IPIP IPsec VPN tunnel antara mesin Linux dan Mikrotik di belakang penyedia NAT

Linux: Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-91-generik x86_64)

• Eth0 1.1.1.1/32 IP eksternal
• ipip-ipsec0 192.168.0.1/30 akan menjadi terowongan kita

Miktoik: CCR 1009, RouterOS 6.46.5

• Eth0 10.0.0.2/30 IP internal dari penyedia. IP NAT eksternal penyedia bersifat dinamis.
• ipip-ipsec0 192.168.0.2/30 akan menjadi terowongan kita

Kami akan membuat terowongan IPsec di mesin Linux menggunakan racoon. Saya tidak akan menjelaskan detailnya, ada yang bagus artikel у vvpoloskin.

Instal paket yang diperlukan:

sudo install racoon ipsec-tools

Kami mengkonfigurasi racoon, secara kondisional akan bertindak sebagai server IPSec. Karena mikrotik dalam mode utama tidak dapat mengirimkan pengidentifikasi klien tambahan, dan alamat IP eksternal yang digunakan untuk terhubung ke Linux bersifat dinamis, penggunaan kunci yang dibagikan sebelumnya (otorisasi kata sandi) tidak akan berfungsi, karena kata sandi harus cocok dengan alamat IP host penghubung, atau dengan pengidentifikasi.

Kami akan menggunakan otorisasi menggunakan kunci RSA.

Daemon racoon menggunakan kunci dalam format RSA, dan mikrotik menggunakan format PEM. Jika Anda membuat kunci menggunakan utilitas plainrsa-gen yang disertakan dengan racoon, maka Anda tidak akan dapat mengonversi kunci publik untuk Mikrotika ke format PEM dengan bantuannya - kunci tersebut hanya mengonversi dalam satu arah: PEM ke RSA. Baik openssl maupun ssh-keygen tidak dapat membaca kunci yang dihasilkan oleh plainrsa-gen, sehingga konversi juga tidak dapat dilakukan dengan menggunakan kunci tersebut.

Kami akan membuat kunci PEM menggunakan openssl dan kemudian mengonversinya untuk racoon menggunakan plainrsa-gen:

#  Генерируем ключ
openssl genrsa -out server-name.pem 1024
# Извлекаем публичный ключ
openssl rsa -in server-name.pem -pubout > server-name.pub.pem
# Конвертируем
plainrsa-gen -i server-name.pem -f server-name.privet.key
plainrsa-gen -i server-name.pub.pem -f server-name.pub.key

Kami akan meletakkan kunci yang diterima di folder: /etc/racoon/certs/server. Jangan lupa untuk mengatur pemilik pengguna yang namanya diluncurkan daemon racoon (biasanya root) menjadi 600 izin.

Saya akan menjelaskan setup mikrotik saat menghubungkan melalui WinBox.

Upload key server-name.pub.pem ke mikrotik: Menu “Files” - “Upload”.

Buka bagian "IP" - "IP detik" - tab "Kunci". Sekarang kita generate key - tombol “Generate Key”, lalu ekspor public key mikrotika “Expor Pub. Kunci", Anda dapat mendownloadnya dari bagian "File", klik kanan pada file - "Unduh".

Kami mengimpor kunci publik racoon, "Impor", di daftar drop-down bidang "Nama file" kami mencari nama server.pub.pem yang kami unduh sebelumnya.

Kunci publik mikrotik perlu dikonversi

plainrsa-gen -i mikrotik.pub.pem -f mikrotik.pub.key

dan letakkan di folder /etc/racoon/certs tanpa melupakan pemilik dan haknya.

konfigurasi racoon dengan komentar: /etc/racoon/racoon.conf

log info; # Уровень логирования, при отладке используем Debug или Debug2.

listen {

    isakmp 1.1.1.1 [500]; # Адрес и порт, на котором будет слушать демон.
    isakmp_natt 1.1.1.1 [4500]; # Адрес и порт, на котором будет слушать демон для клиентов за NAT.
    strict_address; # Выполнять обязательную проверку привязки к указанным выше IP.
}

path certificate "/etc/racoon/certs"; # Путь до папки с сертификатами.

remote anonymous { # Секция, задающая параметры для работы демона с ISAKMP и согласования режимов с подключающимися хостами. Так как IP, с которого подключается Mikrotik, динамический, то используем anonymous, что разрешает подключение с любого адреса. Если IP у хостов статический, то можно указать конкретный адрес и порт.

    passive on; # Задает "серверный" режим работы демона, он не будет пытаться инициировать подключения.
    nat_traversal on; # Включает использование режима NAT-T для клиентов, если они за NAT. 
    exchange_mode main; # Режим обмена параметрами подключения, в данном случае ---согласование.
    my_identifier address 1.1.1.1; # Идентифицируем наш linux хост по его ip адресу.
    certificate_type plain_rsa "server/server-name.priv.key"; # Приватный ключ сервера.
    peers_certfile plain_rsa "mikrotik.pub.key"; # Публичный ключ Mikrotik.

