Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Dit artikel laat zien hoe je een zelfondertekend rootcertificaat maakt en clientcertificaten genereert met strongSwan. De stappen in deze oefening helpen je om certificate- .pem-bestanden aan te maken. Als je .pfx en .cer bestanden nodig hebt, zie dan de Windows-PowerShell-instructies.
Voor point-to-site verbindingen moet elke VPN-client een lokaal clientcertificaat hebben geïnstalleerd om verbinding te maken. Daarnaast moet de publieke sleutelinformatie van het rootcertificaat worden geüpload naar Azure. Voor meer informatie, zie Point-to-site configuratie - certificaatauthenticatie.
StrongSwan installeren
De volgende stappen helpen je bij het installeren van strongSwan.
De volgende configuratie is gebruikt bij het opgeven van opdrachten:
- Computer: Ubuntu Server 18.04
- Afhankelijkheden: strongSwan
Gebruik de volgende opdrachten om de vereiste strongSwan-configuratie te installeren:
sudo apt-get update
sudo apt-get upgrade
sudo apt install strongswan
sudo apt install strongswan-pki
sudo apt install libstrongswan-extra-plugins
sudo apt install libtss2-tcti-tabrmd0
Linux CLI-instructies (strongSwan)
De volgende stappen helpen je om certificaten te genereren en te exporteren met de Linux CLI (strongSwan). Voor meer informatie, zie Aanvullende instructies om de Azure CLI te installeren.
Genereer het CA-certificaat.
ipsec pki --gen --outform pem > caKey.pem
ipsec pki --self --in caKey.pem --dn "CN=VPN CA" --ca --outform pem > caCert.pem
Print het CA-certificaat in base64-formaat, het formaat dat Azure ondersteunt. Je uploadt dit certificaat naar Azure als onderdeel van de P2S-configuratiestappen.
openssl x509 -in caCert.pem -outform der | base64 -w0 ; echo
Genereer het gebruikerscertificaat.
Opmerking
Microsoft raadt u aan de veiligste verificatiestroom te gebruiken die beschikbaar is. De verificatiestroom die in deze procedure wordt beschreven, vereist een zeer hoge mate van vertrouwen in de toepassing en brengt risico's met zich mee die niet aanwezig zijn in andere stromen. U moet deze stroom alleen gebruiken wanneer andere veiligere stromen, zoals beheerde identiteiten, niet haalbaar zijn.
export PASSWORD="password"
export USERNAME=$(hostnamectl --static)
ipsec pki --gen --outform pem > "${USERNAME}Key.pem"
ipsec pki --pub --in "${USERNAME}Key.pem" | ipsec pki --issue --cacert caCert.pem --cakey caKey.pem --dn "CN=${USERNAME}" --san "${USERNAME}" --flag clientAuth --outform pem > "${USERNAME}Cert.pem"
Genereer een p12-bundel met het gebruikerscertificaat. Dit bundel zal in de volgende stappen worden gebruikt bij het werken met de clientconfiguratiebestanden.
openssl pkcs12 -in "${USERNAME}Cert.pem" -inkey "${USERNAME}Key.pem" -certfile caCert.pem -export -out "${USERNAME}.p12" -password "pass:${PASSWORD}"
Volgende stappen
Ga verder met je point-to-site configuratie. Zie Configureer een VPN-client voor P2S-certificaatauthenticatieverbindingen - Linux.