IPIP IPsec VPN tonelina eo anelanelan'ny milina Linux sy Mikrotik ao ambadiky ny mpamatsy NAT

Linux: Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-91-generic x86_64)

• Eth0 1.1.1.1/32 IP ivelany
• ipip-ipsec0 192.168.0.1/30 no ho tionelinay

Miktoik: CCR 1009, RouterOS 6.46.5

• Eth0 10.0.0.2/30 IP anatiny avy amin'ny mpamatsy. Ny IP NAT ivelany an'ny mpamatsy dia mavitrika.
• ipip-ipsec0 192.168.0.2/30 no ho tionelinay

Hamorona tonelina IPsec amin'ny milina Linux mampiasa racoon izahay. Tsy hamariparitra ny antsipiriany aho, misy tsara lahatsoratra у vvpoloskin.

Apetraho ireo fonosana ilaina:

sudo install racoon ipsec-tools

Ampifandraiso amin'ny racoon izahay, dia hiasa ho toy ny mpizara ipsec izy io. Satria ny mikrotik amin'ny fomba lehibe dia tsy afaka mamindra identifier mpanjifa fanampiny, ary ny adiresy IP ivelany izay mampifandray azy amin'ny Linux dia mavitrika, ny fampiasana fanalahidy efa nozaraina (fanomezana alalana amin'ny tenimiafina) dia tsy mandeha, satria ny tenimiafina dia tsy maintsy mifanaraka amin'ny adiresy IP an'ny. ny mpampiantrano mampifandray, na miaraka amin'ny famantarana.

Hampiasa fanomezan-dàlana izahay amin'ny fampiasana ny fanalahidy RSA.

Ny daemon racoon dia mampiasa fanalahidy amin'ny endrika RSA, ary mampiasa ny format PEM ny mikrotik. Raha mamorona fanalahidy ianao amin'ny alàlan'ny fampiasa plainrsa-gen miaraka amin'ny racoon, dia tsy ho vitanao ny hamadika ny lakile ho an'ny Mikrotika ho endrika PEM miaraka amin'ny fanampiany - tsy miova afa-tsy amin'ny lalana iray: PEM ho RSA. Na openssl na ssh-keygen dia tsy afaka namaky ny fanalahidy novokarin'ny plainrsa-gen, noho izany dia tsy ho azo atao koa ny fiovam-po amin'ny fampiasana azy ireo.

Hamorona fanalahidin'ny PEM isika amin'ny alàlan'ny openssl ary hamadika izany ho an'ny racoon mampiasa plainrsa-gen:

#  Генерируем ключ
openssl genrsa -out server-name.pem 1024
# Извлекаем публичный ключ
openssl rsa -in server-name.pem -pubout > server-name.pub.pem
# Конвертируем
plainrsa-gen -i server-name.pem -f server-name.privet.key
plainrsa-gen -i server-name.pub.pem -f server-name.pub.key

Hapetrakay ao anaty lahatahiry ireo fanalahidy voaray: /etc/racoon/certs/server. Aza adino ny mametraka ny tompon'ny mpampiasa eo ambanin'ny anarany ny racoon daemon natomboka (matetika faka) ho 600 alalana.

Holazaiko ny setup mikrotik rehefa mifandray amin'ny WinBox.

Alefaso amin'ny mikrotik ny fanalahidin'ny server-name.pub.pem: Menu “Files” - “Upload”.

Sokafy ny fizarana "IP" - "IP sec" - tabilao "Keys". Ankehitriny dia mamorona fanalahidy isika - ny bokotra "Generate Key", avy eo manondrana ny fanalahidy ho an'ny daholobe mikrotika "Expor Pub. Key", azonao alaina avy amin'ny fizarana "Files", tsindrio havanana amin'ny rakitra - "Download".

Manafatra ny fanalahidin'ny racoon public izahay, "Import", ao amin'ny lisitra midina amin'ny saha "Anaran'ny fisie" mitady ny server-name.pub.pem nalainay teo aloha.

