ocserv

ocserv (noto anche come server di OpenConnect) è un open source di comando-line OpenConnect VPN soluzione (Virtual Private Network), alimentato da SSL (Secure Sockets Layer). E 'progettato per funzionare su qualsiasi server GNU / Linux che implementa il protocollo SSL VPN AnyConnect. Il software è sicuro, configurabile, portatile, veloce, piccolo, e dipende da protocolli standard, come Datagram TLS e TLS 1.2.Features a una funzionalità glanceKey includono la piena compatibilità con il client VPN OpenConnect. supporto sperimentale per altri client VPN AnyConnect SSL, la possibilità di consentire agli utenti di VPN di autenticarsi utilizzando un certificato, un metodo di autenticazione password o qualsiasi combinazione di questi due metodi. Un processo di lavoro senza privilegi viene assegnato automaticamente agli utenti autenticati, che sarà anche ottenere un IP e di rete del dispositivo (tun) da un pool di indirizzi configurabile.
Tra le altre caratteristiche interessanti, possiamo parlare di una interfaccia di gestione che consente di monitorare gli utenti registrati, il supporto per i wrapper TCP, il supporto per i protocolli di rete IPv4 e IPv6, il supporto per percorso spingere, il supporto per la memorizzazione della chiave server TPM (Trusted Platform Module), su una smart card o su un HSM (Hardware Security Module). Un'altra caratteristica interessante è che non offre supporto per la compressione (vedi il progetto & rsquo; s homepage per maggiori dettagli) .Supporto due concorrenti channelsIt VPN fornisce un doppio canale UDP / TCP VPN e si avvale della IETF (Internet Engineering Task Force) standard di sicurezza protocollo per tenerlo protetto in ogni momento. Utilizza anche la separazione dei privilegi, sandboxing, la resilienza e la contabilità per fissare il OpenConnect SSL VPN channel.Under il cofano e il programma availabilityThe è scritto interamente nel linguaggio di programmazione C e gira su un ambiente console / terminale, il che significa che è dotato di nessun utente grafica interfaccia (GUI). E 'disponibile per il download come archivio sorgente universale, installabile su tutti i sistemi operativi GNU / Linux che supporta le architetture a 32-bit e 64-bit. Gli utenti possono anche installare dai repository software di default della loro distribuzione Linux

Cosa c'è di nuovo in questa versione:.

• Il bundle protobuf-c è stato aggiornato alla 1.0.1.
• Risolto un crash del work-around per il ciclo infinito.

Cosa c'è di nuovo nella versione 0.3.1:

• decodifica corretto del cookie. Che impedirà questioni in cui il server è in grado di analizzare i cookies del cliente.
• Cambiato il metodo X-CSTP-MTU viene preso in considerazione per evitare di dimensioni più piccole rispetto alla MTU.
destinato
• assegnazione degli indirizzi IPv6 rettificato in Linux (il codice equivalente per BSD-derivati ​​è testato).
• file di configurazione di default cambiato /etc/ocserv/ocserv.conf e file di password di default per ocpasswd a / etc / ocserv / ocpasswd.
• Aggiunto il supporto per più server DNS e NBNS in ocserv.conf. La parola chiave 'locale' non è più supportato.
• Aggiunta la nuova opzioni di configurazione split-dns e custom-intestazione.
• Quando seccomp si utilizza le chiamate di sistema proibite restituirà errore invece che il processo sia ucciso.
• rekey tempo può ora essere configurato utilizzando l'opzione nuova chiave-tempo, e può anche essere disattivato quando si imposta a zero.
• metodo Rekey cambiato per SSL da utilizzare rehandshakes invece di nuove gallerie.
• Aggiunto il supporto per il & quot; nuova & quot; Indirizzo IPv6 invio intestazioni. Abilitato se il client invia & quot; X-CSTP-Full-IPv6-Capability:. True & quot;
• occtl:. Raccolta fisso di statistiche di interfaccia

Cosa c'è di nuovo nella versione 0.3.0:

• Aggiunto occtl uno strumento di controllo per ocserv, che possono essere utilizzato per interrogare il server sugli utenti connessi, ed eseguire alcune azioni come ricaricare la configurazione del server, arrestare il server o disconnettere un utente.
• Aggiunto il supporto per il servizio di presa-attivabili systemd.
• priorità aggiunti sul ciphersuites OpenConnect DTLS per assicurare il server ha voce in capitolo su quello selezionato (e impedire ai client di negoziare 3DES quando AES è supportata da entrambi).
• Una migliore visualizzazione di indirizzi IP in messaggi di log.
• Aggiunta l'opzione di configurazione use-dbus. Può essere usato per disattivare il servizio D-BUS (e quindi l'utilizzo dell'utilità occtl).
• Aggiunto (opzionale) dipendere il protocolbuffer-c, permettendo una gestione più semplice e più facile estensione del protocollo IPC interno.
• opzione di configurazione Aggiunta cisco-client-compat, che se abilitato permette un client di autenticarsi inviando le sue credenziali in diverse sessioni TLS. Un cookie viene utilizzato per associare le sessioni.
• regole seccomp aggiornate per consentire le chiamate di sistema utilizzati dal processo di lavoro.
• Consenti TLS rehandshakes sul canale TCP.

