{"id":94527,"date":"2020-09-18T07:42:25","date_gmt":"2020-09-18T05:42:25","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ipsec-tunnel-mezhdu-strongswan-za-nat-i-vmware-nsx-edge"},"modified":"2020-09-18T07:42:25","modified_gmt":"2020-09-18T05:42:25","slug":"ipsec-tunnel-mezhdu-strongswan-za-nat-i-vmware-nsx-edge","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/ipsec-tunnel-mezhdu-strongswan-za-nat-i-vmware-nsx-edge","title":{"rendered":"IPSec-Tunnel zwischen Strongswan hinter NAT und VMWare NSX Edge.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Aus verschiedenen Gr\u00fcnden war es notwendig, eine VPN-Verbindung zwischen dem Netzwerk im VMWare Cloud Director und einem separaten Ubuntu-System in der Cloud einzurichten. Dieser Hinweis erhebt keinen Anspruch auf Vollst\u00e4ndigkeit, es ist lediglich ein kleines How-to.<\/p>\n

\"IPSec-Tunnel
\n<\/a><\/noindex>
\nIm Netz fand sich nur ein einziger Artikel aus dem Jahr 2015 zu diesem Thema \u201eSite to Site IPSEC VPN zwischen NSX Edge und Linux strongSwan<\/a><\/noindex>\u00bb.<\/p>\n

Leider lie\u00df sich dieser nicht direkt verwenden, da ich auf eine sicherere Verschl\u00fcsselung ohne selbstsigniertes Zertifikat Wert legte und die beschriebene Konfiguration hinter NAT nicht funktioniert h\u00e4tte.<\/p>\n

Deshalb musste ich mich setzen und in der Dokumentation st\u00f6bern.<\/p>\n

Ich nahm als Grundlage eine seit langem von mir genutzte Konfiguration, die es erm\u00f6glicht, sich von nahezu jedem Betriebssystem zu verbinden, und f\u00fcgte einfach einen Abschnitt hinzu, der die Verbindung zu NSX Edge erlaubt.<\/p>\n

Da die Installation und umfassende Konfiguration des Strongswan-Servers den Rahmen dieser Notiz sprengt, erlaube ich mir, auf ein gutes Material zu diesem Thema<\/a><\/noindex>.<\/p>\n

zu verweisen.<\/p>\n

Nun kommen wir direkt zu den Einstellungen. Die Verbindungsstruktur sieht folgenderma\u00dfen aus:<\/p>\n

