Konfigurationsanleitung. Zugang zum VPN (Linux)

Transkript

1 Universität Potsdam Zentrale Einrichtung für Informationsverarbeitung und Kommunikation Konfigurationsanleitung Zugang zum VPN (Linux) Autoren: Stand: Einleitung Rainer Herbst, Tobias Mai, Jens Tebner Über ein virtuelles privates Netzwerk (VPN) ist es möglich, aus dem Internet auf Netzwerkressourcen aus dem Intranet an der Universität Potsdam zuzugreifen. Die ZEIK unterstützt zwei Verfahren zur Herstellung der VPN-Verbindung zum Einen über das sogenannte PPTP-Protokoll (Point-to-Point-Tunneling-Protocol), zum Anderen mit Hilfe eines speziellen Programms (Cisco AnyConnectClient) über ein proprietäres Protokoll. Zum Zugang zum VPN wird ein entsprechend konfigurierter Zentraler Universitätsaccount benötigt. Unter können Sie prüfen, ob Sie bereits Zugang zum VPN haben oder welche Schritte Sie unternehmen müssen, um diesen zu erlangen. VPN-Verbindung mit dem Cisco AnyConnectClient Der Cisco AnyConnectClient unterstützt neben Microsoft- und Apple-Betriebssystemen auch Linux, laut Herstellerdokumentation zumindest die folgenden Linux Distributionen: - Red Hat Enterprise Linux 5 Desktop - Ubuntu 9.10 Im folgenden wird die Installation am Beispiel von Ubuntu 9.10 beschrieben. Vorbereitung und Installation Im Software-Center (unter Anwendungen zu finden) muss überprüft werden, ob das Sun Java 6.0 Plugin für den Browser installiert ist. Wenn nicht, dann muss es unter Freie Software erhalten installiert werden.

2 Jetzt kann im Browser die Webseite geöffnet werden. Folgendes Bild sollte im Browser erscheinen: Als Group bitte SSLVPN auswählen, bei Username den Namen Ihres zentralen Universitäts- Accounts mit dem und bei Password das Passwort Ihres dezidierten VPN-Accounts ein, falls Sie über einen solchen verfügen, sonst das Passwort Ihres zentralen Universitätsaccounts.

3 Je nach verwendeter Sicherheitsstufe, könnten verschiedene Sicherheitswarnungen erscheinen: Das System fragt unter Umständen auch während der Installation nach Ihrem Passwort. Damit ist das Passwort gemeint, mit dem Sie sich an Ihrem Ubuntu-System anmelden, (noch) nicht das Passwort für den Zugang zum VPN: Am Ende des Installationsprozesses kommt diese Meldung:

4 Der Cisco Client ist als Symbol in der Ubuntu Statusleiste sichtbar. Wenn ein Vorhängeschloss zu sehen ist, dann ist die VPN-Verbindung hergestellt. Erneuter Aufbau der Verbindung Nach der einmaligen Installation steht der Client immer als Icon in der Statusleiste zur Verfügung. Wenn dieses Symbol nicht zu sehen ist, dann kann man den Client auch manuell über: Anwendungen Internet Cisco Anyconnect VPN Client starten. Dann kann die übliche Einlogprozedur erfolgen: Bitte wählen Sie im Feld Connect to: den Server sslvpn.uni-potsdam.de und im Feld Group die Gruppe SSLVPN. Als Password geben Sie das Passwort Ihres dezidierten VPN-Accounts ein, falls Sie über einen solchen verfügen, oder das Passwort Ihres zentralen Universitätsaccounts. Bei erfolgreichem Verbindungsaufbau erscheint in der Taskleiste wieder das kleine Vorhängeschloss:

