IPIP IPsec VPN tunela Linux makinaren eta Mikrotik-en artean NAT hornitzailearen atzean

Linux: Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-91-x86_64 generikoa)

• Eth0 1.1.1.1/32 kanpoko IP
• ipip-ipsec0 192.168.0.1/30 izango da gure tunela

Miktoik: CCR 1009, RouterOS 6.46.5

• Eth0 10.0.0.2/30 hornitzailearen barne IP. Hornitzailearen kanpoko NAT IP dinamikoa da.
• ipip-ipsec0 192.168.0.2/30 izango da gure tunela

IPsec tunel bat sortuko dugu Linux makina batean racoon erabiliz. Ez ditut xehetasunak deskribatuko, ona dago artikuluan у vvpoloskin.

Instalatu beharrezko paketeak:

sudo install racoon ipsec-tools

Racoon konfiguratzen dugu, baldintzapean ipsec zerbitzari gisa jardungo du. Modu nagusian mikrotik ezin denez bezero-identifikatzaile gehigarririk transmititu, eta Linuxera konektatzen den kanpoko IP helbidea dinamikoa denez, aurrez partekatutako gako bat erabiltzeak (pasahitz baimena) ez du funtzionatuko, pasahitza IP helbidearekin bat egin behar baitu. konektatzen den ostalariaren edo identifikatzailearekin.

Baimena erabiliko dugu RSA gakoak erabiliz.

Racoon deabruak RSA formatuan erabiltzen ditu gakoak, eta mikrotik PEM formatuan. Racoon-ekin datorren plainrsa-gen utilitatea erabiliz gakoak sortzen badituzu, ezin izango duzu Mikrotikarako gako publikoa PEM formatura bihurtu bere laguntzarekin - norabide bakarrean bihurtzen da: PEM RSAra. Ez openssl-ek ez ssh-keygen-ek ezin izan dute sortutako gakoa irakurri plainrsa-gen-ek, beraz, bihurketa ere ezin izango da horiek erabiliz.

Openssl erabiliz PEM gako bat sortuko dugu eta, ondoren, racoon bihurtuko dugu plainrsa-gen erabiliz:

#  Генерируем ключ
openssl genrsa -out server-name.pem 1024
# Извлекаем публичный ключ
openssl rsa -in server-name.pem -pubout > server-name.pub.pem
# Конвертируем
plainrsa-gen -i server-name.pem -f server-name.privet.key
plainrsa-gen -i server-name.pub.pem -f server-name.pub.key

Jasotako gakoak karpetan jarriko ditugu: /etc/racoon/certs/server. Ez ahaztu racoon deabrua abiarazten duen erabiltzailearen jabea (normalean root) 600 baimenetan ezartzea.

WinBox bidez konektatzean mikrotik konfigurazioa deskribatuko dut.

Kargatu zerbitzari-izena.pub.pem gakoa mikrotik-era: "Fitxategiak" - "Kargatu" menua.

Ireki "IP" atala - "IP seg" - "Gakoak" fitxa. Orain gakoak sortzen ditugu: "Sortu gakoa" botoia, eta gero esportatu mikrotika gako publikoa "Expor Pub. Gakoa", "Fitxategiak" atalean deskarga dezakezu, egin klik eskuineko botoiarekin fitxategian - "Deskargatu".

Racoon gako publikoa inportatzen dugu, "Inportatu", "Fitxategiaren izena" eremuko goitibeherako zerrendan lehenago deskargatu dugun server-name.pub.pem bilatzen dugu.

Mikrotik gako publikoa bihurtu behar da

plainrsa-gen -i mikrotik.pub.pem -f mikrotik.pub.key

eta jarri /etc/racoon/certs karpetan, jabea eta eskubideak ahaztu gabe.

racoon konfigurazioa iruzkinekin: /etc/racoon/racoon.conf

log info; # Уровень логирования, при отладке используем Debug или Debug2.

listen {

    isakmp 1.1.1.1 [500]; # Адрес и порт, на котором будет слушать демон.
    isakmp_natt 1.1.1.1 [4500]; # Адрес и порт, на котором будет слушать демон для клиентов за NAT.
    strict_address; # Выполнять обязательную проверку привязки к указанным выше IP.
}

path certificate "/etc/racoon/certs"; # Путь до папки с сертификатами.

remote anonymous { # Секция, задающая параметры для работы демона с ISAKMP и согласования режимов с подключающимися хостами. Так как IP, с которого подключается Mikrotik, динамический, то используем anonymous, что разрешает подключение с любого адреса. Если IP у хостов статический, то можно указать конкретный адрес и порт.

    passive on; # Задает "серверный" режим работы демона, он не будет пытаться инициировать подключения.
    nat_traversal on; # Включает использование режима NAT-T для клиентов, если они за NAT. 
    exchange_mode main; # Режим обмена параметрами подключения, в данном случае ---согласование.
    my_identifier address 1.1.1.1; # Идентифицируем наш linux хост по его ip адресу.
    certificate_type plain_rsa "server/server-name.priv.key"; # Приватный ключ сервера.
    peers_certfile plain_rsa "mikrotik.pub.key"; # Публичный ключ Mikrotik.

