A StrongSwan használata az IPSec VPN-hez CentOS 7 rendszeren

A StrongSwan egy nyílt forráskódú IPsec-alapú VPN megoldás. Támogatja az IKEv1 és IKEv2 kulcscsere protokollokat a Linux kernel natív NETKEY IPsec veremével együtt. Ez az oktatóanyag bemutatja, hogyan használhatja a strongSwant IPSec VPN-kiszolgáló beállításához a CentOS 7 rendszeren.

Telepítse a strongSwant

A strongSwan csomagok az Extra Packages for Enterprise Linux (EPEL) lerakatban érhetők el. Először engedélyezni kell az EPEL-t, majd telepíteni a strongSwan-t.

yum install http://ftp.nluug.nl/pub/os/Linux/distr/fedora-epel/7/x86_64/Packages/e/epel-release-7-11.noarch.rpm
yum install strongswan openssl

Tanúsítványok generálása

Mind a VPN-kliensnek, mind a szervernek tanúsítványra van szüksége ahhoz, hogy azonosítsa és hitelesítse magát. Elkészítettem két shell-szkriptet a tanúsítványok generálásához és aláírásához. Először letöltjük ezt a két szkriptet a mappába /etc/strongswan/ipsec.d.

cd /etc/strongswan/ipsec.d
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/server_key.sh
chmod a+x server_key.sh
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/client_key.sh
chmod a+x client_key.sh

Ebben a két .shfájlban a szervezet nevét a következőre állítottam be VULTR-VPS-CENTOS. Ha meg szeretné változtatni, nyissa meg a .shfájlokat, és cserélje ki O=VULTR-VPS-CENTOSa következőre O=YOUR_ORGANIZATION_NAME.

Ezután használja server_key.sha szerver IP-címével a hitelesítésszolgáltató (CA) kulcsát és a kiszolgáló tanúsítványát. Cserélje SERVER_IPki a Vultr VPS IP-címét.

./server_key.sh SERVER_IP

Hozza létre az ügyfélkulcsot, a tanúsítványt és a P12 fájlt. Itt létrehozom a tanúsítványt és a P12 fájlt a "john" VPN-felhasználó számára.

./client_key.sh john john@gmail.com

A szkript futtatása előtt cserélje ki a "john"-t és az e-mail-címét a sajátjára.

Miután a bizonyítványok kliens és a szerver generálja, másolás /etc/strongswan/ipsec.d/john.p12és /etc/strongswan/ipsec.d/cacerts/strongswanCert.pema helyi számítógépre.

Konfigurálja a strongSwant

Nyissa meg a strongSwan IPSec konfigurációs fájlt.

vi /etc/strongswan/ipsec.conf

Cserélje ki a tartalmát a következő szöveggel.

config setup
    uniqueids=never
    charondebug="cfg 2, dmn 2, ike 2, net 0"

conn %default
    left=%defaultroute
    leftsubnet=0.0.0.0/0
    leftcert=vpnHostCert.pem
    right=%any
    rightsourceip=172.16.1.100/16

conn CiscoIPSec
    keyexchange=ikev1
    fragmentation=yes
    rightauth=pubkey
    rightauth2=xauth
    leftsendcert=always
    rekey=no
    auto=add

conn XauthPsk
    keyexchange=ikev1
    leftauth=psk
    rightauth=psk
    rightauth2=xauth
    auto=add

conn IpsecIKEv2
    keyexchange=ikev2
    leftauth=pubkey
    rightauth=pubkey
    leftsendcert=always
    auto=add

conn IpsecIKEv2-EAP
    keyexchange=ikev2
    ike=aes256-sha1-modp1024!
    rekey=no
    leftauth=pubkey
    leftsendcert=always
    rightauth=eap-mschapv2
    eap_identity=%any
    auto=add

Szerkessze a strongSwan konfigurációs fájlt, strongswan.conf.

vi /etc/strongswan/strongswan.conf

Töröljön mindent, és cserélje ki a következőre.

charon {
    load_modular = yes
    duplicheck.enable = no
    compress = yes
    plugins {
            include strongswan.d/charon/*.conf
    }
    dns1 = 8.8.8.8
    dns2 = 8.8.4.4
    nbns1 = 8.8.8.8
    nbns2 = 8.8.4.4
}

include strongswan.d/*.conf

Szerkessze az IPsec titkos fájlt egy felhasználó és jelszó hozzáadásához.

vi /etc/strongswan/ipsec.secrets

Adjon hozzá egy "john" felhasználói fiókot.

: RSA vpnHostKey.pem
: PSK "PSK_KEY"
john %any : EAP "John's Password"
john %any : XAUTH "John's Password"

Kérjük, vegye figyelembe, hogy a kettőspont ':' mindkét oldalán szóköz kell.

IPv4 továbbítás engedélyezése

Szerkessze, /etc/sysctl.confhogy engedélyezze a továbbítást a Linux kernelben.

vi /etc/sysctl.conf

Adja hozzá a következő sort a fájlhoz.

net.ipv4.ip_forward=1

Mentse el a fájlt, majd alkalmazza a módosítást.

sysctl -p

Konfigurálja a tűzfalat

Nyissa meg a VPN tűzfalát a szerveren.

firewall-cmd --permanent --add-service="ipsec"
firewall-cmd --permanent --add-port=4500/udp
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload

Indítsa el a VPN-t

systemctl start strongswan
systemctl enable strongswan

A StrongSwan most fut a szerverén. Telepítse a strongswanCert.pemés a .p12tanúsítvány fájlokat a kliensére. Most már csatlakozhat privát hálózatához.