IPIP IPsec VPN cuniculus inter apparatus Linux et Mikrotik post NAT provider

Linux: Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-91-genere x86_64)

• Eth0 1.1.1.1/32 external IP
• ipip-ipsec0 192.168.0.1/30 cuniculum nostrum erit

Miktoik: CCR 1009, RouterOS 6.46.5

• Eth0 10.0.0.2/30 IP internum a provisore. Provisor externus NAT IP dynamicus est.
• ipip-ipsec0 192.168.0.2/30 cuniculum nostrum erit

IPsec cuniculum in machina Linux racoon utentem creabimus. Singula non describere, bonus est articulus у vvpoloskin.

Install necessarias sarcinas:

sudo install racoon ipsec-tools

Racoon configuramus, sub condicione aget ut ipsecus ministrator. Cum mikrotik in principali modo non potest transmittere clientem identificatorem, et externa IP oratio per quam cum Linux coniungitur dynamica, adhibita clavem praefixam (auctoritatem tesserae) non laborabit, cum tessera aequari debet vel cum IP inscriptione electronica connectens exercitum, or with identifier.

Auctoritate utemur RSA claves.

Racoon daemonis utitur clavibus in RSA forma, et mikrotik utitur PEM forma. Si claves generaveris utentem utilitatem quae cum racoon venit, tunc non poteris clavem publicam Mikrotika ad PEM convertere cum eius auxilio - convertitur tantum in unam partem: PEM ad RSA. Nec openssl nec ssh-keygen clavem generatam ab plainrsa-gen legere potuit, ita conversio illis vel uti non poterit.

Clavem PEM generabimus utentes openssl ac deinde pro racoon utentes plainrsa-gen convertemus;

#  Генерируем ключ
openssl genrsa -out server-name.pem 1024
# Извлекаем публичный ключ
openssl rsa -in server-name.pem -pubout > server-name.pub.pem
# Конвертируем
plainrsa-gen -i server-name.pem -f server-name.privet.key
plainrsa-gen -i server-name.pub.pem -f server-name.pub.key

Acceptas claves ponemus in folder: /etc/racoon/certs/servo. Noli oblivisci possessorem usoris sub cuius nomine racoon daemonis (solet radix) ad 600 permissiones immittitur.

Describam mikrotik setup cum connectens per WinBox.

Index servo-name.pub.pem clavis ad mikrotik: Menu "Filia" - "Index".

Aperi sectionem "IP" - "IP sec" - "Kes" tab. Nunc claves generamus - pyga "Key Generale", deinde mikrotika clavis publicas exportandae "Expor Pub. Clavis", eam ex "Filia" sectione deponi potes, ius-click in tabella - "Download".

Indicamus clavem publicam "Import" in gutta-down indicem "nominis tabularii" quaerimus pro servitore-nominis.pub.pem antea nobis delatum est.

Clavis publica mikrotik debet converti

plainrsa-gen -i mikrotik.pub.pem -f mikrotik.pub.key

et pone in folder /etc/racoon/certis, non immemores de possessore et iuribus.

racoon config cum comment: /etc/racoon/racoon.conf

log info; # Уровень логирования, при отладке используем Debug или Debug2.

listen {

    isakmp 1.1.1.1 [500]; # Адрес и порт, на котором будет слушать демон.
    isakmp_natt 1.1.1.1 [4500]; # Адрес и порт, на котором будет слушать демон для клиентов за NAT.
    strict_address; # Выполнять обязательную проверку привязки к указанным выше IP.
}

path certificate "/etc/racoon/certs"; # Путь до папки с сертификатами.

remote anonymous { # Секция, задающая параметры для работы демона с ISAKMP и согласования режимов с подключающимися хостами. Так как IP, с которого подключается Mikrotik, динамический, то используем anonymous, что разрешает подключение с любого адреса. Если IP у хостов статический, то можно указать конкретный адрес и порт.

    passive on; # Задает "серверный" режим работы демона, он не будет пытаться инициировать подключения.
    nat_traversal on; # Включает использование режима NAT-T для клиентов, если они за NAT. 
    exchange_mode main; # Режим обмена параметрами подключения, в данном случае ---согласование.
    my_identifier address 1.1.1.1; # Идентифицируем наш linux хост по его ip адресу.
    certificate_type plain_rsa "server/server-name.priv.key"; # Приватный ключ сервера.
    peers_certfile plain_rsa "mikrotik.pub.key"; # Публичный ключ Mikrotik.

