IPIP IPsec VPN terowong antara mesin Linux dan Mikrotik di belakang pembekal NAT

Linux: Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-91-generik x86_64)

• Eth0 1.1.1.1/32 IP luaran
• ipip-ipsec0 192.168.0.1/30 akan menjadi terowong kami

Miktoik: CCR 1009, RouterOS 6.46.5

• Eth0 10.0.0.2/30 IP dalaman daripada pembekal. IP NAT luaran pembekal adalah dinamik.
• ipip-ipsec0 192.168.0.2/30 akan menjadi terowong kami

Kami akan mencipta terowong IPsec pada mesin Linux menggunakan racoon. Saya tidak akan menerangkan butirannya, ada yang bagus artikel у vvpoloskin.

Pasang pakej yang diperlukan:

sudo install racoon ipsec-tools

Kami mengkonfigurasi racoon, ia akan bertindak secara bersyarat sebagai pelayan ipsec. Oleh kerana mikrotik dalam mod utama tidak boleh menghantar pengecam pelanggan tambahan, dan alamat IP luaran yang melaluinya ia bersambung ke Linux adalah dinamik, menggunakan kunci prakongsi (kebenaran kata laluan) tidak akan berfungsi, kerana kata laluan mesti dipadankan sama ada dengan alamat IP hos penghubung, atau dengan pengecam.

Kami akan menggunakan kebenaran menggunakan kunci RSA.

Daemon racoon menggunakan kunci dalam format RSA, dan mikrotik menggunakan format PEM. Jika anda menjana kunci menggunakan utiliti gen plainrsa yang disertakan dengan racoon, maka anda tidak akan dapat menukar kunci awam untuk Mikrotika kepada format PEM dengan bantuannya - ia menukar hanya dalam satu arah: PEM kepada RSA. Baik openssl mahupun ssh-keygen tidak boleh membaca kunci yang dijana oleh plainrsa-gen, jadi penukaran juga tidak akan dapat digunakan.

Kami akan menjana kunci PEM menggunakan openssl dan kemudian menukarnya untuk racoon menggunakan plainrsa-gen:

#  Генерируем ключ
openssl genrsa -out server-name.pem 1024
# Извлекаем публичный ключ
openssl rsa -in server-name.pem -pubout > server-name.pub.pem
# Конвертируем
plainrsa-gen -i server-name.pem -f server-name.privet.key
plainrsa-gen -i server-name.pub.pem -f server-name.pub.key

Kami akan meletakkan kunci yang diterima dalam folder: /etc/racoon/certs/server. Jangan lupa untuk menetapkan pemilik pengguna di bawah namanya daemon racoon dilancarkan (biasanya root) kepada 600 kebenaran.

Saya akan menerangkan persediaan mikrotik apabila menyambung melalui WinBox.

Muat naik kekunci server-name.pub.pem ke mikrotik: Menu “Fail” - “Muat naik”.

Buka bahagian "IP" - "IP sec" - tab "Kekunci". Kini kami menjana kunci - butang "Jana Kunci", kemudian mengeksport kunci awam mikrotika "Ekspor Pub. Key", anda boleh memuat turunnya dari bahagian "Fail", klik kanan pada fail - "Muat turun".

Kami mengimport kunci awam racoon, "Import", dalam senarai juntai bawah medan "Nama fail" kami mencari nama pelayan.pub.pem yang kami muat turun sebelum ini.

Kunci awam mikrotik perlu ditukar

plainrsa-gen -i mikrotik.pub.pem -f mikrotik.pub.key

dan letakkannya dalam folder /etc/racoon/certs, tidak lupa tentang pemilik dan haknya.

konfigurasi racoon dengan ulasan: /etc/racoon/racoon.conf

log info; # Уровень логирования, при отладке используем Debug или Debug2.

listen {

    isakmp 1.1.1.1 [500]; # Адрес и порт, на котором будет слушать демон.
    isakmp_natt 1.1.1.1 [4500]; # Адрес и порт, на котором будет слушать демон для клиентов за NAT.
    strict_address; # Выполнять обязательную проверку привязки к указанным выше IP.
}

path certificate "/etc/racoon/certs"; # Путь до папки с сертификатами.

remote anonymous { # Секция, задающая параметры для работы демона с ISAKMP и согласования режимов с подключающимися хостами. Так как IP, с которого подключается Mikrotik, динамический, то используем anonymous, что разрешает подключение с любого адреса. Если IP у хостов статический, то можно указать конкретный адрес и порт.

    passive on; # Задает "серверный" режим работы демона, он не будет пытаться инициировать подключения.
    nat_traversal on; # Включает использование режима NAT-T для клиентов, если они за NAT. 
    exchange_mode main; # Режим обмена параметрами подключения, в данном случае ---согласование.
    my_identifier address 1.1.1.1; # Идентифицируем наш linux хост по его ip адресу.
    certificate_type plain_rsa "server/server-name.priv.key"; # Приватный ключ сервера.
    peers_certfile plain_rsa "mikrotik.pub.key"; # Публичный ключ Mikrotik.

