🥇IPSec tunnel Strongswani ja NAT ning VMWare NSX Edge vahel

Mitmõnedel põhjustel tuli luua VPN-ühendus VMWare Cloud Director võrgustiku ja eraldi Ubuntu masinaga pilves. See märkus ei pretendeeri täieliku kirjelduse peale, vaid on lihtsalt väike howto.

Võrgus leiti ainus artikkel selle teema kohta, mis ilmus 2015. aastal «Site to Site IPSEC VPN between NSX Edge and Linux strongSwan».

Kahjuks ei saanud seda otse kasutada, kuna soovisime usaldusväärsemat krüpteerimist, mitte isesertifitseeritud sertifikaati, ja NAT-i tõttu ei töötanud kirjeldatud konfigureerimine.

Seetõttu pidin istuma ja dokumentatsioonis kaevama.

Põhjuseks valisin kaua kasutatud konfigureerimise, mis võimaldab ühenduda praktiliselt igast operatsioonisüsteemist, ja lisasin sellele osa, mis võimaldab ühenduda NSX Edge'iga.

Kuna Strongswan serveri paigaldamine ja täielik seadistamine jääb selle märkuse raames väljapoole, luban end viidata päris heale materjalile selle teema kohta.

Nii et liikume nüüd seadistuste juurde.

Ühenduse skeem näeb välja järgmine:

VMWare poolt väline aadress 33.33.33.33 ja sisevõrk 192.168.1.0/24
Linuxi poolt väline aadress 22.22.22.22 ja sisevõrk 10.10.10.0/24
samuti tuleb seadistada Let's Encrypt sertifikaat aadressile vpn.linux.ext
PSK mõlemalt poolt: ChangeMeNow!

Seadistus NSX Edge'i poolt:

Tekst

Enabled: jah
Enable perfect forward secrecy (PFS): jah
Nimi: VPN_strongswan (mida iganes, valige ise)
Local Id: 33.33.33.33
Local Endpoint: 33.33.33.33
Local Subnets: 192.168.1.0/24
Peer Id: vpn.linux.ext
Peer Endpoint: 22.22.22.22
Peer Subnets: 10.10.10.0/24
Encryption Algorithm: AES256
Authentication: PSK
Pre-Shared Key: ChangeMeNow!
Diffie-Hellman Group: 14 (2048 bit — mõistlik kompromiss kiirus ja turvalisuse vahel. Kui soovite, võite panna rohkem)
Digest Algorithm: SHA256
IKE Option: IKEv2
IKE Responder Only: ei
Session Type: Policy Based Session

Kuvandid

Seadistus Strongswani poolt:

ipsec.conf

# /etc/ipsec.conf
config setup

conn %default
	dpdaction=clear
	dpddelay=35s
	dpdtimeout=300s

	fragmentation=yes
	rekey=no

	ike=aes256gcm16-aes256gcm12-aes128gcm16-aes128gcm12-sha256-sha1-modp2048-modp4096-modp1024,aes256-aes128-sha256-sha1-modp2048-modp4096-modp1024,3des-sha1-modp1024!
	esp=aes128gcm12-aes128gcm16-aes256gcm12-aes256gcm16-modp2048-modp4096-modp1024,aes128-aes256-sha1-sha256-modp2048-modp4096-modp1024,aes128-sha1-modp2048,aes128-sha1-modp1024,3des-sha1-modp1024,aes128-aes256-sha1-sha256,aes128-sha1,3des-sha1!

	left=%any
	leftsubnet=10.10.10.0/24
        leftcert=certificate.pem
	leftfirewall=yes
	leftsendcert=always

	right=%any
	rightsourceip=192.168.1.0/24
	rightdns=77.88.8.8,8.8.4.4

	eap_identity=%identity

# IKEv2
conn IPSec-IKEv2
	keyexchange=ikev2
	auto=add

# BlackBerry, Windows, Android
conn IPSec-IKEv2-EAP
	also="IPSec-IKEv2"
	rightauth=eap-mschapv2

# macOS, iOS
conn IKEv2-MSCHAPv2-Apple
	also="IPSec-IKEv2"
	rightauth=eap-mschapv2
	leftid=vpn.linux.ext

# Android IPsec Hybrid RSA
conn IKEv1-Xauth
	keyexchange=ikev1
	rightauth=xauth
	auto=add

# VMWare IPSec VPN
conn linux-nsx-psk
	authby=secret
	auto=start
	leftid=vpn.linux.ext
	left=10.10.10.10
	leftsubnet=10.10.10.0/24
	rightid=33.33.33.33
	right=33.33.33.33
	rightsubnet=192.168.1.0/24
	ikelifetime=28800
	keyexchange=ikev2
	lifebytes=0
	lifepackets=0
	lifetime=1h

ipsec.secret

# /etc/ipsec.secrets
: RSA privkey.pem

# Create VPN users accounts
# ВНИМАНИЕ! После логина сначала пробел, потом двоеточие.

user1 : EAP "stongPass1"
user2 : EAP "stongPass2"
%any 33.33.33.33 : PSK "ChangeMeNow!"

pärast seda on piisav konfiguratsiooni ülevaatamine, ühenduse käivitamine ja kontrollimine, et see on loodud:

ipsec update
ipsec rereadsecrets
ipsec up linux-nsx-psk
ipsec status

Loodan, et see väike märkus osutub kasulikuks ja säästab kellelegi paar tundi.

Allikas: habr.com

IPSec tunnel between Strongswan behind NAT and VMWare NSX Edge