    proposal_check claim; # Режим согласования параметров ISAKMP туннеля. Racoon будет использовать значения подключающегося хоста (инициатора) для срока действия сессии                   и длины ключа, если его срок действия сессии больше, или длина его ключа короче, чем у инициатора. Если срок действия сессии короче, чем у инициатора, racoon использует собственное значение срока действия сессии и будет отправлять сообщение RESPONDER-LIFETIME.
    proposal { # Параметры ISAKMP туннеля.

        encryption_algorithm aes; # Метод шифрования ISAKMP туннеля.
        hash_algorithm sha512; # Алгоритм хеширования, используемый для ISAKMP туннеля.
        authentication_method rsasig; # Режим аутентификации для ISAKMP туннеля - по RSA ключам.
        dh_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана при согласовании ISAKMP туннеля.
        lifetime time 86400 sec; Время действия сессии.
    }

    generate_policy on; # Автоматическое создание ESP туннелей из запроса, пришедшего от подключающегося хоста.
}

sainfo anonymous { # Параметры ESP туннелей, anonymous - указанные параметры будут использованы как параметры по умолчанию. Для разных клиентов, портов, протоколов можно              задавать разные параметры, сопоставление происходит по ip адресам, портам, протоколам.

    pfs_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана для ESP туннелей.
    lifetime time 28800 sec; # Срок действия ESP туннелей.
    encryption_algorithm aes; # Метод шифрования ESP туннелей.
    authentication_algorithm hmac_sha512; # Алгоритм хеширования, используемый для аутентификации ESP туннелей.
    compression_algorithm deflate; # Сжимать передаваемые данные, алгоритм сжатия предлагается только один.
}

konfigurasi mikrotik

Kembali ke bagian "IP" - "IPsec"

Tab "Profil".
Parameter
Nilai

Nama
Sesuai kebijaksanaan Anda (secara default default)

Algoritma Hash
sha512

Algoritma Enkripsi
aes-128

Grup DH
modp2048

Proposal_check
klaim

Lifetime
1h 00:00:00

Lintasan NAT
benar (centang kotaknya)

DPD
120

DPD Kegagalan maksimum
5

Tab rekan
Parameter
Nilai

Nama
Sesuai kebijaksanaan Anda (selanjutnya disebut MyPeer)

Alamat
1.1.1.1 (mesin IP Linux)

Alamat lokal
10.0.0.2 (antarmuka IP WAN mikrotik)

Profil
kegagalan

Mode Pertukaran
utama

Pasif
palsu

Kirim INITIAL_CONTACT
benar

tab usulan
Parameter
Nilai

Nama
Sesuai kebijaksanaan Anda (selanjutnya disebut MyPeerProposal)

Penulis. Algoritma
sha512

dll. Algoritma
aes-128-cbc

Lifetime
08:00:00

Grup PFS
modp2048

Tab "Identitas".
Parameter
Nilai

Teman sebaya
Rekan Saya

Atuh. metode
kunci rsa

kunci
mikrotik.privet.key

Kunci Jarak Jauh
nama-server.pub.pem

Grup Templat Kebijakan
kegagalan

Rantai Notrack
kosong

Jenis ID saya
mobil

Jenis ID Jarak Jauh
mobil

Cocokkan Oleh
id jarak jauh

Konfigurasi Mode
kosong

Hasilkan Kebijakan
tidak

Tab "Kebijakan - Umum"
Parameter
Nilai

Teman sebaya
Rekan Saya

Terowongan
benar

Src. Alamat
192.168.0.0/30

tujuan Alamat
192.168.0.0/30

Protokol
255 (semua)

Contoh
palsu

Tab "Kebijakan - Tindakan"
Parameter
Nilai

Tindakan
mengenkripsi

Tingkat
memerlukan

Protokol IPSec
esp

Usul
Proposal Rekan Saya

Kemungkinan besar, seperti saya, Anda telah mengkonfigurasi snat/masquerade pada antarmuka WAN Anda; aturan ini perlu disesuaikan agar paket ipsec keluar masuk ke terowongan kami:
Buka bagian "IP" - "Firewall".
Tab "NAT", buka aturan snat/masquerade kami.

Tab Lanjutan
Parameter
Nilai

Kebijakan IPsec
keluar: tidak ada

Memulai ulang iblis rakun

sudo systemctl restart racoon

Jika racoon tidak memulai saat restart, maka ada kesalahan dalam konfigurasi; di syslog, racoon menampilkan informasi tentang nomor baris di mana kesalahan terdeteksi.

Saat OS boot, daemon racoon dimulai sebelum antarmuka jaringan ditampilkan, dan kami menentukan opsi strict_address di bagian mendengarkan; Anda perlu menambahkan unit racoon ke file systemd
/lib/systemd/system/racoon.service, di bagian [Unit], baris After=network.target.

