SSL VPN Windows 2008 server R2




ขั้นตอนการติดตั้ง SSL VPN




Prerequisite
Step 1: Install CA server
Step 2: Configure CA server
Step 3: Request Server Authentication certificate
Step 4: Install Routing and Remote access service
Step 5: Install Web server for HTTPS authentication
Step 6: Install CA certificate บน VPN gateway
Step 7: Request and install Server Authentication certificate
Step 8: Configure RRAS server with Server Authentication certificate
Step 9: Binding web server with SSL certificate
Step 10: ทดสอบการใช้งาน SSL VPN ที่ client
Step 10.1: Connect VPN เพื่อ Download CA certificate

Prerequisite

  1. ติดตั้ง Windows 2008 server เป็น Domain Controller
    • ชื่อ Domain: 2PRO
    • ชื่อเครื่อง: DC
    • ติดตั้ง Active Directory Domain Service
    • ติดตั้ง DNS server
    • ติดตั้ง DHCP server
    • IP address: 192.168.1.1










  2. ติดตั้ง Windows 2008 server เพิ่ม เพื่อทำ CA server สำหรับทำ Trusted root certificate
    • ชื่อเครื่อง: Root-CA
    • Join เข้ากับ 2PRO domain
    • ติดตั้ง Active Directory Certificate Service
    • ติดตั้ง IIS server
    • IP address: 192.168.1.2








  3. ติดตั้ง Windows 2008 server เพิ่ม เพื่อทำ Routing and Remote access server สำหรับทำ SSL VPN gateway
    • ขื่อเครื่อง: VPNGW
    • Join เข้ากับ 2PRO domain
    • ติดตั้ง Routing and Remote access service
    • ติดตั้ง IIS server
    • มี 2 Network interface card
      • Local IP address: 192.168.1.254
      • WAN IP address: 10.0.0.1














Back to Top...
Step 1: Install CA server

  1. Login เข้า CA-root ด้วยสิทธิ์ Administrator
  2. จากนั้นเปิด Server Manager ขึ้นมา
  3. คลิกขวาที่ Role และเลือก Add Roles
  4. ที่หน้า Select Server Role ให้เลือก Active Directory Certificate Service


  5. ในหน้า Select Role Service ให้เลือก Certificate Authority และ Certificate Authority Web Enrollment จะมี Pop-up ขึ้นมาให้เราเลือกลง IIS Web server ด้วย ให้คลิก Add required role services


  6. ในหน้า Setup Type ให้เลือก Standalone คลิก Next
  7. ในหน้า CA type ให้เลือก Root Certificate คลิก Next
  8. ในหน้า Setup Private key ให้เลือก Create a new private key คลิก Next
  9. ในหน้าถัดๆไปให้ใช้ค่า Default ทั้งหมด จนจบกระบวนการติดตั้ง
















Back to Top...
Step 2: Configure CA server



ในขั้นตอนนี้เป็นการเปิดใช้งาน HTTPS เพื่อให้สามารถ Download certificate ได้จากหน้าเวบได้

  1. Login เข้า Root-CA ด้วยสิทธิ์ Administrator
  2. เปิด IIS manager ขึ้นมา จากนั้นเปิด Server Certificate ขึ้นมาเพื่อทำการสร้าง Certificate ชั่วคราว ให้สำหรับ HTTPS เพื่อใช้ในการ Request Server Authentication Certificate ในครั้งแรก


  3. ภายใต้ Action เมนู ให้เลือก Create Self-signed certificate…
  4. ตั้งชื่อ vpn.home.local คลิก OK
  5. เปิด IIS manager ขึ้นมา คลิกที่ Default Web Site จากนั้นคลิกที่ link Bindings… ที่อยู่ทางขวามือ


  6. จากนั้นคลิก Add เพื่อทำการเพิ่ม HTTPS เข้าไปในเวบไซต์


  7. เลืออก Type เป็น https แล้วเลือก Certificate เป็น vpn.home.local ที่ได้สร้างไว้ก่อนหน้านี่ขึ้นมาใช้ก่อนชั่วคราว คลิก OK















Back to Top...

