AnyConnect 在 Linux 上的安装并不是很方便，这篇文章将会介绍如何在 Linux 上安装以及配置 AnyConnect，以及一些常见问题的解决方法。
安装 AnyConnect您可以从任意源下载并安装 AnyConnect，以 root 权限执行压缩包中的 vpn_install 可执行程序即可安装 AnyConnect。
解决证书错误问题出于某些原因，AnyConnect 的默认 CA 证书库完全无法使用，所以我们用 Linux 自带的 CA 证书库来代替 AnyConnect 的证书库。
1 2 sudo mv /opt/.cisco/certificates/ca ca.backup # 备份证书库 sudo ln -sf /etc/ssl/certs/ /opt/.cisco/certificates/ca # 将系统证书库软链接到 AnyConnect 导入用户证书Linux 上的 AnyConnect 无法读取 PKCS12 或 P12 证书，并且 Linux 也没有证书库，所以我们需要将私钥和公钥从 P12 证书中提取出来并放置在 AnyConnect 目录下。注意公钥和私钥名称必须相同， 如果公钥名称是 user.pem，那么私钥名称必须是 user.key。
从 PKCS12 证书中提取公钥其中 [email protected] 为输入 P12 证书，/opt/.cisco/certificates/client/[email protected] 为输出公钥。
1 openssl pkcs12 -in [email protected] -out /opt/.cisco/certificates/client/[email protected] -nokeys 从 PKCS12 证书中提取私钥其中 [email protected] 为输入 P12 证书，/opt/.cisco/certificates/client/private/[email protected] 为输出私钥。
1 openssl pkcs12 -in [email protected] -out /opt/.cisco/certificates/client/private/[email protected] -nocerts -nodes - https://k4yt3x.com/%E5%9C%A8-linux-%E4%B8%8A%E5%AE%89%E8%A3%85-anyconnect/ - 2019-2024 K4YT3X. All rights reserved.此篇教程将会介绍如何在原生纯净 Debian 10 环境下进行最简单最基础的 Trojan 安装与配置。同时，本篇教程将会使用 letsencrypt 作为 CA。
安装 TrojanTrojan 在 Debian 上可以通过 apt 直接从 Debian 源安装。您如果想要自定义安装的话，也可以选择手动编译。本教程仅会覆盖从源安装的方法。
1 sudo apt install trojan 配置 SSL/TLS 证书 获取 SSL/TLS 证书有许多种可以在 Debian 上获取 SSL/TLS 证书的方法，其中效率最高、性价比最高的方法个人认为是 letsencrypt. 本篇将介绍利用 letsencrypt 获取证书的方法。
首先我们需要安装 certbot 包。certbot 将会协助我们在系统上验证域名所有权，获取证书并部署证书。
1 sudo apt install certbot安装完 certbot 之后我们就可以开始获取证书了。在获取证书之前，certbot 首先会验证您域名的所有权，也就是通过各种方式来验证您是否是对希望申请证书的域名拥有合法的完全控制。certbot 提供多种验证方式，此篇教程中仅会介绍最基础的默认验证方式。
certbot 具体语法是：
1 sudo certbot certonly --agree-tos --standalone --no-eff-email -m 【您的邮箱】 -d 【域名】比如，如果我们想要注册 node.flexio.org 的域名，那么我们就需要执行以下命令：
1 sudo certbot certonly --agree-tos --standalone --no-eff-email -m [email protected] -d node.flexio.org注册成功后显示的消息大致如下：
1 2 3 4 5 6 7 Saving debug log to /var/log/letsencrypt/letsencrypt.log Plugins selected: Authenticator standalone, Installer None Obtaining a new certificate Performing the following challenges: http-01 challenge for node.flexio.org Cleaning up challenges Problem binding to port 80: Could not bind to IPv4 or IPv6.如果您希望同时也给网页服务器配置证书的话，也可以选装 python3-certbot-apache 或者 python3-certbot-nginx 等包，并把文中 certbot 命令中的 certonly 去掉。
更改证书权限如果不更改 letsencrypt 的权限并且 Torjan 以 nobody 权限运行，那么 Trojan 进程将会无法读取证书，也就无法启动。这个问题有多种解决方案，这篇教程将会介绍两种解决方案。
1. 创建独立服务用户我们可以给 Trojan 创建一个独立账户，并给这个账户访问证书的权限。
在 Linux 系统上，实现这个效果的逻辑为：