Mila avadika ny fanalahidin'ny daholobe mikrotik

plainrsa-gen -i mikrotik.pub.pem -f mikrotik.pub.key

ary apetraho ao amin'ny /etc/racoon/certs folder, tsy adino ny tompony sy ny zo.

racoon config misy fanehoan-kevitra: /etc/racoon/racoon.conf

log info; # Уровень логирования, при отладке используем Debug или Debug2.

listen {

    isakmp 1.1.1.1 [500]; # Адрес и порт, на котором будет слушать демон.
    isakmp_natt 1.1.1.1 [4500]; # Адрес и порт, на котором будет слушать демон для клиентов за NAT.
    strict_address; # Выполнять обязательную проверку привязки к указанным выше IP.
}

path certificate "/etc/racoon/certs"; # Путь до папки с сертификатами.

remote anonymous { # Секция, задающая параметры для работы демона с ISAKMP и согласования режимов с подключающимися хостами. Так как IP, с которого подключается Mikrotik, динамический, то используем anonymous, что разрешает подключение с любого адреса. Если IP у хостов статический, то можно указать конкретный адрес и порт.

    passive on; # Задает "серверный" режим работы демона, он не будет пытаться инициировать подключения.
    nat_traversal on; # Включает использование режима NAT-T для клиентов, если они за NAT. 
    exchange_mode main; # Режим обмена параметрами подключения, в данном случае ---согласование.
    my_identifier address 1.1.1.1; # Идентифицируем наш linux хост по его ip адресу.
    certificate_type plain_rsa "server/server-name.priv.key"; # Приватный ключ сервера.
    peers_certfile plain_rsa "mikrotik.pub.key"; # Публичный ключ Mikrotik.

    proposal_check claim; # Режим согласования параметров ISAKMP туннеля. Racoon будет использовать значения подключающегося хоста (инициатора) для срока действия сессии                   и длины ключа, если его срок действия сессии больше, или длина его ключа короче, чем у инициатора. Если срок действия сессии короче, чем у инициатора, racoon использует собственное значение срока действия сессии и будет отправлять сообщение RESPONDER-LIFETIME.
    proposal { # Параметры ISAKMP туннеля.

        encryption_algorithm aes; # Метод шифрования ISAKMP туннеля.
        hash_algorithm sha512; # Алгоритм хеширования, используемый для ISAKMP туннеля.
        authentication_method rsasig; # Режим аутентификации для ISAKMP туннеля - по RSA ключам.
        dh_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана при согласовании ISAKMP туннеля.
        lifetime time 86400 sec; Время действия сессии.
    }

    generate_policy on; # Автоматическое создание ESP туннелей из запроса, пришедшего от подключающегося хоста.
}

sainfo anonymous { # Параметры ESP туннелей, anonymous - указанные параметры будут использованы как параметры по умолчанию. Для разных клиентов, портов, протоколов можно              задавать разные параметры, сопоставление происходит по ip адресам, портам, протоколам.

    pfs_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана для ESP туннелей.
    lifetime time 28800 sec; # Срок действия ESP туннелей.
    encryption_algorithm aes; # Метод шифрования ESP туннелей.
    authentication_algorithm hmac_sha512; # Алгоритм хеширования, используемый для аутентификации ESP туннелей.
    compression_algorithm deflate; # Сжимать передаваемые данные, алгоритм сжатия предлагается только один.
}

mikrotik config

Miverena any amin'ny fizarana "IP" - "IPsec"

tabilao "Profil".
fikirana
zava-dehibe

anarana
Araka ny fanapahan-kevitrao (amin'ny alàlan'ny default)

Algorithme Hash
sha512

Algorithm Encryption
aes-128

DH-Group
modp2048

Proposhal_check
Fitarainana

Androm-piainana
1d 00:00:00

NAT Traversal
marina (jereo ny boaty)

DPD
120

DPD Maximum tsy fahombiazana
5

Peers tab
fikirana
zava-dehibe

anarana
Araka ny fanapahan-kevitrao (antsoina hoe MyPeer)