\"IPSec-Tunnel<\/p>\n

Von der VMWare aus die \u00f6ffentliche Adresse 33.33.33.33 und das interne Netzwerk 192.168.1.0\/24. Von der Linux-Seite die \u00f6ffentliche Adresse 22.22.22.22 und das interne Netzwerk 10.10.10.0\/24. Au\u00dferdem muss das Let's Encrypt-Zertifikat f\u00fcr die Adresse vpn.linux.ext konfiguriert werden. PSK auf beiden Seiten: ChangeMeNow!<\/code><\/pre>\n
\nKonfiguration auf der NSX Edge-Seite:<\/p>\n
                        Text<\/b><\/p>\n
Aktiviert: ja\nPerfekte Vorw\u00e4rtsgeheimhaltung (PFS) aktivieren: ja\nName: VPN_strongswan (beliebig, nach Ihrer Wahl)\nLokale ID: 33.33.33.33\nLokaler Endpunkt: 33.33.33.33\nLokale Subnetze: 192.168.1.0\/24\nPeer-ID: vpn.linux.ext\nPeer-Endpunkt: 22.22.22.22\nPeer-Subnetze: 10.10.10.0\/24\nVerschl\u00fcsselungsalgorithmus: AES256\nAuthentifizierung: PSK\nVerschl\u00fcsselungsschl\u00fcssel: ChangeMeNow!\nDiffie-Hellman-Gruppe: 14 (2048 Bit \u2013 ein akzeptabler Kompromiss zwischen Geschwindigkeit und Sicherheit. Aber wenn Sie m\u00f6chten, k\u00f6nnen Sie auch eine gr\u00f6\u00dfere einstellen.)\nDigest-Algorithmus: SHA256\nIKE-Option: IKEv2\nNur IKE-Responder: nein\nSitzungstyp: Richtlinienbasierte Sitzung<\/code><\/pre>\n
<\/p>\n
                        Screenshots<\/b>
\n                        \"IPSec-Tunnel
\n\"IPSec-Tunnel
\n                    
\nKonfiguration auf der Strongswan-Seite:<\/p>\n
                        ipsec.conf<\/b><\/p>\n
# \/etc\/ipsec.conf\nconfig setup\n\nconn %default\n\tdpdaction=clear\n\tdpddelay=35s\n\tdpdtimeout=300s\n\n\tfragmentation=yes\n\trekey=no\n\n\tike=aes256gcm16-aes256gcm12-aes128gcm16-aes128gcm12-sha256-sha1-modp2048-modp4096-modp1024,aes256-aes128-sha256-sha1-modp2048-modp4096-modp1024,3des-sha1-modp1024!\n\tesp=aes128gcm12-aes128gcm16-aes256gcm12-aes256gcm16-modp2048-modp4096-modp1024,aes128-aes256-sha1-sha256-modp2048-modp4096-modp1024,aes128-sha1-modp2048,aes128-sha1-modp1024,3des-sha1-modp1024,aes128-aes256-sha1-sha256,aes128-sha1,3des-sha1!\n\n\tleft=%any\n\tleftsubnet=10.10.10.0\/24\n        leftcert=certificate.pem\n\tleftfirewall=yes\n\tleftsendcert=always\n\n\tright=%any\n\trightsourceip=192.168.1.0\/24\n\trightdns=77.88.8.8,8.8.4.4\n\n\teap_identity=%identity\n\n# IKEv2\nconn IPSec-IKEv2\n\tkeyexchange=ikev2\n\tauto=add\n\n# BlackBerry, Windows, Android\nconn IPSec-IKEv2-EAP\n\talso="IPSec-IKEv2"\n\trightauth=eap-mschapv2\n\n# macOS, iOS\nconn IKEv2-MSCHAPv2-Apple\n\talso="IPSec-IKEv2"\n\trightauth=eap-mschapv2\n\tleftid=vpn.linux.ext\n\n# Android IPsec Hybrid RSA\nconn IKEv1-Xauth\n\tkeyexchange=ikev1\n\trightauth=xauth\n\tauto=add\n\n# VMWare IPSec VPN\nconn linux-nsx-psk\n\tauthby=secret\n\tauto=start\n\tleftid=vpn.linux.ext\n\tleft=10.10.10.10\n\tleftsubnet=10.10.10.0\/24\n\trightid=33.33.33.33\n\tright=33.33.33.33\n\trightsubnet=192.168.1.0\/24\n\tikelifetime=28800\n\tkeyexchange=ikev2\n\tlifebytes=0\n\tlifepackets=0\n\tlifetime=1h<\/code><\/pre>\n
<\/p>\n
                        ipsec.secret<\/b><\/p>\n
# \/etc\/ipsec.secrets\n: RSA privkey.pem\n\n# Create VPN users accounts\n# \u0412\u041d\u0418\u041c\u0410\u041d\u0418\u0415! \u041f\u043e\u0441\u043b\u0435 \u043b\u043e\u0433\u0438\u043d\u0430 \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u043f\u0440\u043e\u0431\u0435\u043b, \u043f\u043e\u0442\u043e\u043c \u0434\u0432\u043e\u0435\u0442\u043e\u0447\u0438\u0435.\n\nuser1 : EAP "stongPass1"\nuser2 : EAP "stongPass2"\n%any 33.33.33.33 : PSK "ChangeMeNow!"<\/code><\/pre>\n
\nNach diesem Schritt gen\u00fcgt es, die Konfiguration zu \u00fcberpr\u00fcfen, die Verbindung zu starten und zu pr\u00fcfen, ob sie hergestellt wurde:<\/p>\n
ipsec update\nipsec rereadsecrets\nipsec up linux-nsx-psk\nipsec status<\/code><\/pre>\n
\nIch hoffe, diese kleine Notiz wird hilfreich sein und jemandem ein paar Stunden Zeit sparen.
\n