    proposal_check claim; # Режим согласования параметров ISAKMP туннеля. Racoon будет использовать значения подключающегося хоста (инициатора) для срока действия сессии                   и длины ключа, если его срок действия сессии больше, или длина его ключа короче, чем у инициатора. Если срок действия сессии короче, чем у инициатора, racoon использует собственное значение срока действия сессии и будет отправлять сообщение RESPONDER-LIFETIME.
    proposal { # Параметры ISAKMP туннеля.

        encryption_algorithm aes; # Метод шифрования ISAKMP туннеля.
        hash_algorithm sha512; # Алгоритм хеширования, используемый для ISAKMP туннеля.
        authentication_method rsasig; # Режим аутентификации для ISAKMP туннеля - по RSA ключам.
        dh_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана при согласовании ISAKMP туннеля.
        lifetime time 86400 sec; Время действия сессии.
    }

    generate_policy on; # Автоматическое создание ESP туннелей из запроса, пришедшего от подключающегося хоста.
}

sainfo anonymous { # Параметры ESP туннелей, anonymous - указанные параметры будут использованы как параметры по умолчанию. Для разных клиентов, портов, протоколов можно              задавать разные параметры, сопоставление происходит по ip адресам, портам, протоколам.

    pfs_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана для ESP туннелей.
    lifetime time 28800 sec; # Срок действия ESP туннелей.
    encryption_algorithm aes; # Метод шифрования ESP туннелей.
    authentication_algorithm hmac_sha512; # Алгоритм хеширования, используемый для аутентификации ESP туннелей.
    compression_algorithm deflate; # Сжимать передаваемые данные, алгоритм сжатия предлагается только один.
}

mikrotik konfig

Itzuli "IP" atalera - "IPsec"

"Profilak" fitxa
Parametroa
Balio

izena
Zure erabakian (lehenespenez)

Hash algoritmoa
sha512

Enkriptatzeko algoritmoa
aes-128

DH-Taldea
modp2048

Proposamen_egiaztapena
erreklamatzeko

Bizitzan
1d 00:00:00

NAT zeharkaldia
egia (markatu laukia)

DPD
120

DPD Gehienezko hutsegitea
5

Berdinak fitxa
Parametroa
Balio

izena
Zure diskrezioan (aurrerantzean MyPeer)

Helbidea
1.1.1.1 (IP Linux makinak)

Tokiko Helbidea
10.0.0.2 (IP WAN interfazea mikrotik)

Profile
lehenetsi

Trukatzeko modua
nagusia

Pasiboa
false

Bidali INITIAL_CONTACT
Egia

Proposamenaren fitxa
Parametroa
Balio

izena
Zure diskrezioan (aurrerantzean MyPeerProposal)

Autent. Algoritmoak
sha512

Enkr. Algoritmoak
aes-128-cbc

Bizitzan
08:00:00

PFS taldea
modp2048

"Identitateak" fitxa
Parametroa
Balio

Peer
Nire parekoa

Atuh. Metodoa
rsa tekla

Key
mikrotik.privet.key

Urruneko giltza
zerbitzari-izena.pub.pem

Politika-txantiloi taldea
lehenetsi

Notrack Katea
hutsa

Nire NAN mota
autoa

Urruneko ID mota
autoa

Partiduaren arabera
urruneko id

Moduaren konfigurazioa
hutsa

Sortu Politika
no

"Politikak - Orokorra" fitxa
Parametroa
Balio

Peer
Nire parekoa

Tunela
Egia

Src. Helbidea
192.168.0.0/30

Dest. Helbidea
192.168.0.0/30

Protokoloa
255 (guztiak)

Txantiloi
false

"Politikak - Ekintza" fitxa
Parametroa
Balio

Ekintza
encrypt

Maila
eskatzen

IPsec protokoloak
esp

proposamena
Nire PeerProposal

Seguruenik, ni bezala, snat/masquerade konfiguratuta duzu zure WAN interfazean; arau hau egokitu behar da, irteerako ipsec paketeak gure tunelera joan daitezen:
Joan "IP" - "Suebakia" atalera.
"NAT" fitxa, ireki gure snat/maskarade araua.

Aurreratua fitxa
Parametroa
Balio

IPsec politika
atera: bat ere ez

Racoon deabrua berrabiarazten

sudo systemctl restart racoon

Racoon-ek berrabiarazten ez badu, errore bat dago konfigurazioan; syslog-en, racoon-ek errorea detektatu den linea-zenbakiari buruzko informazioa erakusten du.

OS abiaraztean, racoon deabrua sareko interfazeak agertu baino lehen hasten da, eta strict_address aukera zehaztu genuen listen atalean; racoon unitatea gehitu behar duzu systemd fitxategian
/lib/systemd/system/racoon.service, [Unitatea] atalean, After=network.target lerroan.

