问题及方案:

现环境是Open*** server端配置在IDC机房服务器上,并为每一个员工新建***帐号,员工在其电脑上自行安装客户端,用于连接公司内网。然非技术部门阅读技术文档有力较差,经常性需运维部门协助,考虑到员工多是位于办公室时才需访问内网,故打算在办公室搭建个***客户端,员工在公司期间则无需登陆***账号即可访问内网。


公司用的是pfsense做网关,故在pfsense上配置***客户端即可。以下是客户端配置指南。


一、 pfsense 证书管理

1.登录pfsense 

2. Add CAs

  • 从服务器拉取ca.crt 、 ca.key和client证书

  • Navigate to System —> Cert.Manager —> CAs —> Add

  • Descriptive name : CA描述名

  • Method : Import an existing Certificate Authority

  • Certificate data : copy server端拉取的ca.crt内容到证书数据

  • Certificate Private Key (optional) : copy server端拉取的ca.key的内容到证书私钥

  • Serial for next certificate : 空白

  • Click Save


3.添加客户端证书(*** server端新建客户端证书并拉取到本地):

  • Navigate to Certificates —> Add

  • Method : Import an existing Certificate

  • Descriptive name : client证书描述名

  • Certificate data : 从cilent证书中copy crt字段

  • Private key data : 从client证书中copy key字段

  • Click Save


二、 添加open***客户端

  • Navigate to *** —> Open*** —> Clients —> Add ( Click Plus symbol to add client )

  • Server mode : Peer to Peer ( SSL/TLS )

  • Protocol : 与server端保持一致,此处以udp为例

  • Device mode : tun

  • Interface : WAN

  • Server host or address : 服务端ip地址

  • Server port : 默认端口1194

  • Server hostname resolution : check boxes for the Infinitely resolve server

  • Description : 

  • Username : 服务端开启了用户验证功能则需输入用户密码,否则忽略

  • Password : 同上

  • TLS authenication : check boxes for the Enable authentication of TLS packets

  • Key : 从client证书中copy TLS key 字段

  • Peer Certificate Authority : 前文中导入的CA

  • Client Certificate : 前文中导入的客户端证书

  • Encryption Algorithm : 与服务端加密算法保持一致,服务端默认启用BF-CBC ( 128-bit )

  • Auth digest algorithm : SHA1 ( 160-bit )

  • Hardware Crypto : No Hardware Crypto Accceleration

  • Verbosity level : 3(recommended)

  • 设置隧道(动态获取)

  • Compression [ Enabled without Adaptive Compression ]


三、Create open*** interface

  • Navigate to Interface —> ( assign )

  • Click the Plus button to add new interface.The new interface will be named OPT1 with a network port of o***c1().

  • Click on OPT1 to edit the interface

  • Check boxes for the Enable interface

  • Description : Enter a description name for the interface here

  • Click the Save button


四、添加规则、路由

1.允许服务器端外网网段流量进入wan口(Firewall-->Rules-->wan-->Add)

2.允许隧道网段流量进入open***虚拟网口(Firewall-->Rules--> open***-->Add)

3.更改nat方式为手动模式(Navigate to Firewall —> NAT —> Outbound —> Manual Outbound NAT rule generation ( AON - Advanced Outbound NAT ))

4.***服务端添加客户端路由,并指定路由读取文件(此步未操作的话服务日志会提示:MULTI: bad source address from client [x.x.x.x], packet dropped)

备注:如果有多条外网线路,需指定客户端LAN口去服务端内网的策略路由,网关指向open*** gateway。


五、Verify Open*** Service

Click the Status —> Open***,Status should be UP . Recommentdation is to click on the Restart open*** Service button


六、Verify Open*** Logs

Select ment Status —> System Logs —> click Open*** tab

Look for confirmation in your logs:open***[65701]: Initialization Sequence Completed