OpenConnect server(ocserv) 一键脚本 for deibian 7+
该脚本在deibian 7+/ubuntu 14.04-15.10(2015-10-31)上进行过测试，默认使用密码方式登录，思科anyconnect客户端可连可用。
AnyConnect是思科的安全远程接入解决方案，之前只有思科的设备才支持。
ocserv(OpenConnect server)是一个OpenConnect SSL 协议服务端，0.3.0版后兼容使用AnyConnect SSL 协议的终端。
官方主页：http://www.infradead.org/ocserv/
2015年7月6日
更新和提示：
1，默认使用ocserv的0.10.6版本，由于移除了服务端路由规则数量限制，脚本不再询问路由规则限制数。
2，自签证书全部使用sha256签名算法，且完善证书链。
3，增加支持ubuntu 14.10、15.04。（但不建议使用非LTS版本ubuntu）
4，证书登录方式增加支持自定义客户端证书的CN名。
5，添加了更加完整的安装日志。
6，更新启动管理脚本，增加debug模式，下文说明。
7，支持用户名密码登录和证书登录同时开启，下文说明。
8，增加了相同客户端证书可以登录多个服务器的方案，下文说明。
9，修复一些其他小问题。
2015年5月1日
更新和提示：
1，编译安装freeradius-client-1.1.7，便于freeradius认证。（/etc/radiusclient/radiusclient.conf）
2，编译安装lz4。（/usr/local）
3，随机字符串获取剔除容易识别错误的字符例如0和O等等。
4，增加DH parameters。
5，关于GSSAPI认证，开启支持下文说明。
6，兼容debian 8 (jessie)。
7，在没有卸载依赖的情况下，支持平滑升级降级，升降级之后原来用户数据保留；也可以选择强制重装，抹掉原来数据。
2015年4月8日
更新和提示：
1，允许自定义客户端证书的到期日期。
2，默认从github编译安装依赖包lz4，避免某些情况下会破坏系统，但仍然可以选择强制从debian Jessie更新liblz4-dev。
3，增加对ubuntu 14.04的支持 。
2015年3月25日
更新与提示：
1，增加了ocserv最新版本检测，默认推荐使用0.10.1版本 。
2，如果为了稳定使用，这里并不推荐使用最新版本，有些最新发行版由于存在严重bug很快被更新的版本替代。
3，增加支持证书登录以及吊销证书。
4，默认开启lz4压缩，据说能极大提升速度。
5，默认是tcp和udp同时开启，若速度不佳，可在安装时选Only use tcp-port，或在配置文件里面注释掉udp端口。
6，曾经使用过该脚本安装的朋友，可以通过下面提到的命令升级重装。
2015-01-27
更新：依然使用0.8.9版本进行编译安装，增加了一些自定义选项，但不支持证书登录。
由于各种依赖较新，debian 7以下不支持。openvz需要支持打开tun/tap服务。
关于这个一键脚本的github放置点
https://github.com/fanyueciyuan/eazy-for-ss/tree/master/ocservauto
编译安装总结（jessie）
一，安装步骤：
1，安装与调试
如果这是纯净新系统的话，请先更新一下系统。
apt-get update && apt-get upgrade -y
首次安装，终端输入以下命令
wget git.io/p9r8 --no-check-certificate -O ocservauto.sh&&bash ocservauto.sh
如果您以前使用了该脚本进行安装，只需要输入下面命令更新（只更新相关脚本，服务器不会更新）
wget git.io/ocservauto -O- --no-check-certificate|bash -
如果使用自动安装，默认是使用用户名和密码登录，只需要输入初始用户名和密码，回车即可自动安装完成。
如果使用自定义安装，请输入自己的要求来完成安装。
下面是进入脚本之后一些选项说明解释。
如果安装顺利，最后给出您的相应信息，例如
如果安装失败可以查阅安装日志，即脚本所在文件夹的ocinstall.log文件，可以使用下面命令逐步阅读
more ocinstall.log
空格键，向下滚动一屏；Ctrl+b，返回上一屏；q，退出。
一般情况下安装成功之后，服务器就在启动状态了。
