教你在debian上用五分钟搭建好 openconnect server

岱岳之上的天

这篇文章的主要内容是，让你用最短的时间让你在debian系统的服务器上搭建好openconnect server，以供openconnect或者anyconnect客户端连接（黑莓手机、只能登录中国大陆AppleID的账号的IPhone对此是刚需）：

具体方法：

第一步：使用apt安装所需的软件包

1. apt-get install iptables-persistent ocserv

复制代码

第二步：修改配置文件

首先，需要修改 /etc/sysctl.conf，以用于开启IP转发。（对于扶墙服务器而言，这是必要的。确保以下内容存在于文件中，若不存在将以下内容添加到配置文件末尾即可）

1. net.ipv4.ip_forward = 1
   
2. net.ipv4.ip_forward_update_priority = 0
   
3. net.ipv4.ip_forward_use_pmtu = 1
   
4. net.ipv6.conf.all.forwarding = 1

复制代码

然后，继续需要修改 /etc/ocserv/ocserv.conf，以用于设置服务器基本配置参数。（这是必要的，以下贴出的配置文件中的信息可以按需修改，再编辑文件之前，建议将原始文件备份，以用作参考）

1. # openconnect server user
   
2. run-as-user = ocserv
   
3. run-as-group = ocserv
   
4. 
   
5. # require file while server run
   
6. socket-file = /run/ocserv-socket
   
7. chroot-dir = /var/lib/ocserv
   
8. 
   
9. # isolate sub proccess control
   
10. isolate-workers = true
    
11. 
    
12. # net interface for server
    
13. device = op
    
14. 
    
15. # mtu size for server
    
16. mtu = 1480
    
17. 
    
18. # log level
    
19. log-level = 1
    
20. 
    
21. # auth method
    
22. auth = "plain[/etc/ocserv/ocpasswd]"
    
23. 
    
24. # maximum users allowed connect
    
25. max-clients = 10
    
26. 
    
27. # maximum client allowed connect for per user
    
28. max-same-clients = 5
    
29. 
    
30. # server listen address (default is all)
    
31. # listen-host =
    
32. 
    
33. # server listen ports (default is 443, but can modified)
    
34. tcp-port = 443
    
35. udp-port = 443
    
36. 
    
37. # mtu auto discovery for per tunnel
    
38. try-mtu-discovery = true
    
39. 
    
40. # user certificate type
    
41. # cert-user-oid = 2.5.4.3
    
42. 
    
43. # certificate and private key for server
    
44. server-cert = /etc/ocserv/server.pem
    
45. server-key = /etc/ocserv/server.key
    
46. 
    
47. # dns while clients connected use
    
48. dns = 8.8.8.8
    
49. dns = 9.9.9.9
    
50. tunnel-all-dns = true
    
51. 
    
52. # route option (set it to default as a gateway)
    
53. #route = 192.168.1.0/255.255.255.0
    
54. route = default
    
55. 
    
56. # enable cisco anyconnect compatible
    
57. cisco-client-compat = true
    
58. 
    
59. # keep alive interval
    
60. keepalive = 32400
    
61. dpd = 60
    
62. mobile-dpd = 120
    
63. 
    
64. # other option
    
65. output-buffer = 0
    
66. rate-limit-ms = 0
    
67. 
    
68. # access control
    
69. restrict-user-to-routes = false
    
70. restrict-user-to-ports = ""
    
71. 
    
72. # disconnected idle time
    
73. # idle-timeout = 1200
    
74. # mobile-idle-timeout = 1800
    
75. 
    
76. # dtls protocol control
    
77. dtls-legacy = true
    
78. switch-to-tcp-timeout = 30
    
79. tls-priorities = "NORMAL:%SERVER_PRECEDENCE:%COMPAT:-VERS-SSL3.0:-VERS-TLS1.0:-VERS-TLS1.1:-VERS-TLS1.2"
    
80. 
    
81. # compression control
    
82. compression = true
    
83. no-compress-limit = 0
    
84. 
    
85. # speed limit by per client
    
86. rx-data-per-sec = 0
    
87. tx-data-per-sec = 0
    
88. 
    
89. # client auth control
    
90. auth-timeout = 240
    
91. min-reauth-time = 300
    
92. max-ban-score = 80
    
93. ban-reset-time = 1200
    
94. 
    
