服務端ubuntu server 14.04

客戶端windows 7

服務端ubuntu

以下在ubuntu server上操作

samba的設定

在配置檔案中限制只服務內網介面和lo

interfaces = eth1 127.0.0.0/8

bind interfaces only = yes

stunnel的安裝

ubuntu上使用stunnel4做服務端

sudo apt-get install stunnel4

把檔案/etc/default/stunnel4中的

ENABLED=1設定為1使能自動啟動

證書準備

參考http://blog.csdn.net/zahuopuboss/article/details/8664446

準備CA證書，並使用CA簽發2份證書

1份給服務端使用，1份給客戶端使用

如果有多個客戶端，則簽發多份

例如：cacert.pem，serverprivkey.pem，servercert.pem，clientprivkey.pem，clientcert.pem

使用命令openssl x509 -hash -in servercert.pem -noout得到證書的雜湊值XXXXXXXX

以XXXXXXXX.0為名稱複製servercert.pem

對客戶端證書同樣操作得到以雜湊值命名的證書檔案

用於服務端與客戶端進行相互的證書認證

服務端stunnel配置

配置檔案/etc/stunnel/stunnel.conf

內容如下：

chroot = /var/lib/stunnel4/
setuid = stunnel4
setgid = stunnel4
pid = /stunnel4.pid
debug = 7
output = /stunnel.log

ciphers = DHE-RSA-AES256-SHA256

client = no
cert = /etc/stunnel/servercert.pem
key = /etc/stunnel/serverprivkey.pem

verify = 3
CApath = /certs
CAfile = /etc/stunnel/cacert.pem

[smb]
accept = 9999
connect = 445

CApath是相對chroot路徑的，在chroot路徑下建立certs目錄

把以雜湊值命名的客戶端證書放置在CApath路徑下

驗證方式verify設定為3，使用本地儲存的證書（CApath下雜湊值命名的證書）來驗證對端的證書

客戶端win7

以下在windows上操作

新增loop介面

控制面板 -> 裝置管理器 -> 選單操作 -> 新增過時硬體

手動選擇 -> 網路介面卡

Microsoft -> Microsoft Loopback Adapter

新增完成後

開啟網路和各項中心 -> 更改介面卡設定 -> 右擊Loopback介面 -> 屬性

使用的專案只保留IPv4 -> 進入該項的高階設定 -> 禁用NetBIOS

設定Loopback介面IP為10.0.0.1

關閉共享服務

控制面板 -> 管理工具 -> 服務

禁用server服務

以便stunnel可以監聽445埠

重啟電腦

客戶端stunnel下載

https://www.stunnel.org/downloads.html

下載installer.exe安裝

stunnel設定

右擊狀態列圖示，點選edit configration

內容如下：

debug = 7

client = yes
[smb]
accept = 10.0.0.1:445
connect = serveripordomain:9999
CAfile = cacert.pem
verify = 3
cert = clientcert.pem
key = clientprivkey.pem
CApath = ./certs/

在安裝路徑下的config目錄內建立certs目錄

把以雜湊值命名的服務端證書放到cert目錄內

驗證方式verify設定為3，以便驗證服務端

點選reload configration

使用\\10.0.0.1\xxx訪問samba服務

驗證方式說明

verify = 3

Verify the peer against a locally installed certificate.

不但會使用CA驗證對端證書的有效性（同level2，可以有效避免中間人攻擊）

還會驗證CApath是否存在一份對端證書的拷貝（避免證書濫用，因為CA頒發的證書中不一定都是用來連線stunnel的）

雙方都使用verify = 3進行互相認證

參考

https://www.stunnel.org/static/stunnel.html

https://www.stunnel.org/pipermail/stunnel-users/2013-September/004337.html

https://www.stunnel.org/downloads.html

http://blog.csdn.net/zahuopuboss/article/details/8664446

https://gigacog.com/blog/2016/02/cifs-over-ssl-with-stunnel-and-windows-client/

https://www.digitalocean.com/community/tutorials/how-to-set-up-an-ssl-tunnel-using-stunnel-on-ubuntu

https://wiki.netbsd.org/tutorials/how_to_secure_samba_with_stunnel/