Step 3: Request Server Authentication certificate
ในขั้นตอนนี้เป็นการ Request certificate ที่ออกโดย Root-CA สำหรับใช้ในการ Authenticate กันระหว่าง web browser กับ web server

  1. Login เข้า Root-CA ด้วยสิทธิ์ Administrator
  2. เปิด web browser เข้า https://root-ca/certsrv จะพบว่ามี certificate error คลิก Continue
  3. จากนั้นคลิก Request a certificate
  4. คลิก Advance certificate request
  5. คลิก Create and submit a request to this CA
  6. ตั้งชื่อเป็น root-ca










ที่ใช้เป็น URL ในการเข้ามา Download certificate ผ่านเวบไซต์ และเลือก Type เป็น Server Authentication





  • เลือก Mark key as exportable จากนั้นกด submit




  • ตอนนี้ Request ถูกส่งไปยัง CA server




  • เปิด Certificate Authority snap-in*




  • ทำการ Issue certificate ที่ถูก request มา




  • กลับมาที่ web browser เข้า https://root-ca/certsrv




  • เลือก View the status of a pending certificate request




  • เลือก Certificate ที่เพิ่ง Issued มา แล้วเลือก Install this certificate






  • เปิด MMC เพื่อ add Certificate snap-in ทั้งที่เป็น My user account และ Computer Account(Local computer) จากนั้นคลิก OK






  • ดับเบิ้ลคลิก Certificates – Current user -> Personal -> Certificates จะเห็น certificate ที่เพิ่ง install มา ชื่อ root-ca ให้ทำการ copy ไว้




  • นำไปวางที่ Certificates (Local computer)-> Personal -> Certificates




  • กลับไปที่ IIS manger เพื่อเลือก Binding web site ใหม่




  • Edit ที่ https ให้ทำการเปลี่ยน Certificate ให้เป็น ชื่อ root-ca ที่ได้ install ไว้ก่อนหน้านี้ จากนั้นคลิก OK




    • Back to Top...


    Step 4: Install Routing and Remote access service
    ขั้นตอนนี้เป็นติดตั้ง VPN server เพื่อใช้เป็น gateway ในการติดต่อจากภายนอก

    1. Login เข้า VPNGW ด้วยสิทธิ์ Administrator
    2. เปิด Server Manager ที่ VPNGW แล้วคลิกขวาที่ Role เลือก Add Role


    3. ในหน้าSelect Server Roles เลือก Network Policy and Access Services จากนั้นคลิก Next


    4. ในหน้า Select Role Services เลือกทั้ง Remote Access Services และ Routing จากนั้นคลิก Next


    5. ตรวจสอบผลการติดตั้งแล้วคลิก Close
    6. เปิด Server Manager ขึ้นมา แล้วคลิกขวาที่ Routing and Remote Access แล้วเลือก Configure and Enable Routing and Remote Access


    7. ในหน้า Configuration เลือก Remote access (dial-up or VPN) จากนั้นคลิก Next


    8. เลือกเฉพาะ VPN
    9. ในหน้า VPN Connection ให้เลือก interface ที่ต่อกับ Internet หรือ WAN ใน Lab นี้เลือก Network 10.0.0.1


    10. เลือก Automatic DHCP และเลือก ไม่ใช้ RADIUS จากนั้นคลิก Finish

    Back to Top...


    Step 5: Install Web server for HTTPS authentication
    ขั้นตอนนี้เป็นการลง web server เนื่องจากต้องใช้ HTTPS ในการรับการร้องขอการ negotiate แบบ SSL

    1. คลิกขวาที่ Role ใน Server Manager จากนั้นเลือก Add role
    2. ในหน้า Select Server Role เลือก Web Server (IIS) จากนั้นคลิก Next
    3. ในหน้าถัดๆไป ให้ใช้ค่า Default ทั้งหมดจนให้คลิก install
    4. รอผลการ Install

    Back to Top...

    Step 6: Install CA certificate บน VPN gateway
    ขั้นตอนนี้เป็นการ install CA certificate ลงไปใน Trusted root ของ เครื่อง VPN server เพื่อให้เครื่อง server ยอมรับ certificate ที่ใช้ในการ Authenticate ระหว่าง browser กับ web server

    1. Login เข้า VPNGW ด้วยสิทธิ Administrator
    2. เปิด Web browser พิมพ์ URL : https://root-ca/certsrv
    3. คลิก Download a CA certificate, certificate chain, or CRL
    4. คลิก Download CA certificate
    5. เลือก Save As certificate ไว้บน server
    6. จากนั้นเป็น Certificate snap-in เพื่อทำการ Import certificate ไปที่ Certificates(Local computer) -> Trusted Root Certification Authorities -> Certificates


    Back to Top...

