跨地域OSSIM传感器部署实战

需求：A公司数据中心部署了一套OSSIM系统，随着公司业务扩大，现在在多个城市建立了分支办公司，需要将分支公司服务器资产数据汇总到A公司总部，而OSSIM Sensor传感器无法通过物联网直接连接到总部OSSIM Server。下面我们利用OSSIM里集成的VPN工具进行设置实现跨地域传感器部署。

操作步骤：

步骤1：登录终端

以root用户身份登录OSSIM Server终端控制台。

登录完成之后，大家可以看到字符界面系统控制菜单。

步骤2：设置VPN Server

该步完成VPN网络号、子网掩码以及通信端口的设置操作。

依次按照如下顺序选择菜单：

System Preferences → Configure Network → Setup VPN → Configure VPN server，随后系统显示提示信息

因为在进行VPN设置时会造成网络中断，如果大家是通过SSH远程接入系统操作，可能会引起连接中断现象，所以这里的提示是希望大家最好直接登录操作系统在主机的终端上操作。上图中我们选择“Yes”进行下一步操作。

设置完成，我们退回到终端主界面，选择“Apply all Changes”使设置生效。

接下来系统开始根据更改的内容，重新配置系统。配置完成之后会产生一个重要目录/etc/openvpn/AVinfraestructure/。在该目录下的子目录keys中存储下列文件：

-rw-r--r-- 1 root root 5358 Sep 29 14:39 01.pem

-rw-r--r-- 1 root root 5358 Sep 29 14:39 alienvcd.crt

-rw-r--r-- 1 root root 1025 Sep 29 14:39 alienvcd.csr

-rw------- 1 root root 1704 Sep 29 14:39 alienvcd.key

-rw-r--r-- 1 root root 1574 Sep 29 14:39 ca.crt

-rw------- 1 root root 1704 Sep 29 14:39 ca.key

-rw-r--r-- 1 root root  424 Sep 29 14:39 dh2048.pem

-rw-r--r-- 1 root root  107 Sep 29 14:39 index.txt

-rw-r--r-- 1 root root   21 Sep 29 14:39 index.txt.attr

-rw-r--r-- 1 root root    0 Sep 29 14:39 index.txt.old

-rw-r--r-- 1 root root    3 Sep 29 14:39 serial

-rw-r--r-- 1 root root    3 Sep 29 14:39 serial.old

VPN配置文件是/etc/openvpn/AVinfraestructure.conf

表1  OSSIM服务器端关键文件

无论是服务端，还是客户端在配置的时候，都不需要使用ca.key文件的。但该文件却很重要，所以，我们应该把它另外保存好，而不是放在服务器上哦！

观察日志：

Openvpn日志会被记录在/var/log/syslog文件中，配置时可观察该文件。

# cat /var/log/syslog |grep ovpn

…

Oct  9 02:56:56 Sensor1 ovpn-192.168.109.190[1860]: VERIFY OK: depth=0, C=ES, ST=ES, L=Madrid, O=Alienvault, CN=alienvcd, emailAddress=root@alienvault.com

Oct  9 02:56:56 Sensor1 ovpn-192.168.109.190[1860]: Data Channel Encrypt: Cipher 'AES-256-GCM' initialized with 256 bit key

Oct  9 02:56:56 Sensor1 ovpn-192.168.109.190[1860]: Data Channel Decrypt: Cipher 'AES-256-GCM' initialized with 256 bit key

Oct  9 02:56:56 Sensor1 ovpn-192.168.109.190[1860]: Control Channel: TLSv1.2, cipher TLSv1/SSLv3 ECDHE-RSA-AES256-GCM-SHA384, 2048 bit RSA

观察服务器端日志

#cat /var/log/syslog | grep ovpn-AVinfraestructure

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: TUN/TAP device tun0 opened

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: TUN/TAP TX queue length set to 100

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: do_ifconfig, tt->did_ifconfig_ipv6_setup=0