这种解决方案相对专业、精确并且安全。推荐使用这种合理设计的方案，而不是采用让所有人都能读取证书这种不安全的方案。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 # 创建用户和用户组 useradd -M trojan # 为 Trojan 创建没有 home 的服务用户 usermod -L trojan # 禁止该账户登录使用交互终端 groupadd certusers # 添加一个用户组 usermod -aG certusers trojan # 将 trojan 用户添加进 certusers 组 # 调整权限 # 将 letsencrypt 目录所有权交给 certusers 用户组 chown -R root:certusers /etc/letsencrypt # 让组用户能够 passthrough 访问 archive 和 live 目录 chmod g+x /etc/letsencrypt/archive chmod g+x /etc/letsencrypt/live # 私钥默认权限是 -rw------- # 这条命令给用户组读取该文件内容的权限 chmod g+r /etc/letsencrypt/archive/【您的网站】/privkey1.pem随后编辑 /lib/systemd/system/trojan.service 文件并将 User=nobody 更改为 User=trojan，再运行 systemctl daemon-reload 来重新加载 service 文件。最后运行 systemctl restart trojan 来启动/重启服务。
2. 开放 letsencrypt 证书目录权限这种解决方案较简单，但是非常不安全。如果您有多个服务或运行在同一个服务器上，或者有除您以外的用户可以访问服务器，那么请不要使用这种解决方案。
1 sudo chmod -R 755 /etc/letsencrypt这条命令将会允许服务器上的任何人读取您的私钥，所以非常不推荐在将会长时间稳定运行的服务器上使用这种鲁棒式的配制方法。
配置 Trojan 配置 Trojan 证书我们需要编辑 Trojan 的配置文件，用您喜欢的编辑器打开 /etc/trojan/config.json 文件。您也可以考虑在修改文件之前先对文件进行备份：
1 2 cp /etc/trojan/config.json /etc/trojan/config.json.backup # 备份 cp /etc/trojan/config.json.backup /etc/trojan/config.json # 恢复letsencrypt 获取的证书路径将会遵循 /etc/letsencrypt/live/【域名】/ 的规律。例如，我们上文中为 node.flexio.org 获取的证书就将保存在 /etc/letsencrypt/live/node.flexio.org/，公钥为 /etc/letsencrypt/live/node.flexio.org/fullchain.pem，私钥为 /etc/letsencrypt/live/node.flexio.org/privkey.pem。
接下来我们需要做的就是将 Trojan 配置文件中的秘钥路径替换为我们自己证书的路径，将 cert 的值替换为 /etc/letsencrypt/live/【域名】/fullchain.pem，将 key 的值替换为 /etc/letsencrypt/live/【域名】/privkey.pem。
1 2 3 4 5 6 7 8 { ... "ssl": { "cert": "/etc/letsencrypt/live/node.flexio.org/fullchain.pem", "key": "/etc/letsencrypt/live/node.flexio.org/privkey.pem", } ... }在配置完证书以后，Trojan 就已经可以运行了，如果不希望更改端口和密码的话 （不推荐），可以直接转到 “启动 Trojan 服务”。
配置 Trojan 端口与密码在 Trojan 配置中，local_port 键定义了 Trojan 服务的监听端口，而 password 键的列表则包含了所有的密码。要更改 Trojan 的端口和密码很简单，只需要在配置文件中替换相关的值即可。
1 2 3 4 5 6 7 8 9 10 11 12 13 { ... "run_type": "server", "local_addr": "0.0.0.0", "local_port": Trojan 端口, "remote_addr": "127.0.0.1", "remote_port": 80, "password": [ "密码1", "密码2" ], ... } 启动 Trojan 服务在配置完成后，我们就可以启动 Trojan 服务了。Debian 使用 systemd 管理服务，而用户则使用 systemctl 来管理 systemd。
启动 Trojan 服务：
1 sudo systemctl start trojan停止 Trojan 服务：
1 sudo systemctl stop trojan重载 Trojan 配置文件：
1 sudo systemctl reload trojan Trojan 问题排除您可以在启动 Trojan 服务之后通过 sudo systemctl status trojan 来查看 Trojan 服务状态，如果输出显示红色错误文本的话，那您的配置可能出现了问题。
常见问题以及解决方案
问题 潜在解决方法 无法读取证书 更改 letsencrypt 证书权限 - https://k4yt3x.com/trojan-%E5%9C%A8-debian-%E4%B8%8A%E7%9A%84%E5%9F%BA%E7%A1%80%E5%AE%89%E8%A3%85%E4%B8%8E%E9%85%8D%E7%BD%AE/ - 2019-2024 K4YT3X. All rights reserved.在 AWD 模式下经常碰到不死马, 不干掉的话就会一直被偷 flag, 很难受. 所以研究一下怎么干掉.
In this episode, we’ll hear from Wayne Anderson, Enterprise Security Architect at McAfee and Dan Flaherty from the cloud security...
The post ST03: Cloud Technology Trends with Wayne Anderson and Dan Flaherty appeared first on McAfee Blog.