    proposal_check claim; # Режим согласования параметров ISAKMP туннеля. Racoon будет использовать значения подключающегося хоста (инициатора) для срока действия сессии                   и длины ключа, если его срок действия сессии больше, или длина его ключа короче, чем у инициатора. Если срок действия сессии короче, чем у инициатора, racoon использует собственное значение срока действия сессии и будет отправлять сообщение RESPONDER-LIFETIME.
    proposal { # Параметры ISAKMP туннеля.

        encryption_algorithm aes; # Метод шифрования ISAKMP туннеля.
        hash_algorithm sha512; # Алгоритм хеширования, используемый для ISAKMP туннеля.
        authentication_method rsasig; # Режим аутентификации для ISAKMP туннеля - по RSA ключам.
        dh_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана при согласовании ISAKMP туннеля.
        lifetime time 86400 sec; Время действия сессии.
    }

    generate_policy on; # Автоматическое создание ESP туннелей из запроса, пришедшего от подключающегося хоста.
}

sainfo anonymous { # Параметры ESP туннелей, anonymous - указанные параметры будут использованы как параметры по умолчанию. Для разных клиентов, портов, протоколов можно              задавать разные параметры, сопоставление происходит по ip адресам, портам, протоколам.

    pfs_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана для ESP туннелей.
    lifetime time 28800 sec; # Срок действия ESP туннелей.
    encryption_algorithm aes; # Метод шифрования ESP туннелей.
    authentication_algorithm hmac_sha512; # Алгоритм хеширования, используемый для аутентификации ESP туннелей.
    compression_algorithm deflate; # Сжимать передаваемые данные, алгоритм сжатия предлагается только один.
}

konfigurasi mikrotik

Kembali ke bahagian "IP" - "IPsec"

Tab "Profil".
Parameter
Nilai

Nama
Mengikut budi bicara anda (secara lalai lalai)

Algoritma Hash
sha512

Algoritma Penyulitan
aes-128

Kumpulan DH
modp2048

Proposhal_check
menuntut

Sepanjang Hayat
1h 00:00:00

NAT Traversal
benar (tandakan kotak)

DPD
120

DPD Kegagalan maksimum
5

Tab rakan sebaya
Parameter
Nilai

Nama
Mengikut budi bicara anda (selepas ini dirujuk sebagai MyPeer)

Alamat
1.1.1.1 (mesin IP Linux)

Alamat Tempatan
10.0.0.2 (antara muka IP WAN mikrotik)

Profil
lalai

Mod Pertukaran
utama

Pasif
palsu

Hantar INITIAL_CONTACT
benar

Tab cadangan
Parameter
Nilai

Nama
Mengikut budi bicara anda (selepas ini dirujuk sebagai MyPeerProposal)

Pengesahan. Algoritma
sha512

Encr. Algoritma
aes-128-cbc

Sepanjang Hayat
08:00:00

Kumpulan PFS
modp2048

Tab "Identiti".
Parameter
Nilai

Rakan sebaya
MyPeer

Atuh. Kaedah
kunci rsa

Utama
mikrotik.privet.key

Kunci Jauh
nama pelayan.pub.pem

Kumpulan Templat Dasar
lalai

Rantaian Notrack
kosong

Jenis ID Saya
auto

Jenis ID Jauh
auto

Padankan Oleh
id jauh

Konfigurasi Mod
kosong

Menjana Dasar
tidak

Tab "Dasar - Umum"
Parameter
Nilai

Rakan sebaya
MyPeer

Terowong
benar

Src. Alamat
192.168.0.0/30

Dest. Alamat
192.168.0.0/30

Protokol
255 (semua)

Templat
palsu

Tab "Dasar - Tindakan"
Parameter
Nilai

Tindakan
menyulitkan

Tahap
peminta

Protokol IPsec
esp

Cadangan
MyPeerProposal

Kemungkinan besar, seperti saya, anda mempunyai snat/masquerade yang dikonfigurasikan pada antara muka WAN anda; peraturan ini perlu dilaraskan supaya paket ipsec keluar masuk ke dalam terowong kami:
Pergi ke bahagian "IP" - "Firewall".
Tab "NAT", buka peraturan snat/masquerade kami.

Tab Lanjutan
Parameter
Nilai

Dasar IPsec
keluar: tiada

Memulakan semula syaitan rakun

sudo systemctl restart racoon

Jika racoon tidak bermula apabila dimulakan semula, maka terdapat ralat dalam konfigurasi; dalam syslog, racoon memaparkan maklumat tentang nombor baris di mana racoon telah dikesan.

Apabila OS but, daemon racoon bermula sebelum antara muka rangkaian dibawa ke atas, dan kami menetapkan pilihan strict_address dalam bahagian dengar; anda perlu menambah unit racoon pada fail systemd
/lib/systemd/system/racoon.service, dalam bahagian [Unit], baris After=network.target.