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: /sbin/ip link set dev tun0 up mtu 1500

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: /sbin/ip addr add dev tun0 local 10.67.68.1 peer 10.67.68.2

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: /sbin/ip route add 10.67.68.0/24 via 10.67.68.2

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: Could not determine IPv4/IPv6 protocol. Using AF_INET

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: Socket Buffers: R=[87380->87380] S=[16384->16384]

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: Listening for incoming TCP connection on [AF_INET][undef]:33800

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: TCPv4_SERVER link local (bound): [AF_INET][undef]:33800

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: TCPv4_SERVER link remote: [AF_UNSPEC]

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: GID set to nogroup

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: UID set to nobody

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: MULTI: multi_init called, r=256 v=256

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: IFCONFIG POOL: base=10.67.68.4 size=62, ipv6=0

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: MULTI: TCP INIT maxclients=1024 maxevents=1028

Oct  9 16:31:58 OSSIM-Server ovpn-AVinfraestructure[74948]: Initialization Sequence Completed

Oct  9 16:32:27 OSSIM-Server ansible-command: Invoked with executable=None shell=True args=echo "update alienvault.server set ip=inet6_aton('10.67.68.1') where id=unhex('036D4D569435D35BCC9C4B18A37B7446');" | ossim-db  removes=None creates=None chdir=None

步骤3：启动OpenVPN服务器

依次按照如下顺序选择菜单：

System Preferences → Configure Network → Setup VPN → Enable/Disable VPN，系统弹出如下界面。

按下空格键会移动星号，选择“yes”。退回控制台首页选择  Apply all Changes。

设置完成之后，我们输入“ifconfig”命令查看网络接口。

alienvault:~# ifconfig

eth0: flags=4419<UP,BROADCAST,RUNNING,PROMISC,MULTICAST>  mtu 1500

        inet 192.168.109.180  netmask 255.255.255.0  broadcast 192.168.109.255

        inet6 fe80::20c:29ff:fe7b:7446  prefixlen 64  scopeid 0x20<link>

        ether 00:0c:29:7b:74:46  txqueuelen 1000  (Ethernet)

        RX packets 1757  bytes 223259 (218.0 KiB)

        RX errors 0  dropped 0  overruns 0  frame 0

        TX packets 1270  bytes 408671 (399.0 KiB)

        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536

        inet 127.0.0.1  netmask 255.0.0.0

        inet6 ::1  prefixlen 128  scopeid 0x10<host>

        loop  txqueuelen 1  (Local Loopback)

        RX packets 293131  bytes 296935151 (283.1 MiB)

        RX errors 0  dropped 0  overruns 0  frame 0

        TX packets 293131  bytes 296935151 (283.1 MiB)

        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

tun0: flags=4305<UP,POINTOPOINT,RUNNING,NOARP,MULTICAST>  mtu 1500

        inet 10.67.68.1  netmask 255.255.255.255  destination 10.67.68.2

        inet6 fe80::bf15:63d9:10c8:66ba  prefixlen 64  scopeid 0x20<link>

        unspec 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00  txqueuelen 100  (UNSPEC)

        RX packets 0  bytes 0 (0.0 B)

        RX errors 0  dropped 0  overruns 0  frame 0

        TX packets 0  bytes 0 (0.0 B)