5 VPN-Verbindung über PPTP Bei vielen Linux-Distributionen müssen die für den Verbindungaufbau benötigten Programmpakete selbstständig nachinstalliert werden. Insbesondere muss das PPTP-Client-Paket installiert werden, dieses heist je nach Distribution einfach pptp (SuSE) oder pptp-linux (Ubuntu). Der Verbindungsaufbau kann skriptbasiert über die Kommandozeile (CLI Command Line Interface) oder mit Hilfe der grafischer Werkzeuge (GUI Graphical User Interface) der entsrpechenden Distribution angestossen werden. Beide Wege werden im folgenden beschrieben. GUI-basierter Verbindungsaufbau Der GUI-basierte Verbindungaufbau wird am Beispiel der grafischen Oberfläche Gnome und der Verwendung des Networkmanagers erläutert, ein Übertrag auf KDE sollte jedoch ohne weiteres möglich sein, da auch hier der Networkmanager Verwendung findet. Zuerst müssen weitere Programmpakete für die GUI-Werkzeuge installiert werden. Installation unter Ubuntu 9.04 Jaunty Jackalope und 9.10 Karmic Koala Es ist lediglich nötig das Paket network-manager-pptp sowie dessen Abhängigkeiten zu installieren, was über die Synaptic-Paketverwaltung oder die Konsole (sudo apt-get install network-managerpptp) erfolgen kann. network-manager-pptp Anschließend müssen meist einige Kernelmodule (welche soll hier nicht weiter interessieren) neu gestartet werden, was aber ohne großen Aufwand durch einen Neustart des Systems gewährleistet wird. Installation unter opensuse 11.1 und opensuse 11.2 Es ist lediglich nötig die Pakete networkmanager-pptp-gnome und networkmanager -pptp sowie deren Abhängigkeiten zu installieren, was über über YAST oder die Konsole (sudo zypper install networkmanager-pptp networkmanager-pptp-gnome) erfolgen kann. networkmanager-pptp networkmanager-pptp-gnome Anschließend müssen meist einige Kernelmodule (welche soll hier nicht weiter interessieren) neu gestartet werden, was aber ohne großen Aufwand durch einen Neustart des Systems gewährleistet wird. VPN-Konfiguration Die VPN-Konfiguration kann über den Networkmanager im Panel oder das Systemmenü (>System>Einstellungen>Netzwerkverbindungen) erfolgen. Dort wählt man Hinzufügen und und als Verbindungstyp Point-to-Point-Tunneling- Protocoll (PPTP) aus.

6 Als Name der Verbindung wählt man den Namen aus der später im Networkmanager erscheinen soll, z.b. VPN-Uni-Potsdam, als Gateway wird vpn.uni-potsdam.de eingetragen. Als Benutzername und Passwort werden die zuvor unter Vorbereitung/Installation angegebenen Daten verwendet, wobei an den Benutzernamen noch angehängt werden muss. Unter Erweitert muss nun nur noch die Point-to-Point Verschlüsselung (MPPE) gesetzt werden. Verbindungsname: VPN-Uni-Potsdam Gateway: vpn.uni-potsdam.de Benutzername: Passwort: Passwort des zentralen Universitätsaccounts Aktivierung der Point-to-Point-Verschlüsselung (MPPE, s.u.)

7 Konfigurationsabschluss Abb.4.1 Konfiguration der Verschlüsselung Nach dem Bestätigen und Schließen aller offenen Fenster durch OK bzw. Anwenden steht im Networkmanager die VPN-Verbindung zur Auswahl. Bei der ersten Auswahl der VPN-Verbindung muss nun noch der Zugriff auf den Gnome- Schlüsselbund immer gewährt werden. Falls zuvor noch nicht geschehen muss zum speichern der Benutzerdaten noch ein Sicherheitspasswort (Gnome-Schlüsselbund) festgelegt werden, was dann bei jeder Einwahl angegeben werden müsste es ist hier auch möglich einfach keines einzugeben (dann erfolgt auch keine Abfrage). Die erfolgreiche Einwahl ist an einem kleinem Schloss beim Panelsymbol des Networkmanagers zu erkennen. Fehlerbehebung Je nach verwendeter Distribution kann es vorkommen, dass Benutzername und Passwort nicht akzeptiert werden. Dieser Fehler lässt sich beheben indem man diese bei der Konfiguration weg lässt und sie dann aber bei der ersten VPN-Einwahl angibt und speichert.