    Step 7: Request and install Server Authentication certificate
    ขั้นตอนนี้ เป็นการสร้าง certificate ที่ออกโดย Root-CA เพื่อใช้เป็น certificate ในการแลกเปลี่ยน key ระหว่าง VPN server กับ Client

    1. Login เข้า VPNGW ด้วยสิทธิ Administrator
    2. เปิด Web browser พิมพ์ URL : https://root-ca/certsrv
    3. จากนั้นคลิก Request Certificate
    4. คลิก Advanced certificate request
    5. คลิก Create and submit a request to this CA
    6. ใน Certificate Template เลือก Server Authentication
    7. Name เป็น sslvpn.from-se.com
    (จะใช้เป็น address สำหรับ client ในการ connect VPN)



  • เลือก Mark keys as exportable




  • จากนั้นเลือก submit




  • ตอนนี้ Request ถูกส่งไปยัง CA server




  • เปิด Certificate Authority snap-in




  • ทำการ Issue certificate ที่ถูก request มา




  • กลับมาที่ web browser เข้า https://root-ca/certsrv




  • เลือก View the status of a pending certificate request




  • เลือก Certificate ที่เพิ่ง Issued มา แล้วเลือก Install this certificate






  • จากนั้นทำการเปิด Certificate snap-in* เพื่อทำการ copy certificate จาก Current user ไปยัง Local computer




    • Back to Top...


    Step 8: Configure RRAS server with Server Authentication certificate
    ขั้นตอนนี้จะเป็นการผูก SSL certificate เข้ากับ SSTP เพื่อให้ HTTPS ใช้เป็นตัวรับการติดต่อด้วย SSL VPN

    1. Login เข้า VPNGW ด้วยสิทธิ Administrator
    2. เป็น RRAS snap-in แล้วคลิกขวาที่ Routing and Remote access เลือก Properties


    3. จากนั้นเลือกไปที่ tab Security
    4. ที่หัวข้อ SSL Certificate Binding ให้เลือก sslvpn.from-se.com
    ที่เพิ่ง install ไป แล้ว OK จะมีการบังคับ Restart service ให้คลิก OK



    Back to Top...


    Step 9: Binding web server with SSL certificate
    ขั้นตอนนี้เป็นการผูก certificate ที่ request มาเข้ากับ HTTPS เพื่อใช้ในการรับการติดต่อ แบบ SSL VPN

    1. Login เข้า VPNGW ด้วยสิทธิ Administrator
    2. เปิด IIS Manager จากนั้นเข้าไปที่ Default Web Site คลิก Bindings..
    3. คลิก Add เพิ่ม https เข้าไปแล้วเลือก certificate เป็น sslvpn.from-se.com






  • คลิก OK


    • Back to Top...

    Step 10: ทดสอบการใช้งาน SSL VPN ที่ client
    ขั้นตอนนี้เป็นการทดสอบความถูกต้องว่าสามารถ VPN แบบ SSL ได้สำเร็จหรือไม่ เริ่มด้วยการสร้าง PPTP VPN connection เพื่อทำการ Download CA certificate จาก CA server ก่อน

    1. Login เข้า VPN client ด้วยสิทธิ์ administrator
    2. สร้าง PPTP VPN connection เพื่อทำการ Download CA certificate จาก CA server ก่อน
    3. เข้า Control Panel -> Network and Sharing Center
    4. เลือก Set up a new connection or network


    5. เลือก Connect to a workplace คลิก Next


    6. เลือก No, Create a new connection
    7. เลือก Use my Internet connection (VPN)


    8. เลือก I’ll setup an internet connection later
    9. ใส่ Internet address เป็น sslvpn.from-se.com คลิก Next


    10. ใส่ username, password และ domain ที่สร้างไว้


    11. จากนั้น คลิก Create และ Close
    12. ทำการเพิ่มเพิ่ม IP address และ URL ในไปใน Windows/system32/driver/etc/hosts ดังนี้

      10.0.0.1 sslvpn.from-se.com

    Back to Top...

