Anyconnect（ocserv）配置ssl安全加密证书

Anyconnect（ocserv）属于ssl vpn的范畴，其优点是利用ssl证书对数据通道进行加密，以最大程度提升安全性。我们可以使用自签ssl证书也可以使用公共CA机构签发的ssl证书。

签发自签名证书

自签名证书安全性更高，但是并不被公共服务器所信赖，也就是俗称的不会出现小绿锁。

certtool工具自签名

#创建临时目录
mkdir -p /tmp/ssl
#进入临时目录
cd /tmp/ssl
#创建CA私钥
certtool --generate-privkey --outfile ca-key.pem #创建CA私钥
#创建CA模板
cat << _EOF_ >ca.tmpl 
cn = "自然博客"
organization = "www.wanvi.net"
serial = 1
expiration_days = 3650
ca
signing_key
cert_signing_key
crl_signing_key
_EOF_
#签发CA证书
certtool --generate-self-signed --load-privkey ca-key.pem --template ca.tmpl --outfile ca-cert.pem 
#创建服务器私钥
certtool --generate-privkey --outfile server-key.pem 
#创建服务器证书模板
cat << _EOF_ >server.tmpl 
cn = "自然博客"
organization = "www.wanvi.net"
serial = 2
expiration_days = 3650
signing_key
encryption_key #only if the generated key is an RSA one
tls_www_server
_EOF_
#创建服务器证书
certtool --generate-certificate --load-privkey server-key.pem --load-ca-certificate ca-cert.pem --load-ca-privkey ca-key.pem --template server.tmpl --outfile server-cert.pem 
#部署自签名证书
cp server-cert.pem /etc/pki/ocserv/public/server.crt
cp server-key.pem /etc/pki/ocserv/private/server.key

中国数字证书在线自签名证书

先使用“CSR文件在线生成工具”生成一个CSR文件。

进入：https://www.chinassl.net/ssltools/generator-csr.html

保存生成的csr信息和key信息，如果担心忘记可以勾选发送生成的csr文件到上面的邮箱”。

然后复制csr信息，使用“自签名免费SSL证书”生成工具签发ssl证书。

进入：https://www.chinassl.net/ssltools/free-ssl.html

注意事项

使用自签名证书会提示安全问题，需要在客户端设置忽略

申请公共信任的ssl证书

免费单域名证书可以在阿里云、又拍云、freessl等站点免费申请。

阿里云申请地址：

https://common-buy.aliyun.com/?spm=5176.7968328.1266638..7ff11232o3ofrs&commodityCode=cas&aly_as=FmxlOduKj#/buy

全程引导式操作，小白也能快速上手。

部署ssl证书

将私钥和证书上传到/etc/ocserv/目录下，并重命名为server.crt和server.key

编辑/etc/ocserv/ocserv.conf文件，修改如下两个参数

servercert=/etc/ocserv/server.crt
serverkey=/etc/ocserv/server.key

重启ocserv服务后生效

systemctl restart ocserv