        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

输入netstat命令查看通讯端口是否已在监听状态。Openvpn是点对点通讯，所以上面出现了10.67.68.1和10.67.68.2两个地址。

alienvault:~# netstat -na |grep 33800

tcp        0      0 0.0.0.0:33800           0.0.0.0:*               LISTEN

从上看出，tun0接口和33800端口均工作在正常状态，步骤3设置成功。

观察路由表

OSSIM-Server:/etc/iptables# route -n

Kernel IP routing table

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface

0.0.0.0         192.168.109.2   0.0.0.0         UG    0      0        0 eth0

10.67.68.0      10.67.68.2      255.255.255.0   UG    0      0        0 tun0

10.67.68.2      0.0.0.0         255.255.255.255 UH    0      0        0 tun0

192.168.109.0   0.0.0.0         255.255.255.0   U     0      0        0 eth0

Sensor端在VPN添加完成之后的路由表

Sensor1:/etc/openvpn# route -n

Kernel IP routing table

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface

0.0.0.0         192.168.109.2   0.0.0.0         UG    0      0        0 eth0

10.67.68.0      10.67.68.11     255.255.255.0   UG    0      0        0 tun0

10.67.68.11     0.0.0.0         255.255.255.255 UH    0      0        0 tun0

192.168.109.0   0.0.0.0         255.255.255.0   U     0      0        0 eth0

观察服务器的VPN文件

观察进程

OSSIM-Server:~# ps -ef |grep openvpn

nobody     3197      1  0 11:00 ?        00:00:01 /usr/sbin/openvpn --writepid /run/openvpn/AVinfraestructure.pid --daemon ovpn-AVinfraestructure --status /run/openvpn/AVinfraestructure.status 10 --cd /etc/openvpn --config /etc/openvpn/AVinfraestructure.conf

root      18131  17833  0 11:36 pts/3    00:00:00 grep --color=auto openvpn

查看AVinfraestructure.conf文件的内容

#cat  /etc/openvpn/AVinfraestructure.conf

port 33800

proto tcp

dev tun

server 10.67.68.0 255.255.255.0            //为客户端设定IP网段

//服务器端OpenVPN证书文件统一放置在/etc/openvpn/AVinfraestructure/keys/目录之中

ca /etc/openvpn/AVinfraestructure/keys/ca.crt

cert /etc/openvpn/AVinfraestructure/keys/alienvcd.crt

key /etc/openvpn/AVinfraestructure/keys/alienvcd.key

dh /etc/openvpn/AVinfraestructure/keys/dh2048.pem

user nobody      //启动VPN进程的用户和组名称, openVPN服务使用nobody用户和nogroup组运行服务

group nogroup

verb 3

mute 20

keepalive 10 120

client-config-dir /etc/openvpn/ccd   //定义服务器读取特殊客户端配置文件的目录为ccd

comp-lzo

persist-key

persist-tun

ccd-exclusive

client-to-client

reneg-sec 300

配置文件中有关ccd目录的解释：

OSSIM-Server:/etc/openvpn/ccd# cat 192.168.109.190

ifconfig-push 10.67.68.10 10.67.68.11

从上面可以分析出，/etc/openvpn/ccd/192.168.109.190文件的作用就是要将配置文件推送到190这台客户端上。推送文件（/etc/openvpn/nodes/192.168.109.190.tar.gz）在服务器端，采用压缩包方式存在，系统会自动将这个压缩文件推送到190这台主机，并自动解压缩。

防火墙规则产生的变化​

在VPN客户端配置完成之后，为了确保通信正常，OSSIM端系统会自动对iptabls规则进行调整。例如/etc/iptables/rules0101-redis-server-otx.iptables文件会自动增加下面两行规则：​

-A INPUT -p tcp -m state --state NEW -m tcp --dport 6380 -s 10.67.68.10 -j ACCEPT​

-A INPUT -p tcp -m state --state NEW -m tcp --dport 6380 -s 10.67.68.1 -j ACCEPT​

步骤4： 在Sensor上启动VPN服务

具体步骤同步骤3

步骤5：在Server上配置 VPN 客户端

这里所指配置VPN客户端是在服务器控制台上添加192.168.109.190的客户端。

依次按照如下顺序选择菜单：

System Preferences → Configure Network → Setup VPN → Configure VPN client

这里IP地址填写Sensor的IP。提示输入口令输入Sensor的root用户口令。

接着系统开始添加VPN客户端

通过上述提示我们可以发现，客户端添加成功。退后系统弹出如下界面：

步骤6： 在Sensor上进行验证

观察接口​

在Sensor上输入ifconfig命令

alienvault:~# ifconfig

eth0: flags=4419<UP,BROADCAST,RUNNING,PROMISC,MULTICAST>  mtu 1500

        inet 192.168.109.190  netmask 255.255.255.0  broadcast 192.168.109.255

        inet6 fe80::20c:29ff:feb5:9b2  prefixlen 64  scopeid 0x20<link>

        ether 00:0c:29:b5:09:b2  txqueuelen 1000  (Ethernet)