8 CLI-basierter Verbindungsaufbau Wie (fast) alle Verwaltungs-Aufgaben unter Linux kann der Verbindungsaufbau auch per Skript an der Kommandozeile erfolgen. Dieser Weg empfiehlt sich unter anderem, wenn der oben beschriebene Weg über die grafischen Tools fehlschlägt ohne dass ausreichende Informationen über die Gründe angezeigt werden. In einem ersten Schritt muss die Datei /etc/ppp/options durch eine angepasste Version ersetzt werden: Listing 1: Editieren der Datei /etc/ppp/options bash# cd /etc/ppp/ bash# cp options options.bak bash# vi options Inhalt der Datei durch Listing 2 ersetzen! Listing 2: Inhalt der Datei /etc/ppp/options # das ist die Datei /etc/ppp/options # erzeugt ein lock File, damit Prozesse exklusiv auf das serielle Device zugreifen koennen lock # damit muss sich der Peer (VPN-Server) nicht selbst authentifizieren noauth # maximum receive unit mru 1500 # maximum transmit unit mtu 1500 # damit koennen einfache Benutzer keine default Routen fuer das ppp-device definieren nodefaultroute # kein compression control protocol #noccp # auskommentiert, da vpn scheinbar ccp verlangt # kein ipxcp und ipx noipx # keine Verhandlungen ueber eine magicnumber fuer die Verbindung nomagic # keine Van Jacobson-artige TCP/IP Header-Kompression novj # keine BSD-Kompression nobsdcomp # keine Deflate-Kompression nodeflate # Debug-Ausgaben # koennen in ein Logfile geschrieben werden # siehe syslog.conf(5) debug # pppd soll das carier detect der WLAN-Karte ignorieren # damit kann man auch kurz die Reichweite eines Accesspoint verlassen

9 local # pppd initiiert die Verbindung und wartet (passiv) auf ein LCP Packet vom Peer passive # pppd wird nicht automatisch im Terminal forken und zu einem Hintergrundprozess werden # fuer die Testphase sinnvoll nodetach # seit Mitte 2006 ist 128-bit mppe-verschlüsselung Pflicht require-mppe-128 Danach wird ein Shell-Skript (vpn_uni.sh, s. Listing 3) angelegt und an die Gegebenheiten Ihres Rechners angepasst. Insbesondere müssen im Abschnitt Konfiguration der Accountname (NUTZER), das Passwort (PASSWORT) und gegebenenfalls die Bezeichnung des Netzwerkinterfaces (INTERFACE, häufige Werte sind eth0 oder eth1) geändert werden. Danach wegen des eingetragenen Passwortes die Zugriffsrechte auf den Nutzer beschränken (chmod 700 vpn_uni.sh) und starten. Listing 3. Shell-Skript vpn_uni.sh #!/bin/bash # Konfiguration NUTZER='yourname@uni-potsdam' PASSWORT=yourpass INTERFACE=eth0 VPNHOST=vpn.uni-potsdam.de # Ende Konfiguration # tabula rasa sudo pkill pptp # create the ppp0 interface sudo route del -host $VPNHOST sudo route add $VPNHOST $INTERFACE sudo pptp $VPNHOST name $NUTZER password $PASSWORT & sudo sleep 20 sudo route add default ppp0 sudo route del -host $VPNHOST ppp0 # some info for use SUCC=`/sbin/ifconfig ppp0 grep `; if [ "x$succ"!= "x" ]; then echo "VPN-Verbindung hergestellt."; else echo "Bitte spaeter noch mal versuchen! oder die WLAN-Sprechstunde nutzen!" fi Das Skript benötigt ca. 30 Sekunden und erzeugt eine Fülle von Debug-Meldungen, die bei der Problemsuche hilfreich sein können. Zum Schluss sollte die Meldung VPN-Verbindung hergestellt. erscheinen, damit ist der Rechner virtuell mit dem Netzwerk der Universität verbunden.

10 Nützliche Links