翻墙 | PPTP/L2TP+FreeRADIUS+MySQL搭建VPN认证和流量控制

接上次那篇PPTP的文(https://tomem.info/blog/2011/04/562)，这篇讲下如何搭建L2TP VPN。平台依然是CentOS 5.6 x86，源码方式安装。

说实在的搭建L2TP over IPSec VPN让人头痛不少，主要是因为需要好几个内核模块支持。因而如果你使用的是OpenVZ的VM的话基本上可以忽略这篇文章-2.6.32以下的内核不支持IPSec虚拟化。

如果是Xen的话，在确定能用PPTP的基础上（包括IP转发，etc），执行以下命令确认必需的模块都存在（xfrm_user可能编入了内核，所以没有检测）：

如果出现All IPSec modules are loaded则该VM有所有需要的内核模块，否则不能建L2TP over IPSec。

6月21日更新：最近搞了个日本的VPS，执行上面命令发现模块都存在但是都没加载，而且连ppp的也没有（lsmod | grep -w ‘af_key|ah4|esp4|ipcomp|xfrm4_tunnel|ppp_generic|ppp_mppe |ppp_deflate’） 结果在/etc/sysconfig/modules里面手工添加了。

———————————————————————————————————-

成功之后下载需要的软件包：

首先安装一些编译需要的软件包：

yum install bison flex lsof gmp gmp-devel libpcap libpcap-devel

然后下载OpenSwan、xl2tpd和rp-l2tp。

OpenSwan: http://www.openswan.org/code/

xl2tpd: http://www.xelerance.com/services/software/xl2tpd/

rp-l2tp: http://sourceforge.net/projects/rp-l2tp

OpenSwan编译安装：make programs && make install

xl2tpd：make && make install

rp-l2tp我们只需要其中的l2tp-control，执行以下命令：

———————————————————————————————————-

写IPSec的配置文件：

需要修改的地方：

protostack=auto改成protostack=netkey

最后加上

注意缩进！上面添加的几行必须是紧靠左边（左边不能有空格）。

然后新建l2tp-psk.conf和no_oe.conf（来自https://suoluo.org/2010/04/4/）

同样的要注意缩进。在两个conn之间的语句要向右缩进一格。

设置预置密钥：

最后修改/etc/sysctl.conf：

———————————————————————————————————-

测试下IPSec：

如果是类似如下结果就可以继续了（不能有Failed，N/A可以）。

Checking your system to see if IPsec got installed and started correctly:
Version check and ipsec on-path                                 [OK] Linux Openswan U2.6.33/K2.6.18-194.11.4.el5xen (netkey)
Checking for IPsec support in kernel                            [OK] SAref kernel support                                           [N/A] NETKEY:  Testing XFRM related proc values                      [OK] [OK] [OK] Testing against enforced SElinux mode                           [OK] Checking that pluto is running                                  [OK] Pluto listening for IKE on udp 500                             [OK] Pluto listening for NAT-T on udp 4500                          [OK] Two or more interfaces found, checking IP forwarding            [OK] Checking NAT and MASQUERADEing
Checking for ‘ip’ command                                       [OK] Checking /bin/sh is not /bin/dash                               [OK] Checking for ‘iptables’ command                                 [OK] Opportunistic Encryption Support                                [DISABLED]

pluto listening那个与lsof有关，如果显示failed检查是否装了lsof。

———————————————————————————————————-

测试通过后修改xl2tpd的配置：

如果你的ipsec verify结果中间也有SAref kernel support [N/A]的话，在xl2tpd里面就必须关掉saref，否则tail /var/log/secure会出现ERROR: netlink_get_spi for comp.0@server ip failed with errno 22: Invalid argument。

修改ppp配置：

建立xl2tpd的init script：

———————————————————————————————————-

最后对应的iptables的配置：

大功告成！

参考：

http://b.gkp.cc/2010/06/19/setup-ipsec-l2tp-on-centos-55/

https://suoluo.org/2010/04/4/

原文：http://tomem.info/blog/2011/04/577

==========

FreeRADIUS+PostgreSQL+OpenVPN搭建VPN认证系统

最近从Ramhost上又订了一个Nano plan，用来搭建认证VPN的系统
环境：Ubuntu 9.10 x86, 128M RAM
Freeradius 2.1.0, RADIUS for OpenVPN 2.1beta9, OpenVPN 2.1, PostgreSQL 8.4.4