        RX packets 30650  bytes 22213491 (21.1 MiB)

        RX errors 0  dropped 0  overruns 0  frame 0

        TX packets 4111  bytes 1033375 (1009.1 KiB)

        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536

        inet 127.0.0.1  netmask 255.0.0.0

        inet6 ::1  prefixlen 128  scopeid 0x10<host>

        loop  txqueuelen 1  (Local Loopback)

        RX packets 13716  bytes 659416 (643.9 KiB)

        RX errors 0  dropped 0  overruns 0  frame 0

        TX packets 13716  bytes 659416 (643.9 KiB)

        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

tun0: flags=4305<UP,POINTOPOINT,RUNNING,NOARP,MULTICAST>  mtu 1500

        inet 10.67.68.10  netmask 255.255.255.255  destination 10.67.68.11

        inet6 fe80::bcf0:29ac:8262:9859  prefixlen 64  scopeid 0x20<link>

        unspec 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00  txqueuelen 100  (UNSPEC)

        RX packets 0  bytes 0 (0.0 B)

        RX errors 0  dropped 0  overruns 0  frame 0

        TX packets 0  bytes 0 (0.0 B)

        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

观察通讯端口：​

alienvault:~# netstat -na | grep 33800

tcp        0      0 192.168.109.190:50348   192.168.109.180:33800   ESTABLISHED

查看路由​

Sensor1:~# ip route

default via 192.168.109.2 dev eth0 onlink

10.67.68.0/24 via 10.67.68.11 dev tun0

10.67.68.11 dev tun0 proto kernel scope link src 10.67.68.10

192.168.109.0/24 dev eth0 proto kernel scope link src 192.168.109.190

OSSIM-Server:~# ip route

default via 192.168.109.2 dev eth0 onlink

10.67.68.0/24 via 10.67.68.2 dev tun0

10.67.68.2 dev tun0 proto kernel scope link src 10.67.68.1

192.168.109.0/24 dev eth0 proto kernel scope link src 192.168.109.180

观察openvpn进程​

Sensor1:/etc/openvpn# ps -ef |grep openvpn

nobody     1860      1  0 23:01 ?        00:00:00 /usr/sbin/openvpn --writepid /run/openvpn/192.168.109.190.pid --daemon ovpn-192.168.109.190 --status /run/openvpn/192.168.109.190.status 10 --cd /etc/openvpn --config /etc/openvpn/192.168.109.190.conf

说明：Sensor（192.168.109.190）上产生的证书文件和配置文件

/usr/sbin/openvpn进程会调用/etc/openvpn/192.168.109.190.conf这个配置文件，然后启动一个进程。

配置文件192.168.109.190.conf​

我们首先查看该文件的内容：

#cat /etc/openvpn/192.168.109.190.conf

步骤7：在Sensor上发起连接到Server的请求

从浏览器登录Web UI

见到下图后，说明添加Sensor成功。

在WebUI中查看

观察远程Sensor状态

观察Server装态

总 结

        经过以上七个步骤Server和Sensor之间通过VPN建立的加密通道已经建立。刚安装完成的系统默认主机名都是alienvault，为了便于观察我们登录终端修改计算机名称将Sensor改为 Sensor1，Server改名为OSSIM-Server，在步骤3完成之后，Web UI中我们可以观察alienvault主机的状态。

备注：搭建好的系统截图可供大家实验参考

2022年51CTO学堂讲师评选正在进行中，希望各位投上宝贵一票。

​​ https://edu.51cto.com/lecturer/350944.html​​​

(以用户ID登录并进行投票)