AnyLink：一款基于ocserv的 SSL VPN 企业级解决方案

最新推荐文章于 2024-09-30 11:03:39 发布
最新推荐文章于 2024-09-30 11:03:39 发布
阅读量2k 收藏 4
点赞数
文章标签： ssl 网络协议 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Nyarime/article/details/134268111
版权

AnyLink 是一款 SSL VPN 软件，它可以兼容 AnyConnect 以满足对企业内网的接入。另外你也可以像 x-ui 那样分配用户组以及规则，总之在 Clash 纷纷删库后使用三层VPN当梯子确实是个退而求其次的方案。本文以CentOS 7为例，简单介绍 AnyLink 的部署及使用技巧。

准备工作

  1. CentOS 7 服务器（AnyLink 服务端仅在 CentOS 7、CentOS 8、Ubuntu 18.04、Ubuntu 20.04 测试通过，因此奶昔选择 CentOS 7）
  2. 获取 anylink-deploy.tar.gz 并上传至服务器
  3. 获取域名证书（腾讯云、阿里云都可以免费签一年）

确认好网络环境

AnyLink 的 link_mode 参数有 tun、macvtap和tap模式。**当然作者不推荐使用tap模式，实际测试下性能确实会大幅衰减。**区别tun和macvtap这俩模式主要取决于环境，这边简单描述下就懂了。

tun模式

一般是云服务器使用，你可以理解成 NAT 了一层。（VMware中的NAT模式）

即VPN客户端能访问服务器内网，但服务器内网不能访问VPN客户端，就像在公司网络中放了一台路由器，VPN客户端则是这台二级路由下的一个主机。被代理的IP段叫做安全路由（router），不被代理的IP段叫做非安全路由（norouter）。

为了方便演示我购买了一台云服务器，按 AnyLink 默认配置 192.168.90.0/24 （与服务器内网不同段）为例VPN客户端分配的IP为 192.168.90.100-200，其网卡为 eth0 并出于 172.24.135.36/20 这个VPC中。

lonw8q27.png

VPN客户端连接的地址会以 /conf/server.toml 中所设定的内网（默认为 192.168.90.0/24）进行分配并作为安全路由，例如要访问服务器的VPC网络，在部署完成后需在面板添加 172.24.135.0/20 为安全路由。

macvtap模式

与 tun 模式不同的是，macvtap 模式少了一层NAT，直接接在服务器内网上（VMware中的桥接模式）

VPN客户端在连上后分配的是服务器内网同段的地址，相当于是直接连接物理网络。因此 /conf/server.toml 中的网络参数需与服务器网卡一致，区别在于IP分配范围以避免IP冲突问题。

如何给VPN客户端发公网IP

扯个题外话，例如我有宿迁移动 221.131.165.129/25 所有IP地址的使用权，但除业务外只有 200 - 254 属于空闲IP。那么使用macvtap模式设置的VPN客户端分配的IP地址池应为：

#客户端分配的ip地址池
ipv4_master = "eth0"
ipv4_cidr = "221.131.165.129/25"
ipv4_gateway = "221.131.165.129"
ipv4_start = "221.131.165.200"
ipv4_end = "221.131.165.254"

当连接成功后，服务器将会分配 221.131.165.200-254 （按顺序或管理面板固定IP）给VPN客户端。若内网环境为公网，则可以做到发公网IP的目的。

服务器设置

安全组又叫防火墙，云厂商默认开启的东西。AnyLink需要开放443和8800，分别用于连接和管理面板，有安全考虑的同学可以自行放行，一般我简单粗暴设置全放行。

lonx614x.png

安全组开放后，要关闭系统中的 selinux 和防火墙

如果你是本地机房也需要开放一个公网IP地址+端口供客户端远程连接，并且关闭selinux和firewalld

  1. 关闭selinux

    sed -i 's/SELINUX=enforcing/SELINUX=disabled/' /etc/selinux/config # 永久关闭selinux（重启后生效）
setenforce 0 # 临时关闭selinux（不需要重启，立即生效）