这里可以简单使用本地浏览器查看服务器信息，在本地浏览器输入https://IP或域名:（英文冒号）端口
如果您仍然无法连到服务器或者出现其他问题，那么请使用debug模式。
如果您以前使用了该脚本进行安装，这里请先通过前面所说的，更新一下脚本。
首先关闭服务器，然后开启调试模式
/etc/init.d/ocserv stop /etc/init.d/ocserv debug
此时不要关闭终端，使用客户端登录服务器，在终端屏幕下就会显示即时日志，以供调试改错。
2，简单用户管理
a，用户名密码验证方式
若要新建可用用户，输入以下命令
sudo ocpasswd -c /etc/ocserv/ocpasswd 999
这里的 “999”是新建的用户名。接着输入两次同样的密码，完成新建用户。
b，证书登录方式
所有用户的p12证书文件可以在放置脚本的目录下找到，导入证书时请输入自己设定的密码。
新建客户证书用以下命令
bash ocservauto.sh gc
吊销客户证书请使用下面命令
bash ocservauto.sh rc
3，脚本其他参数说明
a，平滑升级ocserv
请输入以下命令，原来的用户数据都会保留
bash ocservauto.sh ug
b，强制重装ocserv
请输入以下命令，注意这会使您的用户数据和配置丢失
bash ocservauto.sh ri
c，同时开启证书登录和用户名密码登录
请务必首先选择任意一种登录方式来完成安装，接着再使用下面命令
bash ocservauto.sh pc
d，关于相同客户端证书可以登录多个服务器的方案
假定我们有三台服务器ABC。
在A服务器上，通过本脚本安装ocserv并选择使用证书登录方式。
于/etc/ocserv目录下可以找到ca-cert.pem文件。这里复制备用，ca-cert.pem不用保密，可以直接挂在公网上。
在BC服务器上下载本脚本，并且请在同文件夹下放置A服务器上的ca-cert.pem，然后执行
bash ocservauto.sh occ
这里ABC服务器共用了A服务器的验证证书。
想要获取新证书，请在A服务器上执行
bash ocservauto.sh gc
也可以使用该客户端证书登录BC服务器。
如想要吊销证书，请在A服务器上执行
bash ocservauto.sh rc
吊销所有想要吊销的证书。
由于不支持在线吊销证书列表，所以必须还要把A服务器上的/etc/ocserv/crl.pem文件同时复制到BC服务器相同位置，且把ocserv的配置文件中的
#crl = /etc/ocserv/crl.pem
去掉注释，最后重启BC服务器的ocserv。
二，使用步骤
这里以安卓为例，由于是自签证书，需要关掉客户端设置中的“阻止不信任的服务器”。
服务器需要填写的是自己服务器的地址加端口，例如9.9.9.9:999，必须要填写自己的端口！
关于客户端的获取，安卓、IOS、WindowsPhone在官方市场可以获取，特殊说明的是WindowsPhone是BETA版，如下
http://www.fanyueciyuan.info/jsxj/wp-anyconnect.html
三，附加说明
1，所有配置文件统一放到了/etc/ocserv/文件夹下，管理脚本为/etc/init.d/ocserv 。自行修改配置后，可以使用下面命令重启服务。
/etc/init.d/ocserv restart
2，该脚本下ocserv的证书逻辑。
a，用户名密码登录
自签CA（证书授权中心），取得ca-cert.pem（不需要保密，类比公钥）和ca-key.pem（需要保密，类比私钥）。
CA签发信任服务器证书，取得server-cert.pem（不需要保密，类比公钥）、server-key.pem（需要保密，类比私钥）。
该模式下，密码库是/etc/ocserv/ocpasswd文件。
如果想使用购买的服务器证书，请参考Nginx服务器证书配置，只需将对应的crt、key 文件重命名为server-cert.pem、server-key.pem，并覆盖到/etc/ocserv/文件夹下面。
b，证书登录
自签CA（证书授权中心），取得ca-cert.pem（不需要保密，类比公钥）和ca-key.pem（需要保密，类比私钥）。
CA签发信任服务器证书，取得server-cert.pem（不需要保密，类比公钥）、server-key.pem（需要保密，类比私钥）。
CA签发信任客户端证书，最终取得username.p12。
这里证书授权中心的ca-cert.pem既当作服务器证书的根证书，也当作客户端证书的验证证书。