Address
1.1.1.1 (milina IP Linux)

Adiresy eo an-toerana
10.0.0.2 (IP WAN interface mikrotik)

Profile
toerana misy anao

Fomba fifanakalozana
tena

matoantenin'ny atao
diso

Alefaso INITIAL_CONTACT
marina

Tab soso-kevitra
fikirana
zava-dehibe

anarana
Araka ny fanapahan-kevitrao (MyPeerProposal)

Auth. Algorithms
sha512

Encr. Algorithms
aes-128-cbc

Androm-piainana
08:00:00

PFS Group
modp2048

tabilao "Identities".
fikirana
zava-dehibe

ataon'ny mpiara
MyPeer

Atuh. FOMBA
rsa key

Key
mikrotik.privet.key

Key Key
server-name.pub.pem

Vondrona Template Politika
toerana misy anao

Notrack Chain
foana

Karazana ID-ko
fiara

Karazana ID lavitra
fiara

Match By
remote id

Mode Configuration
foana

Mamorona Politika
tsy misy

Kiheba "Politika - General"
fikirana
zava-dehibe

ataon'ny mpiara
MyPeer

tonelina
marina

Src. Adiresy
192.168.0.0/30

Dest. Adiresy
192.168.0.0/30

Protocol
255 (rehetra)

Endrika
diso

Kiheba "Politika - Hetsika"
fikirana
zava-dehibe

Action
encrypt

Level
mitaky

IPsec Protocols
ESP

tolo-kevitra
MyPeerProposal

Azo inoana, toa ahy, manana snat/masquerade ianao ao amin'ny interface WAN anao; mila amboarina io fitsipika io mba hidiran'ny packet ipsec mivoaka ao amin'ny tonelinay:
Mandehana any amin'ny "IP" - "Firewall".
kiheba "NAT", sokafy ny fitsipika snat/masquerade.

Advanced Tab
fikirana
zava-dehibe

Politika IPsec
avy: tsy misy

Avereno indray ny demonia racoon

sudo systemctl restart racoon

Raha tsy manomboka ny racoon rehefa manomboka, dia misy hadisoana ao amin'ny config; ao amin'ny syslog, racoon dia mampiseho fampahalalana momba ny laharan'ny tsipika nahitana ny fahadisoana.

Rehefa mandeha ny OS, dia manomboka ny daemon racoon alohan'ny hivoahan'ny fifandraisana amin'ny tambajotra, ary nofaritanay ny safidy strict_address ao amin'ny fizarana mihaino; mila ampidirinao amin'ny rakitra systemd ny racoon unit.
/lib/systemd/system/racoon.service, ao amin'ny fizarana [Unit], andalana After=network.target.

Ankehitriny dia tokony hitsangana ny tonelina ipsec, jereo ny vokatra:

sudo ip xfrm policy

src 192.168.255.0/30 dst 192.168.255.0/30 
    dir out priority 2147483648 
    tmpl src 1.1.1.1 dst "IP NAT через который подключается mikrotik"
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir fwd priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir in priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel

Raha tsy miakatra ny tonelina dia jereo ny syslog, na journalctl -u racoon.

Ankehitriny dia mila manitsy ny interface L3 ianao mba ahafahana mivezivezy ny fifamoivoizana. Misy safidy samihafa, hampiasa IPIP isika, satria ny mikrotik dia manohana azy, dia hampiasa vti aho, saingy, indrisy, mbola tsy nampiharina tamin'ny mikrotik izany. Tsy mitovy amin'ny IPIP izy io satria afaka mampiditra multicast ary mametraka fwmarks amin'ny fonosana, izay ahafahan'izy ireo sivana amin'ny iptables sy iproute2 (fandrosoana mifototra amin'ny politika). Raha mila fampiasa ambony indrindra ianao, ohatra, GRE. Saingy aza adino fa mandoa fampiasa fanampiny miaraka amin'ny loha ambony lehibe izahay.

Azonao atao ny mahita ny fandikana ny fijery tsara momba ny tonelina interface tsara eto.

