Инструкция по настройке LDAP-аутентификации на OpenVPN

Краткое описание

В статье описывается настройка LDAP-аутентификации в OpenVPN, где поставщиком учетных записей является MULTIDIRECTORY.

Требования к настройке

1. Установленная служба каталогов MULTIDIRECTORY.
2. Предустановленный OpenVPN.

Подготовка к настройке

• Создайте сервисную учетную запись в MULTIDIRECTORY, у которой будут права на чтение каталога.
• Создайте группы доступа в MULTIDIRECTORY для пользователей OpenVPN.

Настройка OpenVPN

Настройка LDAP-аутентификации на сервере OpenVPN

Установите пакет openvpn-auth-ldap:

apt install openvpn-auth-ldap

После установки пакета откройте конфигурационный файл /etc/openvpn/server.conf:

nano /etc/openvpn/server.conf

Добавьте в файл server.conf две строчки:

...
username-as-common-name
plugin /usr/lib/openvpn/openvpn-auth-ldap.so /etc/openvpn/auth/ldap.conf

Создайте каталог /etc/openvpn/auth:

mkdir /etc/openvpn/auth

Откройте ранее созданный файл nano /etc/openvpn/auth и заполните его по аналогии с примером:

<LDAP>
  URL             ldaps://your.domain.ru
  BindDN          CN=openvpn.user,CN=Users,DC=your,DC=domain,DC=ru
  Password        YourPassword
  Timeout         15
  TLSEnable       no
</LDAP>

<Authorization>
  BaseDN          "DC=your,DC=domain,DC=ru"
  SearchFilter    "(&(sAMAccountName=%u)(memberOf=CN=openvpn users,OU=Users,DC=your,DC=domain,DC=ru))"
</Authorization>

Описание полей

• URL – поле, в котором необходимо указать расположение сервера с вашей MULTIDIRECTORY. Так же поддерживается использование LDAP.
• BindDN – поле, где указывается учетная запись, благодаря которой будет происходить чтение каталога.
• Password – укажите пароль от учетной записи, которая будет читать каталог.
• BaseDN – укажите корень в вашем каталоге, с которого будет начинаться поиск учетных записей для аутентификации.
• SearchFilter – фильтр поиска, где необходимо указать группы безопасности, которые будут использоваться для аутентификации пользователей.

Перезагрузите OpenVPN.

service openvpn restart

Настройка клиента

От имени администратора запустите любой текстовый редактор и откройте конфигурационный файл клиента OpenVPN (по умолчанию данный файл находится по такому пути C:\Program Files\OpenVPN\config\openvpnconfig.ovpn).

В открывшийся файл конфигурации необходимо добавить строчку:

auth-user-pass

Сохраните изменения и выполните проверку подключения.

При инициировании подключения к OpenVPN будет выведено окно ввода логина и пароля.