Подключение к VPN через Openconnect на Linux и OpenBSD

THE HOLY BIBLE - King James Version - БИБЛИЯ в Синодальном переводе

---

"Нас Атакуют!" Изобличи козни лукавого, запрети диаволу

Подключение к VPN через Openconnect на Linux и OpenBSD

Благодаря тотальной слежке за пользователями Интернета применение VPN технологий стало неотъемлемой частью нашей профессиональной деятельности. Множество людей вынуждены использовать защищённые корпоративные ресурсы, при этом стандартные средства VPN подключений значительно ограничивают наши возможности, применяя разнообразные сетевые правила и изменяя привычное окружение клиента.

В то же время пользователям становится всё более необходимо оставаться подключёнными к нескольким сетям одновременно, выполняя отдельные задачи для разных частей организации (или вообще для разных клиентов). В такой ситуации очень часто приходится использовать несколько компьютеров, перезагружаться в разные ОС или, как минимум, постоянно переподключаться к разным VPN серверам.

В предлагаемой заметке я показываю как подобные неудобства могут быть легко устранены при использовании всего одного клиента VPN на одной и той же физической системе, под управлением Linux или OpenBSD. Приводится простой пример одновременного подключения к двум независимым VPN сетям.

Прежде чем мы продолжим, я хотел бы привести строки из Евангелия:

---

..................... == Вторая книга Паралипоменон == .........................
=== Глава 7, Стих 13 ===
13 Если Я заключу небо и не будет дождя, и если повелю саранче поядать  землю, или пошлю моровую язву на народ Мой,
14 и смирится народ Мой, который именуется именем Моим, и будут молиться, и  взыщут лица Моего, и обратятся от худых путей своих, то Я услышу с неба и  прощу грехи их и исцелю землю их.

Лично для вас благая весть - Единородный Сын Божий Иисус Христос любит вас, Он взошёл на крест за ваши грехи, был распят и на третий день воскрес, сел одесную Бога и открыл нам дорогу в Царствие Небесное.

В жизни каждого случаются беды и несчастия, они преслeдуют почти неотступно нас, наши семьи и нашу страну. И мы в глубоком недоумении и с разочарованием спрашиваем "За что нам эта беда?". Нам кажется что мы живём честно, стараемся не делать зла, помогать другим - каким же образом постигают нас все эти напасти?

Господь Бог видит наши сердца и знает истинные намерения наших душ. Даже в те моменты, когда мы успешно убедили себя что делаем добро или "зло во имя добра"... И Он наказывает нас по мере наших проступков - и наказание сие постигает каждого, от простолюдина до президента, охватывая всю страну, за преступления, совершаемые в ней. Так что винить в своих бедах мы должны самих себя - а точнее, наше отступление от Библейских ценностей и Божиих заповедей. Перечитаем их прямо сейчас! Сверим курс наших жизней со Словом Божиим. И, как написано, исправив свои пути, заслужим Божие прощение - а с ним придёт и избавление от бед и несчастий. При этом мы должны пройти дорогой исправления полностью и до конца, решительно оставляя позади такие соблазнительные и уже привычные мирские удовольствия.

Покайтесь, примите Иисуса как вашего Спасителя, ибо наступают последние времена и время близко - стоит Судья у ворот.

Пожалуйста, в своих каждодневных трудах, какими бы занятыми вы себе ни казались - находите время для Бога, Его заповедей и Библии.

На главной странице этого сайта вы найдете программу для чтения Библии в командной строке - буду очень рад если программа окажется полезной. Пожалуйста, читайте Библию, на экране или в печатном виде - вы будете искренне удивлены как много там сказано лично про вас и ваши обстоятельства.

---

Вернёмся к нашим техническим деталям.

В заметке я рассмотрю достаточно простой и часто встречающийся случай. Предположим что по специфике работы нам необходимо подключиться к какой-либо сети клиента "A", где находится так называемый "jump host", с которого осуществляются все последующие подключения к компьютерам клиента "А". В это же самое время мне надо быть подключенным к сети клиента "Б", где находится вебсайт системы мониторинга и где я слежу за производительностью только что введённого в строй сервера. На фоне всего этого мне необходим стабильный доступ к моим собственным серверам в Интернет, откуда я получаю почту, загружаю файлы и звоню по телефону через VOIP. Компании клиентов А и Б используют свои собственные VPN сети, мои сервера находятся в открытом интернете, в датацентре одного из глобальных VPS провайдеров.

