Коришћење СтронгСван-а за ИПСец ВПН на ЦентОС-у 7

СтронгСван је ВПН решење отвореног кода засновано на ИПсец-у. Подржава и ИКЕв1 и ИКЕв2 протоколе за размену кључева у спрези са изворним НЕТКЕИ ИПсец стеком Линук кернела. Овај водич ће вам показати како да користите стронгСван за подешавање ИПСец ВПН сервера на ЦентОС 7.

Инсталирајте стронгСван

СтронгСван пакети су доступни у спремишту Ектра Пацкагес фор Ентерприсе Линук (ЕПЕЛ). Прво би требало да омогућимо ЕПЕЛ, а затим да инсталирамо стронгСван.

yum install http://ftp.nluug.nl/pub/os/Linux/distr/fedora-epel/7/x86_64/Packages/e/epel-release-7-11.noarch.rpm
yum install strongswan openssl

Генеришите сертификате

И ВПН клијенту и серверу је потребан сертификат да би се идентификовали и аутентификовали. Припремио сам две схелл скрипте за генерисање и потписивање сертификата. Прво преузимамо ове две скрипте у фасциклу /etc/strongswan/ipsec.d.

cd /etc/strongswan/ipsec.d
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/server_key.sh
chmod a+x server_key.sh
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/client_key.sh
chmod a+x client_key.sh

У ове две .shдатотеке поставио сам назив организације као VULTR-VPS-CENTOS. Ако желите да га промените, отворите .shдатотеке и замените их O=VULTR-VPS-CENTOSса O=YOUR_ORGANIZATION_NAME.

Затим користите server_key.shса ИП адресом вашег сервера да генеришете кључ ауторитета за сертификат (ЦА) и сертификат за сервер. Замените SERVER_IPИП адресом вашег Вултр ВПС-а.

./server_key.sh SERVER_IP

Генеришите клијентски кључ, сертификат и П12 датотеку. Овде ћу креирати сертификат и П12 датотеку за ВПН корисника „јохн“.

./client_key.sh john john@gmail.com

Замените „јохн“ и његову е-пошту својом пре него што покренете скрипту.

Након сертификата за клијента и сервера се генеришу, копирање /etc/strongswan/ipsec.d/john.p12и /etc/strongswan/ipsec.d/cacerts/strongswanCert.pemна свом рачунару.

Конфигуришите стронгСван

Отворите конфигурациону датотеку стронгСван ИПСец.

vi /etc/strongswan/ipsec.conf

Замените његов садржај следећим текстом.

config setup
    uniqueids=never
    charondebug="cfg 2, dmn 2, ike 2, net 0"

conn %default
    left=%defaultroute
    leftsubnet=0.0.0.0/0
    leftcert=vpnHostCert.pem
    right=%any
    rightsourceip=172.16.1.100/16

conn CiscoIPSec
    keyexchange=ikev1
    fragmentation=yes
    rightauth=pubkey
    rightauth2=xauth
    leftsendcert=always
    rekey=no
    auto=add

conn XauthPsk
    keyexchange=ikev1
    leftauth=psk
    rightauth=psk
    rightauth2=xauth
    auto=add

conn IpsecIKEv2
    keyexchange=ikev2
    leftauth=pubkey
    rightauth=pubkey
    leftsendcert=always
    auto=add

conn IpsecIKEv2-EAP
    keyexchange=ikev2
    ike=aes256-sha1-modp1024!
    rekey=no
    leftauth=pubkey
    leftsendcert=always
    rightauth=eap-mschapv2
    eap_identity=%any
    auto=add

Уредите конфигурациону датотеку стронгСван, strongswan.conf.

vi /etc/strongswan/strongswan.conf

Избришите све и замените га следећим.

charon {
    load_modular = yes
    duplicheck.enable = no
    compress = yes
    plugins {
            include strongswan.d/charon/*.conf
    }
    dns1 = 8.8.8.8
    dns2 = 8.8.4.4
    nbns1 = 8.8.8.8
    nbns2 = 8.8.4.4
}

include strongswan.d/*.conf

Уредите ИПсец тајну датотеку да бисте додали корисника и лозинку.

vi /etc/strongswan/ipsec.secrets

Додајте кориснички налог "јохн" у њега.

: RSA vpnHostKey.pem
: PSK "PSK_KEY"
john %any : EAP "John's Password"
john %any : XAUTH "John's Password"

Имајте на уму да је на обе стране двотачка ':' потребан размак.

Дозволите ИПв4 прослеђивање

Уредите /etc/sysctl.confда бисте омогућили прослеђивање у Линук кернелу.

vi /etc/sysctl.conf

Додајте следећи ред у датотеку.

net.ipv4.ip_forward=1

Сачувајте датотеку, а затим примените промену.

sysctl -p

Конфигуришите заштитни зид

Отворите заштитни зид за свој ВПН на серверу.

firewall-cmd --permanent --add-service="ipsec"
firewall-cmd --permanent --add-port=4500/udp
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload

Покрените ВПН

systemctl start strongswan
systemctl enable strongswan

СтронгСван сада ради на вашем серверу. Инсталирајте датотеке strongswanCert.pemи .p12сертификате у свој клијент. Сада ћете моћи да се придружите својој приватној мрежи.