OpenVPN + Keycloak: konfiguracja OAuth2

Integracja OpenVPN z Keycloak przez plugin openvpn-auth-oauth2

Do uzyskania dostępu do zasobów w chronionym środowisku na platformie Yandex Cloud wcześniej używano samodzielnie hostowanego OpenVPN z uwierzytelnianiem PAM. Z rosnącą liczbą użytkowników konieczne stało się połączenie z Keycloak. Plugin openvpn-auth-oauth2 zapewnia uwierzytelnianie OAuth2 przez Keycloak i obsługuje systemy podobne do Debian i RedHat.

Instalacja na Ubuntu 24.04 LTS odbywa się z repozytorium projektu:

curl -L https://raw.githubusercontent.com/jkroepke/openvpn-auth-oauth2/refs/heads/main/packaging/apt/openvpn-auth-oauth2.sources | sudo tee /etc/apt/sources.list.d/openvpn-auth-oauth2.sources
sudo apt update
sudo apt install openvpn-auth-oauth2

Tworzenie klienta w Keycloak

W Keycloak utwórz nowego klienta dla pluginu:

• Wprowadź Client ID: openvpn-auth-oauth2.
• Włącz Client authentication: ON.
• Standard Flow Enabled: ON.
• Wybierz Access Type: confidential.

Skopiuj Client Secret — będzie potrzebny do konfiguracji.

Konfiguracja pluginu openvpn-auth-oauth2

Główny plik: /etc/openvpn-auth-oauth2/config.yaml. Minimalna działająca konfiguracja:

http:
  baseurl: "https://vpn.yourdomain.com"
  listen: ":9000"
  secret: "your_secret_password"
oauth2:
  issuer: "https://keycloak.yourdomain/realms/securerealm"
  client:
    id: "openvpn-auth-oauth2"
    secret: "your_secret_from_keycloak_client"
openvpn:
  addr: "unix:///run/openvpn/server.sock"
  password: "your_secret_password"

Parametry:

• baseurl: domena dla punktu końcowego OAuth2, przekazywana przez nginx na port 9000.
• listen: port usługi.
• secret: klucz szyfrowania ciasteczek (16/24/32 znaków).
• issuer: URL Keycloak z realmem.
• client.id/secret: dane klienta z Keycloak.
• openvpn.addr/password: gniazdo i hasło do OpenVPN.

Konfiguracja serwera OpenVPN

Utwórz plik /etc/openvpn/server/server-keycloak.conf:

port 56890
management /run/openvpn/server.sock unix /etc/openvpn/password.txt
management-client-auth
auth-user-pass-optionals
auth-gen-token 28800 external-auth
proto udp
dev tun
ca /etc/openvpn/certs/ca.crt
cert /etc/openvpn/certs/server.crt
key /etc/openvpn/certs/server.key
dh /etc/openvpn/certs/dh.pem
server 10.212.245.0 255.255.255.0
client-config-dir /etc/openvpn/ccd
ifconfig-pool-persist /etc/openvpn/ipp.txt
push "route 10.167.0.0 255.255.0.0"
push "route 10.168.0.0 255.255.0.0"
push "route 10.169.0.0 255.255.0.0"
keepalive 10 120
cipher AES-256-GCM
max-clients 100
persist-tun
status /var/log/openvpn/openvpn-keycloak-status.log
verb 3

Kluczowe opcje do integracji:

• management ...: gniazdo Unix do zewnętrznego zarządzania.
• management-client-auth: zezwala na zewnętrzne polecenia.
• auth-user-pass-optionals: nie wymaga logowania i hasła od klienta.
• auth-gen-token 28800 external-auth: token z pluginu, TTL 8 godzin.

Uruchom usługę:

systemctl enable openvpn-server@server-keycloak --now

Przekazywanie przez nginx

Zainstaluj nginx i certbot dla HTTPS. Konfiguracja /etc/nginx/conf.d/vpn.yourdomain.com.conf:

server {
    server_name vpn.yourdomain.com;
    listen 80;
    listen [::]:80;
    access_log /var/log/nginx/vpn.yourdomain.com-access.log;
    error_log /var/log/nginx/vpn.yourdomain.com-error.log;

    location ^~ /.well-known/acme-challenge/ {
        default_type "text/plain";
        root /var/www/certbot;
    }

    location / {
        return 301 https://$host$request_uri;
    }
}

server {
    server_name vpn.yourdomain.com;
    listen 443 ssl;
    error_log /var/log/nginx/vpn.yourdomain.com-error.log;

    ssl_certificate /etc/letsencrypt/live/vpn.yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/vpn.yourdomain.com/privkey.pem;

    location ^~ /.well-known/acme-challenge/ {
        default_type "text/plain";
        root /var/www/certbot;
    }

    location / {
        proxy_set_header Host $http_host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_pass http://localhost:9000;
    }
}

Przeładuj nginx: systemctl reload nginx.

Konfiguracja klienta i testowanie

Plik .ovpn klienta:

client
dev tun
proto udp
remote vpn.yourdomain.com 56890
nobind
persist-key
persist-tun
verb 3
<ca>
-----BEGIN CERTIFICATE-----
Tutaj twój certyfikat CA
-----END CERTIFICATE-----
</ca>
cipher AES-256-GCM

Zaimportuj do klienta OpenVPN (np. openvpn-access). Podczas połączenia przeglądarka otworzy stronę Keycloak do uwierzytelnienia. Po pomyślnym zalogowaniu:

• Przeglądarka pokaże potwierdzenie.
• Połączenie VPN zostanie ustanowione.

Klienci konsolowi nie obsługują przepływu przeglądarkowego — wymagane są dodatkowe modyfikacje.

Co warto wiedzieć

• Plugin openvpn-auth-oauth2 zastępuje PAM przez OAuth2 z Keycloak dla skalowalnego uwierzytelniania.
• Użyj gniazda Unix do bezpiecznego zarządzania OpenVPN.
• TTL tokenu: 28800 sekund (8 godzin), można zmieniać w auth-gen-token.
• Przekazywanie przez nginx jest wymagane dla HTTPS i Let's Encrypt.
• Idealne dla DevOps średniozaawansowanych: skupienie na konfiguracjach i integracjach.

— Editorial Team