Я вынужден использовать единственную рабочую станцию под управлением OpenBSD (или Linux, если пожелаете) и мне необходимо иметь открытыми и одновременно работающими следующие программы:

эмулятор терминала с ssh сессией, подключенной через VPN "A" к "jump host" клиента "А" с адресом 10.1.1.100;

вебброузер Опера, подсоединённый через VPN "Б" к внутреннему вебсайту клиента "Б" с адресом 192.168.1.192;

эмулятор терминала с ssh сессией, подключенной через открытый интернет к одному из моих серверов с адресом 83.125.20.101;

FTP клиент, постоянно соединённый с сервером 83.125.20.101;

Программы для VOIP телефонии и Skype, периодически подключающиеся к серверам соответствующих компаний.

Для всех VPN подключений я использую последнюю версию программы "openconnect". Доступ в интернет предоставляется моим ISP через default gateway 10.0.0.138.

Как результат, я не могу использовать стандартный скрипт "/etc/vpnc/vpnc-script", поскольку каждое VPN подключение будет изменять мою таблицу маршрутизации, делая работу с другими клиентами невозможной. Кроме того, я хочу понимать что происходит "за сценой" при подключении к каждому из клиентов и иметь полную уверенность что пакеты клиента "А" не попадают к клиенту "Б" и тому подобное.

Про типы VPN и клиентов для них

Прежде чем обсуждать подробности подключения, я приведу краткую информацию o VPN вообще и клиенте openconnect.

Типы VPN

Изначально одним из самых распространённых и наверняка самым надёжным являлся набор протоколов iPSec. Моё мнение - он и остаётся на сегодня единственным более или менее приемлемым решением.

Поскольку IPSec "на коленках" настраивался плохо и надо было всё-таки нанимать специалиста для его внедрения (что является безусловным плюсом, если интересует результат), понадобилось удешевить и упростить процесс. Так появились SSL VPNы, которыми мы и пользуемся сейчас.

Технически, IPSec работает на уровне L3 OSI модели и реализован внутри ядра ОС. Отсюда и происходят его основные преимущества - производительность, прозрачность, защищённость и т.п. Напротив, SSL VPN работает вне ядра ОС (в userspace) и использует "верхние" уровни OSI модели. SSL VPN может работать "через вебброузер" (SSL Portal VPN) или как туннель (SSL Tunnel VPN).

Реализация VPN

Для "аппаратной" реализации обоих типов VPN (IPSec и SSL VPN) традиционно используются Cisco продукты - например, старенький Cisco VPN 3000 Concentrators или поновее ASA 5500.

Естественно были предприняты (весьма успешные) попытки создания бесплатных "софтверных" конкурирующих с Cisco реализаций SSL VPN - именно таковым и является OpenVPN. (Читайте дальше про openconnect)

Клиентский доступ к VPN

В мире Windows всё просто - открыл Cisco VPN Client (Anyconnect или более старый Easy Cisco VPN Client), вбил данные - и ты уже в корпоративной сети.

В большинстве простых ситуаций подключения к единственному корпоративному VPN лично я порекомендовал бы именно такой подход - устанавливаете отдельный лаптоп с Windows, на нём используете стандартный Cisco клиент, подключаетесь к VPN. На лаптопе работает VNC server или Remote Desktop, который вы используете с вашей линукс машины. Просто и всегда работает (но такое решение нельзя назвать изящным).

Естественно, появились и альтернативные клиенты, конкурирующие с Cisco AnyConnect клиентом.

Их два на сегодня:

vpnc - используется для подключения к "старым" Cisco VPN устройствам

openconnect - для работы с текущими версиями Cisco VPN аппаратуры, именно поэтому я пользуюсь этим клиентом

При этом openconnect может работать и как VPN сервер, выполняя те же функции что и OpenVPN server.

Подводя итоги

Для организации VPN инфраструктуры в вашей компании у вас есть выбор:

1) Cisco VPN hardware и на нём:

-IPSec

или

-SSL VPN

2) OpenVPN server (aka SSL VPN)

3) OpenConnect Server (также SSL VPN)

Клиентский доступ осуществляется:

1) Через правильно организованный IPSec

или

2) Cisco Anyconnect VPN client для Windows

3) vpnc (старые системы) или openconnect (новые системы) client на unix-like ОС

Предлагаемое решение

Для поддержания моего окружения в работоспособном состоянии я буду создавать VPN "тоннель", используя openconnect, но при этом не допуская выполнения никаких скриптов. Необходимые изменения в таблице маршрутизации будут сделаны вручную. Таким образом я смогу сохранить маршрут "по умолчанию" и организовать доставку нужных пакетов к соответствующему клиенту.