Sekarang terowongan IPSec kita seharusnya sudah aktif, lihat hasilnya:

sudo ip xfrm policy

src 192.168.255.0/30 dst 192.168.255.0/30 
    dir out priority 2147483648 
    tmpl src 1.1.1.1 dst "IP NAT через который подключается mikrotik"
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir fwd priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir in priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel

Jika terowongannya tidak aktif, lihat syslog, atau journalctl -u racoon.

Sekarang Anda perlu mengkonfigurasi antarmuka L3 agar lalu lintas dapat dirutekan. Ada pilihan lain, kita akan menggunakan IPIP, karena mikrotik mendukungnya, saya akan menggunakan vti, tapi sayangnya belum diimplementasikan di mikrotik. Ini berbeda dari IPIP karena ia juga dapat merangkum multicast dan memberi tanda fw pada paket, yang dengannya paket tersebut dapat disaring di iptables dan iproute2 (perutean berbasis kebijakan). Jika Anda membutuhkan fungsionalitas maksimal, misalnya GRE. Namun jangan lupa bahwa kami membayar fungsionalitas tambahan dengan overhead head yang besar.

Anda dapat melihat terjemahan ikhtisar antarmuka terowongan yang bagus di sini.

Di Linux:

# Создаем интерфейс
sudo ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
# Активируем
sudo ip link set ipip-ipsec0 up
# Назначаем адрес
sudo ip addr add 192.168.255.1/30 dev ipip-ipsec0

Sekarang Anda dapat menambahkan rute untuk jaringan di belakang mikrotik

sudo ip route add A.B.C.D/Prefix via 192.168.255.2

Agar antarmuka dan rute kita dapat dimunculkan setelah reboot, kita perlu mendeskripsikan antarmuka di /etc/network/interfaces dan menambahkan rute di sana di post-up, atau menulis semuanya dalam satu file, misalnya /etc/ ipip-ipsec0.conf dan tarik melalui post-up, jangan lupa tentang pemilik file, hak dan membuatnya dapat dieksekusi.

Di bawah ini adalah contoh filenya

#!/bin/bash
ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
ip link set ipip-ipsec0 up
ip addr add 192.168.255.1/30 dev ipip-ipsec0

ip route add A.B.C.D/Prefix via 192.168.255.2

Di Mikrotik:

Bagian "Antarmuka", tambahkan antarmuka baru "terowongan IP":

Tab "Terowongan IP" - "Umum"
Parameter
Nilai

Nama
Sesuai kebijaksanaan Anda (selanjutnya disebut IPIP-IPsec0)

MTU
1480 (jika tidak ditentukan, mikrotik mulai memotong mtu menjadi 68)

Alamat lokal
192.168.0.2

Alamat Jauh
192.168.0.1

Rahasia IPsec
Nonaktifkan bidang tersebut (jika tidak, Rekan baru akan dibuat)

Berusaha agar hidup
Nonaktifkan bidang tersebut (jika tidak, antarmuka akan terus-menerus mati, karena mikrotika memiliki formatnya sendiri untuk paket-paket ini dan tidak bekerja dengan Linux)

DSCP
mewarisi

Jangan Fragmen
tidak

Jepit TCP MSS
benar

Izinkan Jalur Cepat
benar

Bagian "IP" - "Alamat", tambahkan alamat:

Parameter
Nilai

Alamat
192.168.0.2/30

Antarmuka
IPIP-IPsec0

Sekarang Anda dapat menambahkan rute ke jaringan di belakang mesin Linux; saat menambahkan rute, gateway akan menjadi antarmuka IPIP-IPsec0 kami.

PS

Karena server Linux kami bersifat transitif, masuk akal untuk mengatur parameter Clamp TCP MSS untuk antarmuka ipip di dalamnya:

buat file /etc/iptables.conf dengan isi sebagai berikut:

*mangle
-A POSTROUTING -o ipip+ -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT

dan di /etc/network/interfaces
pasca-up iptables-restore < /etc/iptables.conf

Saya menjalankan nginx di jaringan di belakang mikrotik (ip 10.10.10.1), membuatnya dapat diakses dari Internet, tambahkan ke /etc/iptables.conf:

*nat
-A PREROUTING -d 1.1.1.1/32 -p tcp -m multiport --dports 80,443 -j DNAT --to-destination 10.10.10.1
#На mikrotik, в таблице mangle, надо добавить правило route с назначением 192.168.0.1 для пакетов с адресом источника 10.10.10.1 и портов 80, 443.

# Так же на linux работает OpenVPN сервер 172.16.0.1/24, для клиентов которые используют подключение к нему в качестве шлюза даем доступ в интернет
-A POSTROUTING -s 172.16.0.0/24 -o eth0 -j SNAT --to-source 1.1.1.1
COMMIT 

Jangan lupa untuk menambahkan izin yang sesuai ke iptables jika Anda mengaktifkan filter paket.

Sehat

Sumber: www.habr.com