OpenVPN是什么应该不用解释了。
FreeRADIUS是一个开源的RADIUS系统，目前是最为广泛使用的RADIUS，至于什么是RADIUS可以看这里：

1、安装组件

所需要的组件基本上都在Ubuntu的package source里面，用apt-get就可以装。

sudo apt-get install freeradius freeradius-postgresql postgresql openvpn build-essential libgcrypt11-dev

2、修改配置文件

Freeradius的配置文件位于/etc/freeradius

/etc/freeradius/clients.conf
这个文件控制连接的客户端的地址以及secret code。
地址不需要改变，因为我们是本地访问（openvpn到freeradius）。
secret要记下来，测试和写配置文件的时候要用。默认是testing123

/etc/freeradius/sql.conf
这个文件控制连接到sql的参数。
要改的地方：
database=”sql” 改成 database=”postgresql”
Connection info那里一般来说改密码就可以了。

/etc/freeradius/sql/postgresql/dialup.conf
取消sql_user_name = “%%Stripped-User-Name:-%%User-Name:-none}}”前面的注释，把下一行注释掉。

/etc/freeradius/sites-enabled/default
取消掉authorize、preacct和accounting段中sql前面的注释
注释掉所有的files和unix。

————————————————————-

Postgresql的配置文件做如下修改：

/etc/postgresql/8.4/main/postgresql.conf

找到listen_addresses，把引号里面的地址改成*

/etc/postgresql/8.4/main/pg_hba.conf

把local all all那里的ident改成md5
加入一行
host all all 0.0.0.0/0 md5

3、建立数据库

sudo -u postgres createuser radius --no-superuser --no-createdb --no-createrole -P

密码与sql.conf中connection info的密码一致。

sudo -u postgres createdb radius --owner=radius

然后

sudo cp /etc/freeradius/sql/postgresql/schema.sql ~/

psql -U radius radius < ~/schema.sql

然后连到sql上面，用psql或者pgadmin都可以。

psql里面输入如下命令：

insert into radgroupreply (groupname,attribute,op,value) values ('user','Auth-Type',':=','Local');
insert into radgroupreply (groupname,attribute,op,value) values ('user','Service-Type',':=','Dialout-Framed-User');
insert into radgroupreply (groupname,attribute,op,value) values ('user','Framed-IP-Address',':=','255.255.255.255');
insert into radgroupreply (groupname,attribute,op,value) values ('user','Framed-IP-Netmask',':=','255.255.255.0');
insert into radgroupreply (groupname,attribute,op,value) values ('user','Acct-Interim-Interval',':=','600');
insert into radcheck (username,attribute,op,value) values ('test','Cleartext-Password',':=','test');
insert into radusergroup (username,groupname) values ('test','user');

最后q退出。

4、初步测试

sudo /etc/init.d/freeradius stop
sudo freeradius -X &
radtest test test localhost 1649 testing123

如果出现类似如下信息：

 Sending Access-Request of id 204 to 127.0.0.1 port 1812
 User-Name = "test"
 User-Password = "test"
 NAS-IP-Address = 255.255.255.255
 NAS-Port = 0
 rad_recv: Access-Accept packet from host 127.0.0.1:1812, id=204, length=38
 Service-Type = Framed-User
 Framed-IP-Address = 255.255.255.255
 Framed-IP-Netmask = 255.255.255.0

即Access-Accept时，则说明freeradius和postgresql已经成功地连接起来了，否则要退回去检查配置。

5、配置OpenVPN

首先要把OpenVPN和Freeradius连接起来，这里是通过OpenVPN的插件Radiusplugin for OpenVPN。

wget http://www.nongnu.org/radiusplugin/radiusplugin_v2.1_beta9.tar.gz
tar zxvf radiusplugin_v2.1_beta9.tar.gz
cd radiusplugin/
make