Sekarang terowong ipsec kami sepatutnya terpasang, lihat output:

sudo ip xfrm policy

src 192.168.255.0/30 dst 192.168.255.0/30 
    dir out priority 2147483648 
    tmpl src 1.1.1.1 dst "IP NAT через который подключается mikrotik"
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir fwd priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir in priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel

Jika terowong tidak ada, lihat syslog, atau journalctl -u racoon.

Kini anda perlu mengkonfigurasi antara muka L3 supaya trafik boleh dialihkan. Terdapat pilihan yang berbeza, kami akan menggunakan IPIP, kerana mikrotik menyokongnya, saya akan menggunakan vti, tetapi, malangnya, ia belum lagi dilaksanakan dalam mikrotik. Ia berbeza daripada IPIP kerana ia juga boleh merangkum multicast dan meletakkan fwmarks pada paket, yang mana ia boleh ditapis dalam iptables dan iproute2 (penghalaan berasaskan dasar). Jika anda memerlukan fungsi maksimum, maka, sebagai contoh, GRE. Tetapi jangan lupa bahawa kami membayar untuk fungsi tambahan dengan kepala overhed yang besar.

Anda boleh melihat terjemahan gambaran keseluruhan yang baik antara muka terowong di sini.

Di Linux:

# Создаем интерфейс
sudo ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
# Активируем
sudo ip link set ipip-ipsec0 up
# Назначаем адрес
sudo ip addr add 192.168.255.1/30 dev ipip-ipsec0

Kini anda boleh menambah laluan untuk rangkaian di belakang mikrotik

sudo ip route add A.B.C.D/Prefix via 192.168.255.2

Untuk antara muka dan laluan kami dinaikkan selepas but semula, kami perlu menerangkan antara muka dalam /etc/network/interfaces dan menambah laluan di sana dalam post-up, atau menulis semuanya dalam satu fail, contohnya, /etc/ ipip-ipsec0.conf dan tariknya melalui post-up, jangan lupa tentang pemilik fail, hak dan jadikannya boleh laku.

Di bawah adalah contoh fail

#!/bin/bash
ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
ip link set ipip-ipsec0 up
ip addr add 192.168.255.1/30 dev ipip-ipsec0

ip route add A.B.C.D/Prefix via 192.168.255.2

Pada Mikrotik:

Bahagian "Antaramuka", tambahkan antara muka baharu "Terowong IP":

Tab "Terowong IP" - "Umum"
Parameter
Nilai

Nama
Mengikut budi bicara anda (selepas ini dirujuk sebagai IPIP-IPsec0)

MTU
1480 (jika tidak dinyatakan, mikrotik mula memotong mtu kepada 68)

Alamat Tempatan
192.168.0.2

Alamat Jauh
192.168.0.1

Rahsia IPsec
Nyahaktifkan medan (jika tidak, Peer baharu akan dibuat)

Menjaga
Nyahaktifkan medan (jika tidak, antara muka akan sentiasa dimatikan, kerana mikrotika mempunyai format sendiri untuk pakej ini dan tidak berfungsi dengan Linux)

DSCP
mewarisi

Jangan Pecah
tidak

Kepit TCP MSS
benar

Benarkan Laluan Pantas
benar

Bahagian "IP" - "Alamat", tambah alamat:

Parameter
Nilai

Alamat
192.168.0.2/30

Antara muka
IPIP-IPsec0

Kini anda boleh menambah laluan ke rangkaian di belakang mesin Linux; apabila menambah laluan, get laluan akan menjadi antara muka IPIP-IPsec0 kami.

PS

Memandangkan pelayan Linux kami adalah transitif, masuk akal untuk menetapkan parameter Clamp TCP MSS untuk antara muka ipip padanya:

buat fail /etc/iptables.conf dengan kandungan berikut:

*mangle
-A POSTROUTING -o ipip+ -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT

dan dalam /etc/network/interfaces
post-up iptables-restore < /etc/iptables.conf

Saya mempunyai nginx yang berjalan pada rangkaian di belakang mikrotik (ip 10.10.10.1), menjadikannya boleh diakses dari Internet, tambahkannya ke /etc/iptables.conf:

*nat
-A PREROUTING -d 1.1.1.1/32 -p tcp -m multiport --dports 80,443 -j DNAT --to-destination 10.10.10.1
#На mikrotik, в таблице mangle, надо добавить правило route с назначением 192.168.0.1 для пакетов с адресом источника 10.10.10.1 и портов 80, 443.

# Так же на linux работает OpenVPN сервер 172.16.0.1/24, для клиентов которые используют подключение к нему в качестве шлюза даем доступ в интернет
-A POSTROUTING -s 172.16.0.0/24 -o eth0 -j SNAT --to-source 1.1.1.1
COMMIT 

Jangan lupa untuk menambah kebenaran yang sesuai pada iptables jika anda mendayakan penapis paket.

Jadilah sihat!

Sumber: www.habr.com