  2. 关闭firewalld

    systemctl stop firewalld # 临时关闭防火墙
systemctl disable firewalld # 永久关闭防火墙

部署 AnyLink

安装和配置

  1. 下载anylink，点击获取 anylink-deploy.tar.gz ，然后上传到服务器

  2. SSH连接到，解压二进制包到/usr/local目录

    tar -xzvf anylink-deploy.tar.gz -C /usr/local/

  3. 进入anylink目录

    cd /usr/local/anylink-deploy

  4. 生成密码password的密文，请修改为你自己要设置的密码

    注意密码不能有$符号，会被当成变量，也可以用单引号包起来

    ./anylink tool -p password

    记录下 Passwd: 后的密钥，等会改配置文件要用

  5. 生成jwt密钥

    ./anylink tool -s

    记录下 Secret: 后的密钥，等会改配置文件要用

修改 server.toml 文件

打开 https://github.com/bjdgyc/anylink/blob/main/server/conf/server-sample.toml 下载配置模板，然后重命名为 server.toml，开始修改配置文件：

#系统名称
issuer = "XX公司VPN"
#后台管理用户
admin_user = "admin"
#pass 123456
admin_pass = "$2a$10$UQ7C.EoPifDeJh6d8.31TeSPQU7hM/NOM2nixmBucJpAuXDQNqNke"
# 留空表示不开启 otp, 开启otp后密码为  pass + 6位otp
# 生成 ./anylink tool -o
admin_otp = ""
jwt_secret = "abcdef.0123456789.abcdef"

系统名称在等会会用到，可以带空格。另外建议把后台用户名 admin_user 改掉，使用 admin 可能会存在风险。然后将上一步， Passwd: 后和 Secret: 后的密钥依次替换admin_pass和jwt_secret对应引号的内容。

往下有个 link_mode ，若为NAT模式则保持tun即可，想桥接到内网中请改为macvtap。将 ipv4_master 的 eth0 设置为服务器网卡，使用 ip addr 指令就能看到，一般不是eth0就是ens192。

接下来找到发布默认域，改成你的域名。例如 vpn.itxe.net （与后面的证书保持一致），这个等下改下发配置文件也会用到，与系统名称一样要记住。

# 要发布的默认域
default_domain = " vpn.itxe.net"

最后是启用压缩功能，这个吃CPU算力。默认配置文件中不开，但正常的服务器开了反而节流也不会影响到速度，能相对的提升小包的转发性能。

修改 profile.xml 文件

从这个文件的23行开始看：

        <BackupServerList>
            <HostAddress>localhost</HostAddress>
        </BackupServerList>
    </ClientInitialization>

    <ServerList>
        <HostEntry>
            <HostName>VPN Server</HostName>
            <HostAddress>localhost</HostAddress>
        </HostEntry>
    </ServerList>

我们需要修改两个 HostAddress 为上面的发布默认域，另外我司sslvpn使用的是443端口，则写作

<HostAddress>vpn.itxe.net:443</HostAddress>

另外将 HostName 改为刚刚写的名称：

<HostName>XX公司VPN</HostName>

当VPN客户端首次连接后，AnyLink服务器会向客户端下发该配置文件，以确保下次连接时可以直接在列表中选择该服务器~~，如你有多个sslvpn服务器请用 xx公司VPN - xxx 来区别，并将 中放入其他服务器。~~

传SSL证书

选择签发证书的nginx格式，会得到fullchaim.pem和private.key俩文件。fullchaim.pem重命名为vpn_cert.crt，private.key重命名为vpn_cert.key并上传至 /usr/local/anylink-deploy/conf 中。这个证书可以考虑配置好后吊销，因为AnyLink内置了 Let’s Encrypt 证书且定时更新。

启动前需要设置的内容

tun

  1. 开启服务器ipv4转发

    echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf

  2. 立即生效

    sysctl -p

  3. 设置nat，请替换网卡名称为前面查看的内网网卡名称，另外，如果server.toml文件里面客户端的IP地址池不是默认的192.168.90.0/24，也请修改为对应的IP地址池

iptables -t nat -A POSTROUTING -s 192.168.90.0/24 -o eth0 -j MASQUERADE
  1. 查看设置是否生效
iptables -nL -t nat

若显示上面配的规则，则ipv4转发生效

  1. 安装iptables-services，用于保存iptables配置，永久生效
yum install -y iptables-services
  1. 设置开机自启
systemctl enable iptables.service
  1. 保存当前iptables设置
service iptables save