Quelle: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412 \u0441\u0438\u043b\u0443 \u0440\u044f\u0434\u0430 \u043f\u0440\u0438\u0447\u0438\u043d, \u043f\u043e\u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043b\u043e\u0441\u044c \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c VPN-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435 \u043c\u0435\u0436\u0434\u0443 \u0441\u0435\u0442\u044c\u044e \u0432 VMWare Cloud Director \u0438 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u043e\u0439 Ubuntu \u0432 \u043e\u0431\u043b\u0430\u043a\u0435. \u0417\u0430\u043c\u0435\u0442\u043a\u0430 \u043d\u0435 \u043f\u0440\u0435\u0442\u0435\u043d\u0434\u0443\u0435\u0442 \u043d\u0430 \u043f\u043e\u043b\u043d\u043e\u0446\u0435\u043d\u043d\u043e\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435, \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u043d\u0435\u0431\u043e\u043b\u044c\u0448\u043e\u0435 howto. \u0412 \u0441\u0435\u0442\u0438 \u043d\u0430\u0448\u043b\u0430\u0441\u044c \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f 2015 \u0433\u043e\u0434\u0430 \u043d\u0430 \u044d\u0442\u0443 \u0442\u0435\u043c\u0443 \u00abSite to Site IPSEC VPN between NSX Edge and Linux strongSwan\u00bb. \u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e \u0435\u0451 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":94528,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-94527","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47IPSec Tunnel zwischen StrongSwan hinter NAT und VMWare NSX Edge | ProHoster","description":"Aus verschiedenen Gr\u00fcnden war es erforderlich, eine VPN-Verbindung zwischen dem Netzwerk in VMWare Cloud Director und einer separaten Ubuntu-Maschine in der Cloud einzurichten. Diese Notiz beansprucht keine vollst\u00e4ndige Beschreibung; es handelt sich lediglich um ein kleines How-to. Im Internet wurde nur ein Artikel aus dem Jahr 2015 zu diesem Thema gefunden: \u201eSite to Site IPSEC VPN zwischen NSX Edge und Linux strongSwan\u201c. Leider l\u00e4sst sich dieser nicht direkt verwenden.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/ipsec-tunnel-mezhdu-strongswan-za-nat-i-vmware-nsx-edge","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47IPSec \u0442\u0443\u043d\u043d\u0435\u043b\u044c \u043c\u0435\u0436\u0434\u0443 Strongswan \u0437\u0430 NAT \u0438 VMWare NSX Edge | ProHoster","og:description":"\u0412 \u0441\u0438\u043b\u0443 \u0440\u044f\u0434\u0430 \u043f\u0440\u0438\u0447\u0438\u043d, \u043f\u043e\u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043b\u043e\u0441\u044c \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c VPN-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435 \u043c\u0435\u0436\u0434\u0443 \u0441\u0435\u0442\u044c\u044e \u0432 VMWare Cloud Director \u0438 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u043e\u0439 Ubuntu \u0432 \u043e\u0431\u043b\u0430\u043a\u0435. \u0417\u0430\u043c\u0435\u0442\u043a\u0430 \u043d\u0435 \u043f\u0440\u0435\u0442\u0435\u043d\u0434\u0443\u0435\u0442 \u043d\u0430 \u043f\u043e\u043b\u043d\u043e\u0446\u0435\u043d\u043d\u043e\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435, \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u043d\u0435\u0431\u043e\u043b\u044c\u0448\u043e\u0435 howto. \u0412 \u0441\u0435\u0442\u0438 \u043d\u0430\u0448\u043b\u0430\u0441\u044c \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f 2015 \u0433\u043e\u0434\u0430 \u043d\u0430 \u044d\u0442\u0443 \u0442\u0435\u043c\u0443 \u00abSite to Site IPSEC VPN between NSX Edge and Linux strongSwan\u00bb. \u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e \u0435\u0451 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/ipsec-tunnel-mezhdu-strongswan-za-nat-i-vmware-nsx-edge","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-18T05:42:25+00:00","article:modified_time":"2020-09-18T05:42:25+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"94527","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:25:23","updated":"2022-09-27 15:07:33"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/94527","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=94527"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/94527\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/94528"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=94527"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=94527"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=94527"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}