我用 ocserv 搭建了一个 AnyConnect 服务器，用的是 certificate 验证模式，我想对每个用户做流量统计。
我从样例配置文件里面知道 ocserv 支持 connect-script ，并且会把 REASON, USERNAME, GROUPNAME, HOSTNAME, DEVICE, IP_REAL, IP_LOCAL, IP_REMOTE 作为变量传递给脚本。但问题是，我写了一个脚本把以上变量打印出来，结果 USERNAME, GROUPNAME, HOSTNAME 是空的，这样就无法识别用户了。
所以应该怎么解决呢？
 |
1
azuis Jan 30, 2015
证书认证是没有 USERNAME 的。
|
 |
2
abcdabcd987 OP @azuis 呃，那市面上卖的 AnyConnect 都是用用户名密码认证的吗？每次输入密码觉得好麻烦
|
 |
3
zk8802 Jan 30, 2015
配置文件中可以开启 cert-user-oid 和 cert-group-oid，这样就能用证书中得到用户名和组名了。
我的 Cisco AnyConnect 是通过证书认证的，做起来不难。 |
|
4
abcdabcd987 OP @zk8802 对对对，我有看到这两条，但是我昨天试了下，不知道那两个值要怎么填，求教？？
|
|
5
zk8802 Jan 30, 2015  4
这两条的含义就是从客户端证书中取出与指定 OID 对应的项作为 username 和 groupname。只要指定好 OID 就可以了。
例如要使用证书的 CommonName 作为 username，就写 cert-user-oid = 2.5.4.3。 在 ocserv 中，这个功能是通过调用 gnutls_x509_crt_get_dn_by_oid() 来实现的，请参考 worker-auth.c 的 get_cert_names() 函数。 X.509 OID 的列表： https://technet.microsoft.com/en-us/library/cc772812(WS.10).aspx 关于 OID 的介绍： http://en.wikipedia.org/wiki/Object_identifier |
|
6
abcdabcd987 OP @zk8802 啊，太感谢了，原来昨天我理解错了那行注释的意思…… It Works!
|
|
7
zk8802 Jan 30, 2015
嗯，不用谢。
|
 |
8
pfitseng Jan 30, 2015
楼主写的脚本能共享一下吗
|
 |
9
exodusbo Feb 22, 2015
@abcdabcd987 请教楼主的script方法
|
 |
10
mvevooceanjc Apr 20, 2015
@abcdabcd987 请问楼主是如何实现的证书验证的同时分组的呢？我在验证的时候会出现以下错误：sec-mod: user '' requested group 'group2' but is not included on his certificate groups，证书里面的组是group1。。。无力了，求解啊，谢谢！！
|
 |
12
RandomUser Mar 9, 2017
@mvevooceanjc 我也碰到这个问题了，请问后来解决了吗？
|
Select Language