若提示 iptables: Saving firewall rules to /etc/sysconfig/iptables: [ OK ] 则说明配置成功

macvtap

若选择桥接模式，请在 server.toml 中禁用NAT

#是否自动添加nat
iptables_nat = false

创建日志文件目录

请修改为自己配置的日志路径，不创建会启动失败，如果没有打开日志输出，可以跳过

mkdir /usr/local/anylink-deploy/log

启动 AnyLink

  1. 复制service文件到系统中

    cp /usr/local/anylink-deploy/systemd/anylink.service /usr/lib/systemd/system/

  2. 启动anylink

    systemctl start anylink
systemctl enable anylink

  3. 查看启动状态

    systemctl status anylink

看到绿色的 Active: active (running) 则说明AnyLink启动成功。

配置管理面板

访问地址公网IP+端口（默认8800），输入账号（admin）和 密码（password）点击登录

http://vpn.itxe.net:8800

自定义 SSL VPN

选择 其他设置 - VPN 对外地址，修改为配置文件中写的默认域

修改 Banner 信息及自定义首页，Banner信息将会在登录成功后在客户端显示

lonyu2tq.png

配置自动更新证书

选择 其他设置 - 证书设置 - Let’s Encrypt证书，按照api填写就好了。这样就不用担心证书过期而报信任错误，每3个月将会自动续期一次。

lonyvvbo.png

企业配置项

如果你想搞统一认证账号，我推荐你搭个WinRadius（搞AD域再弄，或是freeredius指令我想对于小白是并不友好的），然后交给 Radius 服务器来认证

lonz19sw.png

WinRadius下载： https://www.123pan.com/s/WekeVv-SKSY3.html

由于该软件并不支持第三方登录的OTP，在此我配置了公司的LDAP：

lonyy2ut.png

另外默认是sqlite3存储数据库，可能较为简单的是mysql数据库对接？但我还没尝试过，还请其他dalao研究以后在底下评论区告知。

客户端指引下载

访问 https://devops-100tal.oss-cn-beijing.aliyuncs.com/vpnuserguide/vpnuserguide.htm 里面教程写的清清楚楚，这里就不多赘述可以自己慢慢看

Windows 客户端

win10-5.0.02075 版

win10-4.10 版

win10 ARM64(Surface pro X/Raspberry Pi) 版

win7/win8 版

macOS 客户端

mac 客户端（13.0 以上）

mac 客户端（10.11 以上/ 支持OS 11 Big Sur 版）

mac 客户端（Maverick 10.9 版/Yosemite 10.10 版）

注：更新客户端版本时，先按照如下方法卸载掉老客户端后再安装，不要直接把程序仍到回收站，否则会出现无法安装的情况

打开桌面“访达 ”，选择左边的 “应用程序 ”，找到 “Cisco”文件夹下的 “Uninstall Anyconnect”，双击卸载时输入电脑的开机密码即可完成卸载

Android

Android用户

VPN客户端APK安装包

https://play.google.com/store/apps/details?id=com.cisco.anyconnect.vpn.android.avf&hl=zh