由于CA证书当作验证证书，签发客户端证书就需要这个ca-key.pem，可以比同为密码库。
如果想使用购买的服务器证书，请参考Nginx服务器证书配置，只需将对应的crt、key 文件重命名为server-cert.pem、server-key.pem，并覆盖到/etc/ocserv/文件夹下面。
3，改善优化
修改的参数都在/etc/ocserv/ocserv.conf文件中。
a，对于某些移动宽带、长城带宽等，往往经过了很多重NAT，容易出现连接成功但是无法打开网页情况，请改小dpd、mobile-dpd数值。
b，如果vps对于本地延迟甚高，取消注释output-buffer项。
已有 570 条评论
搬瓦工成功。。2分钟~
单网卡，HostWithLinux的机器，ubuntu 14.04 x64
0 0 MASQUERADE all -- * * 192.168.10.0/24 !192.168.10.0/24另有双网卡均公网IP，另eth0:0的方式绑定了3个ip也判断失败。
Chain POSTROUTING
这个是探测主ip的，想用其他附属ip自己填写即可。
主要是这个感叹号是怎么来的？
允许内网用户交流。
博主的每次ocserv跟新内容都是哪里看的呢？
顺便能不能问一下怎么设置长时间连上不用，取消自动切断vpn呢？
官网看更新内容，不过最近官网挂了。
可以去gitlab直接看看
https://gitlab.com/ocserv/ocserv/blob/master/NEWS
官网好了，能否给个网址呢？
这个就是官网的更新日志。它开发环境迁移到了gitlab了。
这个真是太棒了！！！在虚拟机Ubuntu15.04上安装成功，使用cisco的客户端连接成功。试问下有没有centos的一键脚本？
谷歌一下centos就有的。。
Connecting to ftp.infradead.org (ftp.infradead.org)|2001:770:15f::2|:21... failed: Connection timed out.
请问怎么解决？？
请问如何跳过这个执行下一个命令你？
额源码包都提取不到，没办法下一步吧。。
还是更新脚本吧。
ocserv的官网挂了，重新下载脚本吧。
新脚本会判断如果无法连接到官网，会从github上下载0.10.8版本。
https://github.com/fanyueciyuan/ocserv-backup
在下载这个包的时候出错了 这个下载地址是不是不对 我改成0.10.6也不行
--2015-09-25 03:06:10-- ftp://ftp.infradead.org/pub/ocserv/ocserv-0.10.7.tar.xz
(ftp.infradead.org)|85.118.1.10|:21... failed: Connection timed out.
我在这下载到0.10.7的包 也部署好了 不知道有没有人有原版的帮我校验一下文件 osdir.com/ml/scm-fedora-commits/2015-08/msg03719.html
git.infradead.org/ocserv.git/tags能找到相应版本镜像包。
解压包后需要额外执行autoreconf -fvi。
没找到下载链接 我用git clone 也无法下载 请问所谓的镜像包在哪里下载？
每个版本后面有个commit，点进去里面都有snapshot，快照就是下载地址。
看到了 之前有点着急没看到后面的 谢啦
www.infradead.org/ocserv/的官网挂了，一直在重试，我从gitlab.com/ocserv/ocserv这里有源码build了一个，博主需要更新下脚本........
.........评论内容中包含敏感词汇.......这个。。。。
sendy有更新好的脚本么，小白还是喜欢有更新好的脚本哈哈
别带http头，会被视为广告的。那个gitlab是开发版的，还是应该采取发行版好点。挂的时间有点久-_-||
可以临时改一下脚本 我觉得部署起来好一点 哈哈
infradead.org不能加载，安装不能完成，请问怎么办，谢谢
看起来是官网挂了。
请教一下，你的脚本安装是屏幕上的文字是带颜色和背景色的，这个在脚本里是怎么写的？
谢谢
github上的源码都有哇，你找找就看到了。print_info里面。
Ubuntu 14.04.1 LTS \n \l
3.13.0-24-generic
INSTALL INFO
^[[1;36mRoot ok^[[0m
....
