Përdorimi i StrongSwan për IPSec VPN në CentOS 7

StrongSwan është një zgjidhje VPN e bazuar në IPsec me burim të hapur. Ai mbështet të dy protokollet e shkëmbimit të çelësave IKEv1 dhe IKEv2 në lidhje me pirgun vendas të NetKEY IPsec të kernelit Linux. Ky tutorial do t'ju tregojë se si të përdorni strongSwan për të vendosur një server IPSec VPN në CentOS 7.

Instaloni strongSwan

Paketat strongSwan janë të disponueshme në depon e Paketave Shtesë për Enterprise Linux (EPEL). Së pari duhet të aktivizojmë EPEL-in, më pas të instalojmë strongSwan.

yum install http://ftp.nluug.nl/pub/os/Linux/distr/fedora-epel/7/x86_64/Packages/e/epel-release-7-11.noarch.rpm
yum install strongswan openssl

Gjeneroni certifikata

Si klienti ashtu edhe serveri VPN kanë nevojë për një certifikatë për të identifikuar dhe vërtetuar veten e tyre. Unë kam përgatitur dy skripta shell për të gjeneruar dhe nënshkruar certifikatat. Së pari, ne i shkarkojmë këto dy skripta në dosje /etc/strongswan/ipsec.d.

cd /etc/strongswan/ipsec.d
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/server_key.sh
chmod a+x server_key.sh
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/client_key.sh
chmod a+x client_key.sh

Në këto dy .shskedarë, unë kam vendosur emrin e organizatës si VULTR-VPS-CENTOS. Nëse dëshironi ta ndryshoni, hapni .shskedarët dhe zëvendësojeni O=VULTR-VPS-CENTOSme O=YOUR_ORGANIZATION_NAME.

Më pas, përdorni server_key.shme adresën IP të serverit tuaj për të gjeneruar çelësin e autoritetit të certifikatës (CA) dhe certifikatën për serverin. Zëvendësoni SERVER_IPme adresën IP të Vultr VPS tuaj.

./server_key.sh SERVER_IP

Gjeneroni çelësin e klientit, certifikatën dhe skedarin P12. Këtu, unë do të krijoj certifikatën dhe skedarin P12 për përdoruesin VPN "john".

./client_key.sh john john@gmail.com

Zëvendësoni "John" dhe emailin e tij me tuajin përpara se të ekzekutoni skriptin.

Pasi të krijohen certifikatat për klientin dhe serverin, kopjoni /etc/strongswan/ipsec.d/john.p12dhe /etc/strongswan/ipsec.d/cacerts/strongswanCert.pemnë kompjuterin tuaj lokal.

Konfiguro strongSwan

Hapni skedarin e konfigurimit të strongSwan IPSec.

vi /etc/strongswan/ipsec.conf

Zëvendësoni përmbajtjen e tij me tekstin e mëposhtëm.

config setup
    uniqueids=never
    charondebug="cfg 2, dmn 2, ike 2, net 0"

conn %default
    left=%defaultroute
    leftsubnet=0.0.0.0/0
    leftcert=vpnHostCert.pem
    right=%any
    rightsourceip=172.16.1.100/16

conn CiscoIPSec
    keyexchange=ikev1
    fragmentation=yes
    rightauth=pubkey
    rightauth2=xauth
    leftsendcert=always
    rekey=no
    auto=add

conn XauthPsk
    keyexchange=ikev1
    leftauth=psk
    rightauth=psk
    rightauth2=xauth
    auto=add

conn IpsecIKEv2
    keyexchange=ikev2
    leftauth=pubkey
    rightauth=pubkey
    leftsendcert=always
    auto=add

conn IpsecIKEv2-EAP
    keyexchange=ikev2
    ike=aes256-sha1-modp1024!
    rekey=no
    leftauth=pubkey
    leftsendcert=always
    rightauth=eap-mschapv2
    eap_identity=%any
    auto=add

Redaktoni skedarin e konfigurimit të strongSwan, strongswan.conf.

vi /etc/strongswan/strongswan.conf

Fshini gjithçka dhe zëvendësojeni me sa vijon.

charon {
    load_modular = yes
    duplicheck.enable = no
    compress = yes
    plugins {
            include strongswan.d/charon/*.conf
    }
    dns1 = 8.8.8.8
    dns2 = 8.8.4.4
    nbns1 = 8.8.8.8
    nbns2 = 8.8.4.4
}

include strongswan.d/*.conf

Redaktoni skedarin sekret IPsec për të shtuar një përdorues dhe fjalëkalim.

vi /etc/strongswan/ipsec.secrets

Shtoni një llogari përdoruesi "john" në të.

: RSA vpnHostKey.pem
: PSK "PSK_KEY"
john %any : EAP "John's Password"
john %any : XAUTH "John's Password"

Ju lutemi vini re se të dy anët e zorrës së trashë ':' kanë nevojë për një hapësirë ​​të bardhë.

Lejo përcjelljen e IPv4

Ndrysho /etc/sysctl.confpër të lejuar përcjelljen në kernelin Linux.

vi /etc/sysctl.conf

Shtoni rreshtin e mëposhtëm në skedar.

net.ipv4.ip_forward=1

Ruani skedarin, më pas aplikoni ndryshimin.

sysctl -p

Konfiguro murin e zjarrit

Hapni murin e zjarrit për VPN-në tuaj në server.

firewall-cmd --permanent --add-service="ipsec"
firewall-cmd --permanent --add-port=4500/udp
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload

Filloni VPN

systemctl start strongswan
systemctl enable strongswan

StrongSwan tani po funksionon në serverin tuaj. Instaloni skedarët strongswanCert.pemdhe .p12certifikatat në klientin tuaj. Tani do të mund të bashkoheni në rrjetin tuaj privat.