95. # client status control
    
96. cookie-timeout = 600
    
97. rekey-time = 172800
    
98. deny-roaming = false
    
99. use-occtl = true
    
100. 
     
101. # internal network settings
     
102. ipv4-network = 10.255.255.0/24
     
103. ipv6-network = fd09::/80
     
104. ipv6-subnet-prefix = 128
     
105. client-bypass-protocol = false
     
106. predictable-ips = true
     
107. ping-leases = true
     
108. net-priority = 3

复制代码

第三步：签发自签名SSL证书、设置相应的iptables转发规则

首先，运行以下命令来签发一个自签名SSL证书。（命令运行后会提示填写相应信息，按照自己的需要按需填写即可，若未修改上述配置文件中的SSL证书私钥保存路径，则应将生成的文件放置在 /etc/ocserv 下）

1. openssl req -x509 -sha256 -nodes -days 3650 -newkey rsa:4096 -keyout server.key -out server.pem

复制代码

之后，为了确保客户端连接后能正常访问互联网，我们需要设置相应的规则以用作开启NAT转发。

1. # 这几句话的意思是，允许相应网段的流量经过机器转发，如果不正确配置此规则，则客户端到公网的UDP连接是不通的
   
2. iptables -I FORWARD -s 10.255.255.0/24 -j ACCEPT
   
3. iptables -I FORWARD -d 10.255.255.0/24 -j ACCEPT
   
4. ip6tables -I FORWARD -s fd09::/80 -j ACCEPT
   
5. ip6tables -I FORWARD -d fd09::/80 -j ACCEPT
   
6. # 这几句话的意思是，对于来源于扶墙服务器的网段的流量，NAT之后再到公网
   
7. iptables -A POSTROUTING -s 10.255.255.0/24 ! -o op+ -j MASQUERADE
   
8. ip6tables -A POSTROUTING -s fd09::/80 ! -o op+ -j MASQUERADE

复制代码

设置完成规则后，需要将其保存到配置文件中才能永久生效，以下是具体方法（若服务器原本已经存在相应的配置文件，则此类方法可能不适用，请考虑将上述规则转换后直接写入配置文件）

1. iptables-save >> /etc/iptables/rules.v4
   
2. ip6tables-save >> /etc/iptables/rules.v6

复制代码

第四步：添加用户

如果没有修改配置文件中用户验证的方法的话，默认是需要手动添加用户的，此时就需要添加用户到指定的配置文件中。（格式为 ocpasswd -c /etc/ocserv/ocpasswd 用户名，运行命令后会提示给相应的用户设置一个密码，若以后需要删除相应用户的话，直接修改对应的文件，删除相应行即可）

1. ocpasswd -c /etc/ocserv/ocpasswd  boss

复制代码

第五步：开启相应端口

若服务器本身存在防火墙白名单规则的话，则需要按需开放防火墙端口，以下是对于iptables而言的方法。

1. iptables -I INPUT -p tcp --dport 端口号 -j ACCEPT
   
2. iptables -I INPUT -p udp --dport 端口号 -j ACCEPT

复制代码

第六步：重启服务器

完成上述步骤后，就可以使用openconnect或者anyconnect客户端测试是否能正常连接了。

可选步骤： 若能将服务器端的ocserv版本升级到1.2.1以上的话，还可以开启入口伪装功能，以让外界更难发现这是一个扶墙服务器，若可以确认版本在此之上，只需要向配置文件添加以下内容到末尾，就可以开启伪装功能。（开启此功能后 客户端只能通过 https //SERVER/?secret 的方式连接到服务器）

1. # camouflage
   
2. camouflage = true
   
3. camouflage_secret = "dark"
   
4. camouflage_realm = "router admin panel"

复制代码

常见疑问：

1.为什么搭建的服务连接速度特别慢？
这一般是由于客户端到服务器的网络质量不好导致的。若确认不是网络质量导致的问题，则可以通过修改配置文件的方式，将传输压缩功能关闭就可以了。

2.我想要在iphone上连接，但是它登录的是中国大陆的appleid，我应该怎么做？
只需要在大陆区应用商店下载安装cisco anyconnect客户端，然后填写相应信息连接即可。

3.我在河南省，这个方法在我这不可用怎么办？
不要尝试使用域名的方式连接，直接填写服务器IP连接就可以了。（若开启了伪装功能则将URL中的地址替换为服务器本身的IP地址就可以了）