- 追加された行はこのように表示されます。
- 削除された行は
このように表示されます。
!!!概要
DeleGateでクライアント認証付きSSLリバースプロキシサーバ、いわゆるSSL-VPNの一種を構築してみます。
!!!要件
以下のような要件を考えてみます。
+社内ネットワークに設置されているWebベースのグループウェアサーバにインターネットから接続したい。
+インターネット上の通信は暗号化したい。
+接続できるユーザ(PC)を制限したい。
!!!シナリオ
要件1,2はSSLリバースプロキシを用いることで解決できます。想定するネットワークの構成は以下のような感じになります。クライアントPCからSSLリバースプロキシにHTTPSでアクセスすると、リバースプロキシはSSLを復号してHTTPでグループウェアサーバに中継します。
{{ref_image Delegate HTTPS Reverse Proxy.png}}
要件3は少々やっかいです。グループウェアにもユーザ認証機能はありますが、正当なユーザ以外にはグループウェアの認証画面にすら到達できないようにしたいということなのでリバースプロキシ側で何らかの認証を行わなければなりません。
ユーザが自宅や出張先からアクセスすることを想定しているので送信元IPアドレスでの制限は現実的ではありません。リバースプロキシでBASIC認証を行うという手段が考えられますが、リバースプロキシとグループウェアで2回ユーザ名とパスワードを入力することになるのでとても利便性がいいとは言えません。そこで、消去法的にSSLのクライアント認証を用いることにします。運用のコストはBASIC認証とたいして変わりませんが、ユーザからすればクライアント証明書をウェブブラウザにインポートしておくだけになるのでいくらかマシでしょう。
!!!OpenSSLによるCAの構築
OpenSSLによるCA(認証局)の構築・運用手順です。OpenSSLが/usr/local/ssl以下にインストールされているものとして話を進めます。
!!CAの作成
/usr/local/ssl/openssl.cnfを編集し、CAの場所を指定します。
...
[ CA_default ]
dir = /usr/local/ssl/demoCA
...
付属のスクリプトでCAを作成します。必要に応じてCA.plを編集して認証局の証明書の有効期限などを変更してください。
# export OPENSSL=/usr/local/ssl/bin/openssl
# /usr/local/ssl/misc/CA.pl -newca
/usr/local/ssl/demoCA以下にCAが作成されます。
!!サーバ証明書の発行
リバースプロキシ用のサーバ証明書を発行します。
!openssl.cnfの変更
/usr/local/ssl/openssl.cnfを編集し、発行する証明書の種別をサーバ用にします。
...
[ usr_cert ]
...
nsCertType = server
...
!秘密鍵およびCSRの作成
秘密鍵とCSR(証明書署名要求)を作成します。CN(コモンネーム)はリバースプロキシサーバのFQDNを指定してください。
# openssl req -new -nodes -keyout server-key.pem -out server-req.pem
!サーバ証明書の作成
サーバ証明書に署名します。
# openssl ca -out server-cert.pem -infiles server-req.pem
!サーバ証明書に秘密鍵を含める
設定が少し簡略になるのでサーバ証明書に秘密鍵を含めておきます
# cat server-key.pem >> server-cert.pem
!!クライアント証明書の発行
ウェブブラウザにインポートするクライアント証明書を発行します。ルーチンワークになりますのでシェルスクリプトなどにしておくのがよいと思います。私のところではクライアント証明書の発行・更新・失効・配布、CRLの作成、サーバへのCRLの反映といった一連の流れをシェルスクリプトにして運用しています。
ウェブブラウザにインポートするクライアント証明書を発行します。ルーチンワークになりますのでシェルスクリプトなどにしておくのがよいと思います。私はクライアント証明書の発行・更新・失効・配布、CRLの作成、サーバへのCRLの反映といった一連の流れをシェルスクリプトにして運用しています。
!openssl.cnfの変更
/usr/local/ssl/openssl.cnfを編集し、発行する証明書の種別をクライアント用にします。
...
[ usr_cert ]
...
nsCertType = client, email
...
!秘密鍵およびCSRの作成
秘密鍵とCSRを作成します。CNはユーザのメールアドレスにするのがよいと思います。
# openssl req -new -nodes -keyout client-key.pem -out client-req.pem
!クライアント証明書の作成
クライアント証明書に署名します。
# openssl ca -out client-cert.pem -infiles client-req.pem
!pkcs12形式に変換
IEやFirefoxなどのウェブブラウザにインポートできるように秘密鍵と証明書をpkcs12形式に変換します。CAのルート証明書もいっしょにまとめることにします。
PASSWORDはインポート時に尋ねられるパスワードです。秘密鍵のパスワードではありません。
# openssl pkcs12 -export -in client-cert.pem -inkey client-key.pem \
-certfile /usr/local/ssl/demoCA/cacert.pem -out client-cert.p12 \
-password pass:PASSWORD
できあがったclient-cert.p12とパスワードをユーザに配布し、ウェブブラウザにインポートしてもらいます。