Предоставляемое провайдером интернет соединение обеспечивает доступ к моим "открытым" серверам, но при этом default gateway не должен изменяться при подключении к VPN.

Число запущенных одновременно программ "openconnect" будет соответствовать числу VPN сетей клиентов, в моём примере двум.

Каждое VPN соединение будет создавать соответствующий "tun" интерфейс, при этом VPN сервер сообщит какой IP адрес был выдан нам как клиенту. Этот IP адрес должен быть присвоен интерфейсу "tun" вручную.

После "поднятия" интерфейса с присвоенным IP адресом, я создам соответствующее правило для маршрутизации пакетов, применяемое только ко вновь созданному "tun" интерфейсу и не изменяющее шлюза "по умолчанию".

После этого необходимая подсеть клиента станет доступной для работы.

Остальные веб-ресурсы "общего назначения" внутри клиентской сети доступны через "SSL VPN Gateway" - специальный прокси веб-сервер, предоставляемый по адресу VPN шлюза. Войдя на этот сервер под именем пользователя, используемым с openconnect, я могу ввести адрес интересующей меня страницы в корпоративной интранет сети и увидеть на экране её "отображение". Такой вид доступа является стандартным в системе SSL VPN и не требует клиентской настройки.

Реализация решения

Для быстрого создания VPN соединения я создам скрипт, выполняющий необходимые действия. Последовательное выполнение скриптов будет устанавливать нужные соединения, не влияя на уже существующие подключения.

Подключение одного VPN клиента

Скрипт для подключения к клиенту "А" приведен ниже:

........ == Послание к Ефесянам святого апостола Павла == ............
=== Глава 5, Стих 19 ===
18 И  не  упивайтесь  вином,  от  которого   бывает   распутство;   но
исполняйтесь Духом,
19 назидая  самих  себя  псалмами  и  славословиями   и   песнопениями
духовными, поя и воспевая в сердцах ваших Господу,
20 благодаря всегда  за  все  Бога  и  Отца,  во  имя  Господа  нашего
Иисуса Христа,
21 повинуясь      друг      другу      в      страхе           Божием.

(b+/b-, c+/c-, +/-, *) >
~:$ cat vpnA.sh
# Run this as root
export LC_CTYPE=en_US.UTF-8

VPNHOST=vpn.clientA.com
GROUP=A-VPN
USER=remote1
PWD=secret1
FILE=/tmp/vpn.out
# Add error handling yourself - I am too lazy for this.

date
echo $PWD | openconnect -b -s empty --no-xmlpost --authgroup $GROUP \
-u $USER --passwd-on-stdin $VPNHOST > \
$FILE 2>&1
#  cat $FILE
grep "Continuing in background" $FILE
echo To stop use \"kill -HUP pid\"
IP=`grep "^Connected tun" $FILE | cut -f 4 -d ' ' | cut -f 1 -d ',' `
rm $FILE

if [[ `uname` == "Linux" ]]
then
echo Линукс

ifconfig tun0 $IP up
ifconfig tun0

route -A inet add -net 10.1.0.0/16 gw $IP dev tun0
route -n -4

ps -ef | grep openconnect | grep -v grep
else
echo ОпенБСД

ifconfig tun0 inet $IP
ifconfig tun0

route add -iface -net 10.1/16 $IP
route -n show -inet

ps -ax | grep openconnect | grep -v grep
fi

date

Зная диапазон адресов (10.1.0.0/16), выдаваемых клиентам VPN сервером, я могу определить правило маршрутизации, как показано выше. Я предполагаю, что все мои сервера находятся в пределах этой DMZ подсети и не требуют дальнейшей маршрутизации. Если ваша ситуация требует более сложных правил - заведите для каждого клиента отдельный лаптоп и пользуйтесь стандартным клиентом от Cisco.

Параметр "--no-xmlpost" требуется при работе со старыми или плохо сконфигурированными VPN шлюзами, "-s empty" исключает выполнение "vpnc" скриптов, поставляемых вместе с openconnect.

После запуска скрипта "vpnA.sh" команда ifconfig покажет мне новый интерфейс "tun0" с DHCP адресом из подсети 10.1/16, a route покажет новое правило для обмена пакетами с этой сетью напрямую через интерфейс "tun0". Уже существующее правило для отправки всех остальных пакетов через default gateway 10.0.0.138 останется неизменным, обеспечивая доступ к интернету в нормальном режиме, при наличии VPN подключения к сети клиента "А".