    Step 10.1: Connect VPN เพื่อ Download CA certificate

    1. คลิกขวาที่ VPN Connection#1 เลือก Properties


    2. ที่ Security ให้เลือก VPN Type เป็น PPTP จากนั้นคลิก OK


    3. คลิก Connect


    4. เมื่อ Connect ได้แล้วให้เปิด Web browser ขึ้นมา แล้วไปที่ http://root-ca/certsrv
    5. จากนั้น คลิก Download a CA certificate, certificate chain, or CRL
    6. คลิก Download CA certificate แล้ว save ไว้ในคอมพิวเตอร์
    7. เปิด Certificate snap-in* เพื่อ import CA certificate ไปยัง Certificates(Local computer) -> Trusted Root Certification Authorities -> Certificates
    8. จากนั้น Disconnect VPN
    9. เปลี่ยน VPN Type ให้เป็น SSTP


    10. ทดสอบ Connect ใหม่อีกครั้ง คราวนี้จะเป็นการ Connect ด้วย SSL VPN แล้ว


    11. กลับไปที่ VPNGW server เพื่อดู Port ที่ใช้ติดต่อ SSL VPN นี้อยู่



    Back to Top...
    Author : Sitthep Thithuan

    ความคิดเห็น

    แสดงความคิดเห็น

    โพสต์ยอดนิยมจากบล็อกนี้

    มาจัดการกับ OpenSSH กันเถอะ 

    รูปภาพ
                   ไม่ได้เขียนบทความซะนานเลย  วันนี้พอมีเวลาบ้าง ก็เลยขอเขียนเรื่องนี้ซะเลย ท้าวความกันก่อน เนื่องจากมีสหายท่านหนึ่งได้โทรมาปรึกษา ว่าจะรู้ได้อย่างไรว่า server โดน hack แล้ว ผมก็เลยตอบไปว่า “เอาจริงๆนะ – ไม่รู้อ่ะ” แต่ว่า… มันก็มีวิธีการตรวจสอบเบื้องต้นอยู่ได้บ้างนะ ผมก็เลยลองซักถามเหตุการณ์ที่เกิดขึ้นก่อน ซึ่งสหายท่านนี้ได้พบว่า วันนี้เค้า ssh เข้าไปที่ server linux แล้ว มันดันถามเพื่อให้ save public key ใหม่ ซึ่งมันไม่น่าจะเกิดขึ้นเลย เพราะเมื่อวานยังเข้าได้ปกติ แปลก!!  ผมจึงแนะนำไปว่า ลองตรวจสอบเบื้องต้นอย่างง่ายๆ ก่อน เช่น ตรวจสอบ file /etc/passwd ว่ามีการเพิ่มเติมหรือเปลี่ยนแปลงหรือไม่  ตรวจสอบ log system ว่ามี file ใดถูกเปลี่ยนแปลงแก้ไขหรือไม่(กรณีนี้อาจจะต้อง software ช่วย monitor อย่าง tripwire หรือ zapbix ต้องลงไว้ก่อนที่จะถูก hack นะ) ซึ่งเมื่อตรวจสอบดูแล้ว เฮ้ย!! มี user ใหม่ถูกเพิ่มเข้ามาใน passwd จริงๆด้วย แล้ว file มันก็ถูกแก้ไขไปเมื่อตอนบ่ายวันนี้เอง เอาแล้วไง งั้นลองด...
    อ่านเพิ่มเติม

    การติดตั้ง OpenERP 7.0 อย่างง่าย บน Ubuntu Server 12.10

    รูปภาพ
    OpenERP 7.0 Installation     Platform: Ubuntu Server 12.10 Pre-installation 1.     Install SSH server for remote connection with Denyhosts for Brute-force-attack protection. Run command: #sudo apt-get install openssh-server denyhosts 2.     Try login to server remotely. 3.     Update system before install OpenERP. Run command: #sudo apt-get update #sudo apt-get dist-upgrade 4.     Reboot server. 5.     Create OpenERP’s user, owner and group. Run command: #sudo adduser --system --home=/opt/openerp --group openerp This command build user as system’s user and make a default home directory of user and add user to openerp group. 6.     Install Postgre-SQL. Run command: #sudo apt-get install postgresql 7.     Change to postgre user for a privilege to configure the database. Run command: #sudo su - postgres 8.     Create new database and acc...
    อ่านเพิ่มเติม