与 Active Directory 集成的 OpenVPN

Question

有没有人成功运行带有 Active Directory 集成的 OpenVPN？您使用的是openvpn.net还是openvpn.net/opensource版本的 OpenVPN？有什么提示、技巧或问题吗，或者它“只是有效”吗？（是的，我看过这个 How To，但有时How To不像他们找我那么简单）。

背景故事：我有一个非常旧的 Cisco 集中器（3000 系列）需要更换。我希望替代品与 AD 用户/密码集成。我有一堆相当现代的 HP DL320 盒子，这让我想到了 OpenVPN 的想法......

Answer 1

使用开源版本，您可以使用“auth-user-pass-verify”选项编写自己的身份验证脚本。

我从未将它投入生产，但我确实编写了一个工作脚本，用于根据我的目录对用户进行身份验证。

另一种选择是openvpn-auth-ldap插件。

Answer 2

我更喜欢针对 PAM（使用 LDAP 或 Kerberos）进行 OpenVPN 身份验证，因为这是最灵活的解决方案。我的印象是 OpenVPN 提供的 LDAP 插件是一种肮脏的临时解决方案——与用于 PAM 的 LDAP 或 Kerberos 插件相比，没有什么。我不时遇到问题，其中正确的用户凭据拒绝访问，重试解决了这个问题。我当前的（生产）设置针对 PAM 进行身份验证。PAM 堆栈顶部有 Kerberos (pam_krb5)，用于 OpenVPN 身份验证。每天有近 100 名用户使用。您可以使用 PAM 做很多事情（多身份验证机制、多来源等）。