Вот как будет выглядеть результат запуска скрипта "vpnA.sh":

lo0: flags=8049 mtu 33144
...
inet 127.0.0.1 netmask 0xff000000
iwn0: flags=8843 mtu 1500
...
inet 10.0.0.2 netmask 0xffffff00 broadcast 10.0.0.255
tun0: flags=51 mtu 1300  <---*
...
inet 10.1.19.19 --> 0.0.0.0 netmask 0xffff0000


Routing tables

Internet:
Destination        Gateway            Flags   Refs      Use   Mtu  Prio Iface
default            10.0.0.138         UGS        4       64     -    12 iwn0
10.0.0/24          link#2             UC         1        0     -     4 iwn0
10.0.0.2           127.0.0.1          UGS        0        0 33144     8 lo0
10.0.0.138         aa:bb:cc:11:44:22  UHLc       1        9     -     4 iwn0
127/8              127.0.0.1          UGRS       0        0 33144     8 lo0
127.0.0.1          127.0.0.1          UH         2        0 33144     4 lo0
10.1/16 <---**---> 10.1.19.19         US         0        0     -     8 tun0
224/4              127.0.0.1          URS        0        0 33144     8 lo0

Всего лишь одна предпоследняя строка была добавлена моим скриптом в уже существующую таблицу маршрутизации.

Подключение двух VPN клиентов

Подобным образом мы подключимся ко второй сети через VPN шлюз клиента "Б". Скрипт очень похож и отличается некоторыми параметрами команды openconnect, именем туннельного интерфейса и адресами сети.

..... == Первое послание к Тимофею святого апостола Павла == .........
=== Глава 6, Стих 3 ===
3 Кто учит иному и не следует здравым  словам  Господа  нашего  Иисуса
Христа и учению о благочестии,
4 тот горд, ничего не знает, но заражен  _страстью_  к  состязаниям  и
словопрениям,  от  которых  происходят  зависть,  распри,  злоречия,
лукавые подозрения.

(b+/b-, c+/c-, +/-, *) >
~:$ cat vpnB.sh
# Run this as root
export LC_CTYPE=en_US.UTF-8

VPNHOST=vpn.clientB.ru
USER=remote2
PWD=secret2
FILE=/tmp/vpn.out

date
echo $PWD | openconnect -b -s empty -i tun1 \
-u $USER --passwd-on-stdin $VPNHOST > \
$FILE 2>&1
# cat $FILE
grep "Continuing in background" $FILE
echo To stop use \"kill -HUP pid\"
IP=`grep "^Connected tun" $FILE | cut -f 4 -d ' ' | cut -f 1 -d ',' `
rm $FILE

if [[ `uname` == "Linux" ]]
then
echo Линукс

ifconfig tun1 $IP up
ifconfig tun1

route -A inet add -net 192.0.0.0/8 gw $IP dev tun1
route -n -4

ps -ef | grep openconnect | grep -v grep
else
echo ОпенБСД

ifconfig tun1 inet $IP
ifconfig tun1


route add -iface -net 192.0/8 $IP
route -n show -inet
ps -ax | grep openconnect | grep -v grep
fi

date

После выполнения этого скрипта мы получим уже два одновременно работающих VPN подключения:

tun1: flags=51 mtu 1300
...
inet 192.168.135.236 --> 0.0.0.0 netmask 0xff000000

Routing tables

Internet:
Destination        Gateway            Flags   Refs      Use   Mtu  Prio Iface
default            10.0.0.138         UGS        4       64     -    12 iwn0
...
10.1/16            10.1.19.19         US         0        0     -     8 tun0
...
192/8 <---**--->   192.168.135.236    US         0        0     -     8 tun1

Список UNIX процессов теперь будет показывать две копии программы openconnect с разными параметрами и использующими разные "tun" устройства.

Интернет и обе сети клиентов "А" и "Б" могут быть использованы одновременно. Убедитесь что ваша система не позволяет маршрутизировать пакеты между интерфейсами и не может работать как роутер. Неправильное использование такой конфигурации может привести к открытию клиентских сетей напрямую в интернет.

Отключить любое из VPN соединений можно посылкой сигнала "HUP" соответствующему процессу openconnect.

Я надеюсь что эта заметка сделает вашу работу более удобной и покажет на примере что же происходит "за кулисами" VPN подключения. Как мы уже видели, просто создания туннеля и соответствующего устройства недостаточно. Нам необходимо понять работу и организацию клиентских сетей и внести изменения в маршрутизацию. При этом стандартные VPN клиенты часто нарушают работоспособность нашей собственной сети, делая дальнейшую работу невозможной.

Спасибо что зашли, Будьте благословенны! Денис

16 Декабря 2013 года.

---