Cosa c'è di nuovo nella versione 0.2.3:

• Aggiunto X-CSTP-License intestazione risposta client per la compatibilità client mobile. Patch by Kevin Cernekee.
• Quando un nuovo collegamento presenta un cookie di una sessione esistente della sessione precedente di questo cookie è disconnesso (e il suo IP è dirottato). Se nessuna sessione precedente è attiva, il server tenterà di assegnare il IP utilizzato in precedenza.
• Se UDP-port non è impostato o impostato a zero, il server non ascolto per le sessioni UDP.
• Quando si utilizza PAM permettono di aggiornare il nome utente.
• Quando sempre-richiedere-cert è impostata su false non richiedono un certificato per l'autenticazione di cookie.
• Aggiunta l'opzione di configurazione di rete a priorità.
• Corretto invio DPD nel canale principale TLS. Relazione e fix iniziale da Kevin Cernekee.
• Aggiunto il supporto per cgroups in Linux.

Cosa c'è di nuovo nella versione 0.2.2:

library

• Il sistema http-parser viene utilizzato se presente invece del bundle.
• La biblioteca sistema libopts viene utilizzato se autogen è presente.
• Aggiunta l'opzione --http-debug per ocserv.
• Aggiunto il supporto per AES-GCM sotto DTLS 1.2 (richiede GnuTLS 3.2.7).
• Più preciso calcolo MTU (necessaria in ciphersuites AES-GCM)
• Non utilizzare un MTU più grande di quello inizialmente proposto a openconnect.

Cosa c'è di nuovo nella versione 0.2.0:

• direttive di configurazione aggiunto "config-per-user ' e 'config-per-gruppi'. Essi consentono il caricamento di un client di configurazione aggiuntiva per utente o per gruppo dalla directory di installazione.
• Aggiunta l'opzione di configurazione IPv6-prefix per sostituire ipv6-maschera di rete. La nuova opzione accetta prefissi di subnet IPv6.
• Aggiunta la direttiva di configurazione 'iroute', applicabile solo ai file di gruppo o di configurazione utente. Permette di impostare percorsi sul server basato sul client collegato.
• autenticazione corretta usando solo i certificati.
• Il descrittore di file UDP dalla principale ai lavoratori viene inoltrata una volta al minuto per evitare un client DTLS duplicato ciao messaggio strappare sessione del lavoratore.
• Corretti i problemi di disconnessione client quando è stato specificato connect-script.

Cosa c'è di nuovo nella versione 0.1.7:

• Invece di suggerire DTLS diverso e valori CSTP MTU, suggerire un singolo valore al peer. Questo evita problemi con openconnect che legge uno dei valori proposti e ignora l'altro.
• Aggiunta l'opzione di configurazione & quot; a buffer di uscita & quot; per consentire la selezione tra un throughput elevato e bassa latenza (seguente modifica openconnect simile).
• opzione & quot config Enabled; MTU & quot;.
• Il file di configurazione di analisi è stato modificato per consentire la rilevazione mispellings delle direttive e delle opzioni non conosciute.

Cosa c'è di nuovo nella versione 0.1.5:

• Un sostegno più robusto del PAM permettendo più di un autenticazione a due fattori. In pratica questo permette l'autenticazione con più di una password (ad esempio, con uno permanente e una password di una volta), così come cambiare la password.
• I cookie non sono più memorizzate nel lato server. Il server è ora stateless. Una chiave generata casualmente viene utilizzata per crittografare e autenticare i cookie inviati al cliente.
• Aggiunta suite di test. Richiede & quot; make check & quot; per essere eseguito come root (per essere in grado di eseguire il server).
• Bypass meccanismo AnyConnect download automatico. Patch by Kevin Cernekee.
• password Unescape in formato HTML, o nomi utente. Segnalato da P.H. Vos.

Cosa c'è di nuovo nella versione 0.1.2:.

• Diversi aggiornamenti per consentire la compilazione di FreeBSD
• Consenti prima di locazione di un IP di rumore metallico per verificare se è in uso.
• ocpasswd accetta opzioni per bloccare e sbloccare utenti.
• Diversi aggiornamenti consentono ai client AnyConnect di Cisco di connettersi al server.

Requisiti :

• GnuTLS