OpenConnect Raspberry OpenWRT Linux VPN SSL 樹莓派

樹莓派SSL VPN二部曲 捨棄密碼改用憑證更安全

2015-08-06
在前文中已介紹如何在Raspberry Pi上建立OpenWRT路由器,並透過其OpenConnect Server相關套件,建立以密碼認證的SSL VPN,而本期將進一步說明如何使用憑證的方式來建立VPN連線。
使用密碼建立的VPN有一個缺點,倘若密碼不小心外洩,公司內部網路很可能被有心人士入侵。對此,以下將介紹如何使用憑證的方式來建立VPN連線,以增加其安全性。

用戶端匯入CA憑證

基本的設定與安裝步驟請參考網管人114期「用樹莓派架設SSL VPN 最低成本打造窮人翻牆梯」文章的說明,本文就不再重複介紹。

此步驟中,先透過管理介面取出CA Certificate,並匯入用戶端軟體。依序點選Services → OpenConnect VPN → CA certificate,將文字方塊中的憑證資訊複製後予以另存備用,筆者將之命名為ca.pem,如圖1所示。


▲圖1 儲存CA憑證。

接著,將CA的憑證匯入用戶端軟體。開啟OpenConnect程式,並點選編輯的按鈕,如圖2所示。


▲圖2 編輯之前建立的連線。

然後,按下CA Certificate旁邊的按鈕,選擇剛剛儲存的ca.pem檔案,完成後別忘了按下〔Save〕按鈕進行儲存,如圖3所示。


▲圖3 用戶端軟體讀取CA憑證。

建立用戶端憑證及私鑰

OpenConnect Server在啟動時,就會自動建立CA及Server的憑證檔,但不會自動產生用戶的憑證檔,因此必須手動建立。

此部分的操作目前尚無法透過網頁介面,因此以下的操作步驟均是透過SSH用戶端程式連入設備後進行操作。

先建立一個用戶的template檔,將其存放在「/etc/ocserv」目錄中,並命名為user.tmpl,其內容如下:


緊接著要產生使用者的憑證檔,其檔名為user-cert.pem,並建立存放私鑰的user-key.pem這兩個檔案。以下為操作步驟:


然後,將CA及Server的template建立link至此目錄,以便之後使用。

接著,建立user-key.pem這個檔案用以存放用戶端的私鑰。



追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!