Amin'ny Linux:

# Создаем интерфейс
sudo ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
# Активируем
sudo ip link set ipip-ipsec0 up
# Назначаем адрес
sudo ip addr add 192.168.255.1/30 dev ipip-ipsec0

Ankehitriny ianao dia afaka manampy lalana ho an'ny tambajotra ao ambadiky ny mikrotik

sudo ip route add A.B.C.D/Prefix via 192.168.255.2

Mba hampiakatra ny interface sy ny làlan-tsika aorian'ny reboot, dia mila mamaritra ny interface ao amin'ny /etc/network/interfaces isika ary manampy lalana any amin'ny post-up, na soraty ao anaty rakitra iray ny zava-drehetra, ohatra, /etc/ ipip-ipsec0.conf ary sintony amin'ny alàlan'ny post-up, aza adino ny tompon'ny rakitra, ny zo ary ataovy azo tanterahina.

Ity ambany ity ny rakitra ohatra

#!/bin/bash
ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
ip link set ipip-ipsec0 up
ip addr add 192.168.255.1/30 dev ipip-ipsec0

ip route add A.B.C.D/Prefix via 192.168.255.2

Ao amin'ny Mikrotik:

Fizarana "Interfaces", ampio interface vaovao "Tunnel IP":

Tab "Tunnel IP" - "General"
fikirana
zava-dehibe

anarana
Araka ny fanapahan-kevitrao (antsoina hoe IPIP-IPsec0)

MTU
1480 (raha tsy voalaza dia manomboka manapaka mtu ho 68 ny mikrotik)

Adiresy eo an-toerana
192.168.0.2

Adiresy lavitra
192.168.0.1

IPsec Secret
Atsaharo ny saha (raha tsy izany dia hamorona Peer vaovao)

keepalive
Esory ny saha (raha tsy izany dia ho faty foana ny interface, satria ny mikrotika dia manana endrika manokana ho an'ireo fonosana ireo ary tsy miasa amin'ny Linux)

DSCP
handova

Aza mizarazara
tsy misy

Clamp TCP MSS
marina

Avelao ny lalana haingana
marina

Fizarana "IP" - "Addresses", ampio ny adiresy:

fikirana
zava-dehibe

Address
192.168.0.2/30

Interface
IPIP-IPsec0

Ankehitriny ianao dia afaka manampy lalana mankany amin'ny tambajotra ao ambadiky ny milina Linux; rehefa manampy lalana, ny vavahady dia ny interface IPIP-IPsec0.

PS

Satria transitive ny mpizara Linux anay, dia misy dikany ny mametraka ny mari-pamantarana Clamp TCP MSS ho an'ny interface ipip eo aminy:

mamorona rakitra /etc/iptables.conf miaraka amin'ireto atiny manaraka ireto:

*mangle
-A POSTROUTING -o ipip+ -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT

ary ao amin'ny /etc/network/interfaces
post-up iptables-restore < /etc/iptables.conf

Manana nginx mandeha amin'ny tambajotra ao ambadiky ny mikrotik aho (ip 10.10.10.1), ataovy azo idirana amin'ny Internet, ampio amin'ny /etc/iptables.conf:

*nat
-A PREROUTING -d 1.1.1.1/32 -p tcp -m multiport --dports 80,443 -j DNAT --to-destination 10.10.10.1
#На mikrotik, в таблице mangle, надо добавить правило route с назначением 192.168.0.1 для пакетов с адресом источника 10.10.10.1 и портов 80, 443.

# Так же на linux работает OpenVPN сервер 172.16.0.1/24, для клиентов которые используют подключение к нему в качестве шлюза даем доступ в интернет
-A POSTROUTING -s 172.16.0.0/24 -o eth0 -j SNAT --to-source 1.1.1.1
COMMIT 

Aza adino ny manampy ny fahazoan-dàlana mety amin'ny iptables raha toa ka avelanao ny sivana fonosana.

Aoka ho salama!

Source: www.habr.com