web-dev-qa-db-ja.com

DebianでのSSTPクライアントの構成

Debian（安定した）サーバーを、SSTP VPNサーバーとして機能しているWindows Server 2008R2サーバーに接続する必要があります。 Debianサーバーに sstp-client をインストールできましたが、接続をバッ​​クグラウンドで実行できるように構成する方法がわかりません。さらに、構成プロセス全体について私が理解していないことがかなり多くあります。

インターネットで見つけたいくつかのアドバイスに従って、/etc/ppp/optionsにnoauthを追加して、リモートサーバーの認証を無効にしました。さらに、MS-CHAP-v2認証を強制するオプションrefuse-pap、refuse-eap、refuse-chap、refuse-mschapおよびrequire mppeを追加しました（Windowsサーバーが構成されています）それを受け入れ、他の人を受け入れない）。

端末から実行した場合

sstpc --log-level 4 --log-stderr --user USERNAME --password PASSWORD SERVER_IP

接続が機能し、別の端末を開くと、VPN経由でのみアクセスできるWebページにアクセスできます。

内容を含むファイルetc/ppp/peers/sstp-1を作成しようとしました

remotename sstp-1
linkname sstp-1
ipparam sstp-1
pty "sstpc --ipparam sstp-1 --log-level 4 --save-server-route --nolaunchpppd --user USERNAME --password PASSWORD SERVER_IP"
name USERNAME
plugin sstp-pppd-plugin.so
sstp-sock /var/run/sstpc/sstpc-sstp-1
usepeerdns
refuse-pap
refuse-eap
refuse-chap
refuse-mschap
require-mppe
noauth

次に、コマンドラインSudo pon sstp-1から実行します。接続が失敗し、Sudo plogが表示されます

pppd[4813]: Plugin sstp-pppd-plugin.so loaded.
pppd[4814]: pppd 2.4.5 started by root, uid 0
pppd[4814]: Using interface ppp0
pppd[4814]: Connect: ppp0 <--> /dev/pts/1
pppd[4814]: Could not connect to sstp-client (/var/run/sstpc/sstpc-sstp-1), Connection refused (111)
pppd[4814]: Exit.

私はこれすべてについていくつか質問があります：

  1. VPNにバックグラウンドで接続/切断できるように/etc/ppp/peers/sstp-1を設定する方法（スクリプトで使用するため）？
  2. Windowsサーバーは、自己署名証明書を使用してVPNトラフィックを暗号化します。上記の接続構成を使用すると、クライアントマシンに証明書をインストールする必要がないのはなぜですか？トラフィックは暗号化されていますか？

Joel Lehikoinenよろしくお願いします。

debianvpn
11
Joel Lehikoinen

  1. 設定を壊したのは、ptyで始まる行のコマンドラインオプションとして--userおよび--passwordを提供していたためです。ユーザー名はすでに次の行で指定されており、パスワードは/etc/ppp/chap-secretsで指定する必要があります。その行を次のように変更することで問題が修正されました

    pty "sstpc --ipparam sstp-1 --nolaunchpppd SERVER_IP"

    さらに、構成パラメータはSSTP構成ファイル/etc/ppp/optionsですでに指定されているため、/etc/ppp/peers/sstp-1を編集する必要はありません。

  2. 少なくともnoauthオプションを使用すると、PPPでサーバー認証が無効になるだけだと思ったようですが、sstp-clientも自己署名SSLサーバー証明書を受け入れますなしで苦情。

    回避策として、1つの可能性は、自己署名CA証明書を作成し、それを使用してサーバー証明書に署名し、sstp-clientのコマンドラインオプションとして--ca-cert /path/to/snakeoil-ca.pemを提供することです（つまり、 "pty "ファイルの行）。サーバーのSSL証明書を既知の値に制限します。

4
oseiskar