应该会在当前目录下生成radiusplugin.so和radiusplugin.cnf，拷到/etc/openvpn。
修改/etc/openvpn/radiusplugin.cnf：

OpenVPNConfig=/etc/openvpn/openvpn.conf
sharedsecret= testing123
这里secret要与clients.conf中间的一致。
同时后面server段中的name要改成FreeRadius服务器的IP（本例中是本机localhost）

然后生成OpenVPN的key：

sudo su
cp -R /usr/share/doc/openvpn/examples/easy-rsa /etc/openvpn
cd /etc/openvpn/easy-rsa/2.0
. ./vars
./clean-all
./build-ca
./build-key-server server
./build-key client1
./build-dh

然后把生成的ca.crt拖到客户端上，用winscp连到ssh就可以。

配置OpenVPN服务端：

sudo nano /etc/openvpn/openvpn.conf

dev tun
proto tcp
port xxxx

ca /etc/openvpn/easy-rsa/2.0/keys/ca.crt
cert /etc/openvpn/easy-rsa/2.0/keys/server.crt
key /etc/openvpn/easy-rsa/2.0/keys/server.key
dh /etc/openvpn/easy-rsa/2.0/keys/dh1024.pem

user nobody
group nogroup
server 10.8.0.0 255.255.255.0

client-cert-not-required
username-as-common-name
plugin /etc/openvpn/radiusplugin.so /etc/openvpn/radiusplugin.cnf
status /var/log/openvpn/status.log 1
log /var/log/openvpn/openvpn.log

persist-key
persist-tun

push "redirect-gateway def1"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 208.67.222.222"

auth RSA-SHA512
cipher AES-256-CBC

comp-lzo

客户端：

client
dev tun
proto tcp

remote your-server-address xxxx

resolv-retry infinite
nobind

persist-key
persist-tun

script-security 2
auth RSA-SHA512
cipher AES-256-CBC

ca ca.crt
auth-user-pass

verb 3

ns-cert-type server

comp-lzo

再向/etc/rc.local中加入如下内容：

# add iptables rule for openvpn
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o venet0 -j SNAT --to-source your-server-ip-address

# restart openvpn after 1 hour in case tun device got broken on reboot
sleep 3600
/etc/init.d/openvpn stop
sleep 10
/etc/init.d/openvpn start

加到exit 0前面。

重启等一个小时之后连接服务器应该会提示输入用户名密码，之后看到OpenVPN变绿就表示成功了。可以连到whatsmyip.org检查。

用户名密码可以通过pgadmin连到sql上面去修改，在radcheck里面。

本文参考了如下资料，在此表示感谢：

http://blog.chinaunix.net/u1/36506/showart_457803.html

https://forum.ramhost.us/bbs/viewtopic.php?id=4

http://wiki.freeradius.org/SQL_HOWTO

http://wiki.freeradius.org/Postgres_DDL_script

http://www.linuxsir.org/main/node/275

原文：http://tomem.info/blog/2010/06/207

==========

FreeRADIUS+Postgresql+OpenVPN续：流量控制

insert into radgroupreply (groupname, attribute, op, value) values ('user','Max-Monthly-Traffic', ':=', '5368709120');

update request 
                Group-Name := "%sql:SELECT groupname FROM radusergroup WHERE username='%User-Name' ORDER BY priority}"
}
if ("%sql: SELECT SUM(acctinputoctets+acctoutputoctets) FROM radacct WHERE username='%User-Name' AND date_trunc('day', acctstarttime) >= date_trunc ('month', current_date) AND date_trunc('day', acctstoptime) < = last_day(current_date);}" >= "%sql: SELECT value FROM radgroupreply WHERE groupname='%Group-Name' AND attribute='Max-Monthly-Traffic';}") 

reject

CREATE OR REPLACE FUNCTION last_day(date) RETURNS date AS $$

SELECT (date_trunc('MONTH', $1) + INTERVAL '1 MONTH - 1 day')::date; $$ LANGUAGE 'sql' IMMUTABLE STRICT;

Attribute Max-Monthly-Traffic 3003 integer