自签名证书的话其实很麻烦的……所以推荐使用StartSSL的免费证书。只要别忘了把StartSSL的Intermediate证书和CA证书放在你的证书后面就好，即你的证书（不是密钥）中的内容顺序是：证书-Intermediate-CA。然后就好好设置server-cert和server-key属性。

当然，还有一个重要的地方是，为了实现全局路由，并不能直接route=0.0.0.0/0.0.0.0解决，而需要拆分成route=0.0.0.0/128.0.0.0和route=128.0.0.0/128.0.0.0才可以，这样会避免一些过于奇妙的情况。

配置文件中还可以选择监听端口，虚拟地址段等等。这些都可以自己通过注释去配置。

Step 4. 创建对应的守护进程脚本，放在/etc/init.d/ocserv：

#!/bin/sh
### BEGIN INIT INFO
# Provides:          ocserv
# Required-Start:    $remote_fs $syslog
# Required-Stop:     $remote_fs $syslog
# Default-Start:     2 3 4 5
# Default-Stop:      0 1 6
### END INIT INFO
# Copyright Rene Mayrhofer, Gibraltar, 1999
# This script is distibuted under the GPL
 
PATH=/bin:/usr/bin:/sbin:/usr/sbin
DAEMON=/usr/sbin/ocserv
PIDFILE=/var/run/ocserv.pid
DAEMON_ARGS="-c /etc/ocserv/ocserv.conf"
 
case "$1" in
start)
if [ ! -r $PIDFILE ]; then
echo -n "Starting OpenConnect VPN Server Daemon: "
start-stop-daemon --start --quiet --pidfile $PIDFILE --exec $DAEMON -- \
$DAEMON_ARGS > /dev/null
echo "ocserv."
else
echo -n "OpenConnect VPN Server is already running.\n\r"
exit 0
fi
;;
stop)
echo -n "Stopping OpenConnect VPN Server Daemon: "
start-stop-daemon --stop --quiet --pidfile $PIDFILE --exec $DAEMON
echo "ocserv."
rm -f $PIDFILE
;;
force-reload|restart)
echo "Restarting OpenConnect VPN Server: "
$0 stop
sleep 1
$0 start
;;
status)
if [ ! -r $PIDFILE ]; then
# no pid file, process doesn't seem to be running correctly
exit 3
fi
PID=`cat $PIDFILE | sed 's/ //g'`
EXE=/proc/$PID/exe
if [ -x "$EXE" ] &&
[ "`ls -l \"$EXE\" | cut -d'>' -f2,2 | cut -d' ' -f2,2`" = \
"$DAEMON" ]; then
# ok, process seems to be running
exit 0
elif [ -r $PIDFILE ]; then
# process not running, but pidfile exists
exit 1
else
# no lock file to check for, so simply return the stopped status
exit 3
fi
;;
*)
echo "Usage: /etc/init.d/ocserv {start|stop|restart|force-reload|status}"
exit 1
;;
esac
 
exit 0

之后需要做的事情就是chmod +x /etc/init.d/ocserv设置运行权限，以及update-rc.d ocserv defaults设置开机自动启动，还有service ocserv start启动服务了。

Step 5. 设置转发和防火墙。首先要将/etc/sysctl.conf中的net.ipv4.ip_forward=1前的注释去掉，执行sysctl -p，这样开启内核转发。

接下来防火墙设置就是：iptables -t nat -A POSTROUTING -s <你定义的网段的CIDR表示> -o eth0 -j MASQUERADE。如果使用的是OVZ的话，那么iptables的设置应该是这样的：iptables -t nat -A POSTROUTING -s <配置VPN时定义的网段CIDR> -j SNAT --to-source <你的服务器外网IP>

现在应该一切妥当了……