^[[1;36mTUN/TAP ok^[[0m
^[[1;36mNot installed ok^[[0m
^[[1;36mInstalling base-tools......^[[0m
然后就停在那儿了？
在安装一些工具包，需要等等。
现在官网似乎不是那么稳定，可能下不到ocserv的源码包。
ocserv官网已经打不开了,海外节点也ping不通。希望能临时更换一下软件包地址,谢谢!
官网挂了，但是git镜像还在，应该不会挂太久。
如果急用的话，在git.infradead.org/ocserv.git能找到相应版本镜像包。
解压包后需要额外执行autoreconf -fvi。
一次部署，一次成功！是目前网上为数不多的有效配置！感谢感谢！PS：VPS环境为搬瓦工
infradead的ftp好像挂了，连不上
infradead挂了？我联不上去，报错。
Resolving ftp.infradead.org (ftp.infradead.org)... failed: Name or service not known.
wget: unable to resolve host address ‘ftp.infradead.org’
博主，我做了小实验，发现只要vps上开启oc服务，ping10分钟丢包率陡增到48%接近50%。关闭服务后，同样的时间内丢包率到1%甚至没有。oc协议太明显，能主动探测，墙已经能够定点爆破了？
这个协议很好封，只是考虑到很多公司使用的这个协议，不能完全封而已。可以试试开启或者关闭udp端口，或许会好点。
有无可能配合stunnel或obfs一起来混淆流量实现规避探测？
还不如直接openvpn（udp）+obfs4or3，这个方案只是为了没法用shadowsocks的某些系统的备选方案而已。
请教博主,哪里可以下载安全的anyconnect client？
anyconnect 只要下载下来就是安全的
那些第三方提供的客户端下载，没问题？
思科软件自带数字签名，安装之前看看签名是否无误。
anyconnect本身是提供给企业使用的，cisco做的协议，还能怎样插入恶意后面？
太厉害了!光是评论就可以解决很多问题
感谢博主的脚本，让我部署oc更加快捷。不过使用一段时间后，发现虽然连接上但是依然没有网络，日志显示这个错误
worker: tlslib.c:378: no certificate was found
接着就是：user disconnected 求解？
这个是日志显示的是它验证机制的问题，你需要做的最可能是是改小dpd。
好的，谢谢！最近我的vps延迟在加重，怀疑是墙的问题。
这个脚本太赞了！
能不能写个ikev2的一件脚本哈～网上其他搜索的都不顺手
ikev2坑了。。
这边移动ikev2封锁严重，直接没法用。
请问在同一台服务器上部署了你的思科方案，能否同时再安装shadowsocks服务，两个服务会不会发生干扰，我是服务器是双IP，ocserv配文件里可否实现双IP通信
并不冲突，并建议这么做。建议绑定域名，多ip可以均衡负载。
" 并不冲突，并建议这么做。建议绑定域名，多ip可以均衡负载。"
_ 多IP 的VPN 布置负载均衡复杂吗？Google不到专门的教程
我成功部署了ocserv和ss服务，经过优化使用起来相当不错，我没有绑定域名，采用的两个服务各指定一个IP。我想向你请教一个新问题，ocserv服务我想设置所有国内地址不经路由直连，国外地址一律路由。我要怎么修改配置文件里的路由字段部分？谢谢你的帮助
由于路由条目的限制（客户端200条），并没有完善的路由表。在/etc/ocserv/config-per-group/Route 文件中有份路由表可以参考。
这个表里no-Rotue,是针对特定的用户组，有没办法通过script来根据address-list.rsc实现精细化路由？我在github社区看到有人说cisco anyconnect是支持script的，但没有找到相关的教程，附上网址：https://gist.github.com/bao3/bc717ec2294257209c30
感谢反馈，我抽空看看。
期待你有新进展
出现新问题，我的PC是windows10系统，思科客户端首次可以成功连接，电脑重启后，无法连接，提示：AnyConnect was not able to establish a connection to the specifled secure gateway. Please try connecting again.手机端又正常连接，我PC上防火墙并未阻止VPN连接，会不会是配置文件的问题？
1，关闭电脑端wifi分享
2，思科客户端在使用自签证书容易出现这个错误。可以使用非自签证书或者把ca证书都导入到受信任的根证书。
下载发思科4.1的客户端解决了Windwos登陆问题