iOS

登录 app store，搜索“cisco anyconnect”，下载安装 VPN客户端

https://apps.apple.com/cn/app/cisco-secure-client/id1135064690

Nyarime
关注
AnyLink Vpn办公网部署，用于安全办公
qq_14902381的博客
04-23 2587
AnyLink 是一个企业级远程办公 sslvpn 的软件，可以支持多人同时在线使用。为了省钱就用开源的吧。
ah_anylink:使用 www.actionherojs.com 的网关适配器模板
06-25
ah_anylink 使用网关适配器模板 序列 按顺序： ANYLINK.PROXY -> ANYLINK.IN.MEDIATOR -> ANYLINK.ENDPOINT -> 主机 输出序列： 主机 -> ANYLINK.ENDPOINT -> ANYLINK.OUT.MEDIATOR -> ANYLINK.PROXY 代理 ...
【Vyos-开源篇-21】- VyOS 部署 AnyLink SSLVPN 多种网络模式详解
杨杨得亿博客
09-14 1770
文章介绍：使用当前最新滚动版vyos-1.5.0部署AnyLink SSLVPN。
anylink
henry418967的专栏
10-22 516
了解下anylink吧 AnyLink用来将大量异构的系统连接在一起，生成一个整合的平台。AnyLink 遵循国际标准，因此可以使用大多数的技术，从大机到 Web Service等。 AnyLink既是可以支持企业灵活应对市场变化的多渠道整合解决方案，也是将多种渠道及核心系统之间的内部通讯协议通过平台进行转换和数据分发的核心基础解决方案。   ...
Docker②_安装部署Anylink_VPN
参考书籍：《C语言程序设计》《数据结构》《C++ Primer》《Effective C++》《STL源码剖析》《现代操作系统》《UNIX环境高级编程》《图解TCP/IP》《图解HTTP》《Linux高性能服务器编程》《剑指Offer》《算法导论》
08-08 1776
Docker②_安装部署Anylink_VPN（在Linux环境下用Docker部署了Anylink作为公司VPN，Docker拉取镜像pull+创建密码+配置文件+开放端口）
轻松构建一套企业级 VPN 解决方案
RAB
04-04 1914
轻松构建一套企业级 VPN 解决方案。
AnyLink注塑机监控解决方案.docx
05-03
【AnyLink注塑机监控解决方案】是一个针对注塑机设备管理的专业化系统，旨在提升生产效率，降低成本，增强设备利用率。在传统的注塑机管理中，设备信息的收集和处理主要依赖人工，导致数据实时性和准确性不足。而...
华宏Anylink上网卡驱动 v10 官方版
07-02
AnyLink能够迅速应对多变的业务环境，不仅可以适用于银行、保险等金融领域，也可应用于制造、通信、政府等所有具有对内外接口整合系统的领域，是最优化系统性能和扩展性的理想接口方案。AnyLink介绍AnyLink是Tmax...
ANYLINK开发文档
09-21
### ANYLINK开发文档知识点概述 #### 一、文档概览 **标题与描述**：“ANYLINK开发文档”主要介绍了一套面向工业物联网领域的API接口及其使用方法，旨在帮助开发者更好地理解并利用这些接口来实现对工业物联网设备...
Anylink安装使用教程.pdf
05-24
Anylink安装使用教程.pdf
AnyLink 企业级远程办公 SSLVPN 安装与使用指南
gitblog_00407的博客
08-09 705
AnyLink 企业级远程办公 SSLVPN 安装与使用指南 anylinkAnyLink是一个企业级远程办公 ssl vpn 软件，可以支持多人同时在线使用。基于 openconnect 协议开发，并且借鉴了 ocserv 的开发思路，可以完全兼容 AnyConnect 客户端。项目地址:https://gitcode.com/gh_mirrors/an/anylink 目录结构及介绍 根目录...
Anylink 安装教程 及 客户端之间互联
⎛⎝世界⎠⎞的博客
09-08 7038
在云主机上部署完成 Anylink 远程办公系统后，通过AnyConnect客户端连接后发现 客户端之间无法互通。（ICMP ping等）docker anylink anyconnect
AnyLink 开源项目教程
gitblog_00381的博客
08-09 820
AnyLink 开源项目教程 anylinkAnyLink是一个企业级远程办公 ssl vpn 软件，可以支持多人同时在线使用。基于 openconnect 协议开发，并且借鉴了 ocserv 的开发思路，可以完全兼容 AnyConnect 客户端。项目地址:https://gitcode.com/gh_mirrors/an/anylink 项目介绍 AnyLink 是一个基于 openconn...
SSL VPN | Easyconnect下载&安装&使用 （详尽）
最新发布
Frost_Descent的博客
09-30 3785
EasyConnect是一款远程连接工具，为用户提供简便、快捷的远程访问和控制解决方案。
anylink安装使用教程
10-12
AnyLink是一款功能强大的软件，用于实现将不同设备之间的文件同步和共享。下面是安装使用AnyLink的教程： 1. 下载和安装：首先，打开浏览器并访问AnyLink的官方网站。在网站上找到并下载适合您设备操作系统的AnyLink安装程序。然后，双击安装程序文件，按照提示完成安装过程。 2. 创建账户：安装完成后，打开AnyLink应用程序。您将被要求创建一个账户。按照页面上的指示填写必要的信息，例如用户名和密码。确保您使用一个强密码来保护您的账户安全。 3. 连接设备：登录您的AnyLink账户后，您需要连接您的设备。在AnyLink应用程序中，选择“连接设备”选项。这将打开一个二维码扫描器。在另一个设备上，打开AnyLink应用程序，并选择“扫描二维码”选项。使用扫描器将二维码扫描到另一个设备上，以建立设备之间的连接。 4. 文件同步和共享：一旦设备连接成功，您可以开始同步和共享文件了。在AnyLink应用程序中，选择“文件同步”选项。您可以选择将特定文件夹中的文件与其他设备同步，或者选择在设备之间共享某个文件夹。点击“开始同步”按钮，即可开始同步或共享文件。 5. 其他功能：AnyLink还提供了其他一些有用的功能，例如文件备份和远程访问。您可以在应用程序中的设置菜单中查找和配置这些功能。 总结：AnyLink是一款非常实用的软件，让您能够轻松地将不同设备之间的文件同步和共享。通过按照上述教程进行安装和使用，您可以更好地利用这款软件，提高工作效率和文件管理系统的便利性。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值