Orain gure ipsec tunelak martxan egon beharko lukete, begiratu irteera:

sudo ip xfrm policy

src 192.168.255.0/30 dst 192.168.255.0/30 
    dir out priority 2147483648 
    tmpl src 1.1.1.1 dst "IP NAT через который подключается mikrotik"
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir fwd priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir in priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel

Tunelak ez badaude, begiratu syslog edo journalctl -u racoon.

Orain L3 interfazeak konfiguratu behar dituzu trafikoa bideratu ahal izateko. Aukera desberdinak daude, IPIP erabiliko dugu, mikrotik-ek onartzen duenez, nik vti erabiliko nuke, baina, tamalez, oraindik ez da mikrotik inplementatu. IPIP-tik desberdina da, gainera, multicast kapsulatu dezake eta paketeetan fwmarks jarri, eta horren bidez iptables eta iproute2-n iragazi daitezke (politiketan oinarritutako bideratzea). Funtzionalitate maximoa behar baduzu, adibidez, GRE. Baina ez ahaztu funtzionalitate gehigarriak ordaintzen ditugula goiburu handi batekin.

Tunelaren interfazeen berrikuspen on baten itzulpena ikus dezakezu Hemen.

Linux-en:

# Создаем интерфейс
sudo ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
# Активируем
sudo ip link set ipip-ipsec0 up
# Назначаем адрес
sudo ip addr add 192.168.255.1/30 dev ipip-ipsec0

Orain mikrotik sareen ibilbideak gehi ditzakezu

sudo ip route add A.B.C.D/Prefix via 192.168.255.2

Gure interfazea eta ibilbideak berrabiarazi ondoren, interfazea deskribatu behar dugu /etc/network/interfaces-en eta ibilbideak gehitu behar ditugu post-upean, edo dena fitxategi batean idatzi, adibidez, /etc/ ipip-ipsec0.conf eta tira ezazu post-up bidez, ez ahaztu fitxategiaren jabeaz, eskubideez eta egin ezazu exekutagarria.

Jarraian fitxategi adibide bat dago

#!/bin/bash
ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
ip link set ipip-ipsec0 up
ip addr add 192.168.255.1/30 dev ipip-ipsec0

ip route add A.B.C.D/Prefix via 192.168.255.2

Mikrotik-en:

"Interfazeak" atalean, gehitu interfaze berri bat "IP tunela":

"IP tunela" fitxa - "Orokorra"
Parametroa
Balio

izena
Zure erabakiaren arabera (aurrerantzean IPIP-IPsec0)

MTU
1480 (zehazten ez bada, mikrotik mtu 68ra mozten hasten da)

Tokiko Helbidea
192.168.0.2

Urruneko helbidea
192.168.0.1

IPsec sekretua
Desaktibatu eremua (bestela Peer berri bat sortuko da)

Mantendu bizirik
Desaktibatu eremua (bestela, interfazea etengabe itzaliko da, mikrotikak bere formatu propioa baitu pakete hauetarako eta ez baitu Linux-ekin funtzionatzen)

DSCP
oinordetzan

Ez zatikatu
no

Besarkatu TCP MSS
Egia

Baimendu bide azkarra
Egia

"IP" atala - "Helbideak", gehitu helbidea:

Parametroa
Balio

Helbidea
192.168.0.2/30

Interface
IPIP-IPsec0

Orain Linux makina baten atzean sarera ibilbideak gehi ditzakezu; ibilbide bat gehitzean, atea gure IPIP-IPsec0 interfazea izango da.

PS

Gure Linux zerbitzaria iragankorra denez, zentzuzkoa da Clamp TCP MSS parametroa bertan ipip interfazeetarako ezartzea:

sortu /etc/iptables.conf fitxategi bat eduki hauekin:

*mangle
-A POSTROUTING -o ipip+ -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT

eta /etc/network/interfaces-en
post-up iptables-restore < /etc/iptables.conf

Nginx sarean exekutatzen dut mikrotik atzean (ip 10.10.10.1), egin ezazu eskuragarri Internetetik, gehitu /etc/iptables.conf-en:

*nat
-A PREROUTING -d 1.1.1.1/32 -p tcp -m multiport --dports 80,443 -j DNAT --to-destination 10.10.10.1
#На mikrotik, в таблице mangle, надо добавить правило route с назначением 192.168.0.1 для пакетов с адресом источника 10.10.10.1 и портов 80, 443.

# Так же на linux работает OpenVPN сервер 172.16.0.1/24, для клиентов которые используют подключение к нему в качестве шлюза даем доступ в интернет
-A POSTROUTING -s 172.16.0.0/24 -o eth0 -j SNAT --to-source 1.1.1.1
COMMIT 

Ez ahaztu iptables-en baimen egokiak gehitzea pakete-iragazkiak gaituta badituzu.

Stay osasuntsu!

Iturria: www.habr.com