Ubuntu 快速安装 OpenConnect：命令行实战与配置指南

• 为什么选择 OpenConnect 在 Ubuntu 上连接企业或个人 VPN
• 安装与组件说明
• 命令行快速上手：关键步骤（文字说明 + 示例命令）
• 常见选项与安全性要点
• 桌面集成与自动化场景
• 路由策略与拆分隧道（split tunneling）
• DNS 泄露与 IPv6 注意事项
• 防火墙与“杀开关”实现
• 故障排查清单
• 替代方案与对比视角
• 运维与安全实践小结

为什么选择 OpenConnect 在 Ubuntu 上连接企业或个人 VPN

在 Linux 平台上，尤其是 Ubuntu，OpenConnect 已经成为替代传统 AnyConnect 客户端的稳定方案。它兼容多种 VPN 服务器（尤其是基于 Cisco AnyConnect 的服务），并且有命令行与图形两套客户端可用，适合服务器与桌面两种场景。对于注重透明度、易维护和脚本化的技术爱好者，OpenConnect 提供了灵活且可控的连接方式。

安装与组件说明

在 Ubuntu 上，OpenConnect 生态主要由以下组件组成：

• openconnect：命令行客户端，适合脚本化和远程服务器使用。
• network-manager-openconnect / network-manager-openconnect-gnome：将 OpenConnect 集成到 NetworkManager，便于在桌面环境下使用图形界面配置。
• ocserv（可选）: 自家的服务器实现，如果你想搭建 OpenConnect 服务器，可以使用 ocserv。

安装过程中需要注意依赖的 VPN 脚本（如 vpnc-script）和证书验证工具，以及是否启用 DTLS（数据报传输层安全）等特性。

命令行快速上手：关键步骤（文字说明 + 示例命令）

在没有图形界面的场景下，使用命令行是最常见的方式。下面是常规流程的文字描述，并附带常用命令的示例便于理解。

1) 更新软件源并安装客户端：先确保系统包为最新，然后安装 OpenConnect。本质上只需要一条安装命令。

sudo apt update
sudo apt install openconnect

2) 建立连接：使用 openconnect 指定服务器、用户名，并选择是否启用 DTLS。可以通过交互式输入密码，或通过标准输入传递密码以便脚本化。

sudo openconnect --protocol=anyconnect vpn.example.com -u username

3) 挂载路由与 DNS：连接后，openconnect 会调用系统的 vpnc-script（或内置脚本）来设置路由和 DNS。如果你使用的是 systemd-resolved，需要确认脚本与 resolv 配合正常。

常见选项与安全性要点

在使用时，需要关注以下选项与安全实践：

• 证书校验：优先使用服务器证书指纹校验（–servercert）或受信任 CA，避免盲目信任，减少被中间人攻击风险。
• DTLS/UDP 模式：DTLS 性能更好但在某些网络（例如严格防火墙或 NAT）中会被阻断，可使用 –no-dtls 强制 TCP。
• 密码传递：脚本化时通过管道或文件传递密码有泄露风险，优先采用交互式或更安全的凭据管理工具。
• 系统权限：openconnect 通常需要 root 权限来设置路由和网卡，可以通过 sudo 或 setcap 授权特定二进制。

桌面集成与自动化场景

在桌面环境中，安装 network-manager-openconnect-gnome 可以通过图形界面配置连接项，支持保存用户名、证书与密码（视策略而定）。这对日常使用最方便。对于服务器或 CI/CD，需要实现无头自动连接时，可以把 openconnect 包裹到 systemd 服务单元中，实现开机自动连接并重连策略。

路由策略与拆分隧道（split tunneling）

是否走全局流量还是仅将特定子网通过 VPN，是常见的需求差异。默认情况下，大多数 VPN 会推送默认路由，导致所有流量通过对端出口。若需拆分隧道，在图形界面可在 NetworkManager 中配置“仅在指定子网通过 VPN”；在命令行环境中，需要在 vpnc-script 或 systemd 服务中添加/删除路由条目来实现。这通常包含以下逻辑：

• 保留本地子网路由以免内网不可达。
• 添加特定目标网络走 VPN 路由。
• 在启用/断开时同步 DNS 设置，避免 DNS 泄露。

DNS 泄露与 IPv6 注意事项

VPN 连接后仍然可能发生 DNS 泄露（操作系统继续使用本地 DNS 服务器）或 IPv6 路径绕过。解决办法：

• 确保 vpnc-script 与 systemd-resolved 或 resolvconf 正确协作，更新 /etc/resolv.conf 指向 VPN 提供的 DNS。
• 如果不需要 IPv6，可在 VPN 端或本机禁用 IPv6，或确保 VPN 也下发 IPv6 路由。

防火墙与“杀开关”实现

为了在 VPN 断开时防止流量回落到公网，可通过简单的防火墙规则实现“kill switch”。在 Ubuntu 上常用 ufw 或 iptables/nftables 来实现：在建立 VPN 时，允许通过 tun/接口的流量并阻止其它出站流量，断开后恢复默认策略。把这一逻辑放在 systemd 掉线时触发的脚本里可以实现自动化保护。

故障排查清单

在连接失败或异常时，按以下顺序排查：

• 查看 openconnect 输出的错误信息，确认是证书、认证或路由问题。
• 检查服务器证书指纹是否匹配，以及是否有中间 CA 问题。
• 透过 ip route / ip addr 查看 tun0/tun1 接口是否创建并分配了 IP。
• 检测 DNS 是否被更新（resolvectl status 或 cat /etc/resolv.conf）。
• 尝试切换 DTLS 与 TCP 模式，有些网络环境只支持 TCP 443。

替代方案与对比视角

OpenConnect 在兼容性和开源程度上表现良好，但并不是唯一选择：

• WireGuard：更现代、高性能、易配置 （但与 AnyConnect 协议不兼容）。适合自建高速通道。
• OpenVPN：成熟且通用，支持多种认证方式，但配置与性能在某些场景不如 WireGuard。
• Cisco AnyConnect 官方客户端：在企业策略下可能必须使用，但闭源且在 Linux 上不如 openconnect 灵活。

运维与安全实践小结

对技术爱好者来说，OpenConnect 在 Ubuntu 上既能满足桌面便捷使用，又能支持服务器端脚本化与 systemd 管理。关键在于证书验证、DNS/路由管理与断线保护。把连接逻辑模块化（安装、认证、路由、DNS、防火墙）并通过 systemd 或配置管理工具管理，可以让 VPN 使用更稳定、安全。

在 fq.dog 的常见场景中，建议把敏感凭据与证书存放在受限权限的路径，使用系统的服务管理实现自动重连，并在网络策略变更时优先验证 DNS 和路由状态，防止数据泄露或流量绕行。