    proposal_check claim; # Режим согласования параметров ISAKMP туннеля. Racoon будет использовать значения подключающегося хоста (инициатора) для срока действия сессии                   и длины ключа, если его срок действия сессии больше, или длина его ключа короче, чем у инициатора. Если срок действия сессии короче, чем у инициатора, racoon использует собственное значение срока действия сессии и будет отправлять сообщение RESPONDER-LIFETIME.
    proposal { # Параметры ISAKMP туннеля.

        encryption_algorithm aes; # Метод шифрования ISAKMP туннеля.
        hash_algorithm sha512; # Алгоритм хеширования, используемый для ISAKMP туннеля.
        authentication_method rsasig; # Режим аутентификации для ISAKMP туннеля - по RSA ключам.
        dh_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана при согласовании ISAKMP туннеля.
        lifetime time 86400 sec; Время действия сессии.
    }

    generate_policy on; # Автоматическое создание ESP туннелей из запроса, пришедшего от подключающегося хоста.
}

sainfo anonymous { # Параметры ESP туннелей, anonymous - указанные параметры будут использованы как параметры по умолчанию. Для разных клиентов, портов, протоколов можно              задавать разные параметры, сопоставление происходит по ip адресам, портам, протоколам.

    pfs_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана для ESP туннелей.
    lifetime time 28800 sec; # Срок действия ESP туннелей.
    encryption_algorithm aes; # Метод шифрования ESP туннелей.
    authentication_algorithm hmac_sha512; # Алгоритм хеширования, используемый для аутентификации ESP туннелей.
    compression_algorithm deflate; # Сжимать передаваемые данные, алгоритм сжатия предлагается только один.
}

mikrotik config

Redi ad sectionem "IP" - "IPsec"

"Profiles" tab
parametri
valorem

nomine
Discretio vestra (per default defaltam)

detrahe Algorithmus
sha512

Encryption Algorithmus
aes-128

DH-Group
modp2048

Proposhal_check
sis facis

saeculorum
1d 00:00:00

NAT Traversal
verum (reprehendo buxum)

DPD
120

DPD Maximum deficiendi
5

proceres tab
parametri
valorem

nomine
Ad discretionem vestram (infra ad MyPeer)

Address
1.1.1.1 (IP Linux machinis)

Locus Inscriptio
10.0.0.2 (IP WAN mikrotik)

Profile
default

Modus commutationem
summa

passiva
falsum,

Mitte INITIAL_CONTACT
verum

Rogationem tab
parametri
valorem

nomine
Ad discretionem vestram (infra ad ut MyPeerProposal)

Auth. Algorithmus
sha512

Encr. Algorithmus
aes-128-cbc

saeculorum
08:00:00

PFS Group
modp2048

"Identitatum" tab
parametri
valorem

prospiciunt, singultant,
MyPeer

Atuh. Methodus
rsa clavem

Key
mikrotik.privet.key

Key remote
server-name.pub.pem

Consilium Formulae Group
default

Notrack Chain
inanis

Mea ID Type
Car

Remota ID Type
Car

Par per
remota id

Modus configurationis
inanis

Generale Policy
nihil

Tab "Policii Generalis"
parametri
valorem

prospiciunt, singultant,
MyPeer

cuniculum
verum

Src. Oratio
192.168.0.0/30

Dest. Oratio
192.168.0.0/30

Protocol
255 (all);

Home
falsum,

Tab "Policii - Action"
parametri
valorem

actionis
encrypt

Level
requirere

IPsec Protocolla
c

rogationem
MyPeerProposal

Verisimile, sicut me, luridum interfacies figuratum habes, regula haec aptanda est ut exitus ipsec in cuniculum nostrum vadat:
Vade ad sectionem "IP" - Firewall.
"NAT" tab, aperi regulam nostram snat/masquerade.

Provectus Tab
parametri
valorem

IPsec Policy
e: nemo

Restarting racoon daemonium

sudo systemctl restart racoon

Si racoon super sileo non committitur, errat in config, in syslog, racoon informationes demonstrat de numero lineae in quibus error deprehensus est.

Cum ocreis OS, racoon daemonis incipit antequam retiaculorum interfaces educantur, et optionem strict_address in sectione audiente designamus, debes addere racoon unitatis ad fasciculi systematis.
/lib/systemd/system/racoon.service, in sectione, linea After=network.target.

Nunc nostri ipsec cuniculis sursum sunt, aspice output:

sudo ip xfrm policy

src 192.168.255.0/30 dst 192.168.255.0/30 
    dir out priority 2147483648 
    tmpl src 1.1.1.1 dst "IP NAT через который подключается mikrotik"
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir fwd priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir in priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel

Si cuniculi non sunt, vide syslog aut journalctl -u racoon.

Nunc opus est interfaces L3 configurare ut negotiatio fundi possit. Optiones variae sunt, IPIP utemur, cum mikrotik id sustineat, ego uti vti, sed, proh dolor, nondum in mikrotik effecta est. Differt ab IPIP in eo quod praeterea encapsulate multicasti et puncta in fasciculis imponere potest, quibus eliquari in iptables et iproute2 possunt (consilium fuso fundatum). Si maximam functionem indigeas, exempli gratia, GRE. Sed noli oblivisci nos pro magno capitis capite functionis additional solvere.

Potes videre translationem boni contemplationis cuniculi interfaces hic.

De Linux:

# Создаем интерфейс
sudo ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
# Активируем
sudo ip link set ipip-ipsec0 up
# Назначаем адрес
sudo ip addr add 192.168.255.1/30 dev ipip-ipsec0

Nunc addere potes vias pro retiacula post mikrotik

sudo ip route add A.B.C.D/Prefix via 192.168.255.2

Ut interfacies et itinera nostra post reboot attollantur, opus est interfacem in /etc/network/interfaces describere et itinera ibi in post-sursum addere, vel omnia in uno fasciculo scribere, verbi gratia, /etc/ ipip-ipsec0.conf et per post-up trahere, noli oblivisci possessoris tabellae, iura et exsecutabile fac.

Infra exemplum fasciculi

#!/bin/bash
ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
ip link set ipip-ipsec0 up
ip addr add 192.168.255.1/30 dev ipip-ipsec0

ip route add A.B.C.D/Prefix via 192.168.255.2

Die Mikrotik:

Sectio "Interfaces", novum interface "IP cuniculum" adde:

Tab "Ip cuniculum" - "General"
parametri
valorem

nomine
Ad discretionem vestram (inferius ad IPIP-IPsec0 refertur)

MTU
1480 (nisi denotatur, mikrotik incipit secando mtu ad 68);

Locus Inscriptio
192.168.0.2

Remota Oratio
192.168.0.1

IPsec Secret
Agrum deactivate (alioquin novus par creabitur)

Reservate
Agrum deactivate (aliter interfacies constanter avertet, cum mikrotika suam formam habeat his fasciculis et cum Linux non laborat)

DSCP
possidebo

Noli Fragment
nihil

Fibulae TCP MSS
verum

Patitur Fast Path
verum

Sectio "IP" - "Inscriptiones", adde inscriptionem:

parametri
valorem

Address
192.168.0.2/30

Interface
IPIP-IPsec0

Nunc vias retis post machinam Linux addere potes, cum iter addito, porta interface nostra IPIP-IPsec0 erit.

PS

Cum Linux noster servulus transitivus sit, sensum praebet ut Fibulae TCP parametri MSS pro ipip interveniat;

creare file /etc/iptables.conf cum sequenti contenta:

*mangle
-A POSTROUTING -o ipip+ -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT

and in /etc/network/interfaces
post-up iptables-restitue < /etc/iptables.conf

Ego nginx in retiaculis post mikrotik currentem habeo (ip 10.10.10.1), pervium e Interrete faciam, /etc/iptables.conf: adde:

*nat
-A PREROUTING -d 1.1.1.1/32 -p tcp -m multiport --dports 80,443 -j DNAT --to-destination 10.10.10.1
#На mikrotik, в таблице mangle, надо добавить правило route с назначением 192.168.0.1 для пакетов с адресом источника 10.10.10.1 и портов 80, 443.

# Так же на linux работает OpenVPN сервер 172.16.0.1/24, для клиентов которые используют подключение к нему в качестве шлюза даем доступ в интернет
-A POSTROUTING -s 172.16.0.0/24 -o eth0 -j SNAT --to-source 1.1.1.1
COMMIT 

Noli oblivisci permissiones congruas iptables addere, si scolarum fasciculum paraverunt.

Manere sanus!

Source: www.habr.com