IPIP IPsec VPN ngalande pakati pa Linux makina ndi Mikrotik kuseri kwa NAT wopereka

Linux: Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-91-generic x86_64)

• Eth0 1.1.1.1/32 IP yakunja
• ipip-ipsec0 192.168.0.1/30 idzakhala ngalande yathu

Miktoik: CCR 1009, RouterOS 6.46.5

• Eth0 10.0.0.2/30 IP mkati kuchokera kwa wothandizira. NAT IP yakunja ya wothandizirayo ndi yamphamvu.
• ipip-ipsec0 192.168.0.2/30 idzakhala ngalande yathu

Tidzapanga njira ya IPsec pamakina a Linux pogwiritsa ntchito racoon. Sindikufotokoza zambiri, pali zabwino nkhani у vvpoloskin.

Ikani phukusi lofunikira:

sudo install racoon ipsec-tools

Timakonza racoon, ikhala ngati seva ya ipsec. Popeza mikrotik mumayendedwe akuluakulu sangathe kufalitsa chizindikiritso chowonjezera chamakasitomala, ndipo adilesi yakunja ya IP yomwe imalumikizana ndi Linux ndi yamphamvu, kugwiritsa ntchito kiyi yogawana (chilolezo chachinsinsi) sikungagwire ntchito, chifukwa mawu achinsinsi ayenera kufananizidwa ndi adilesi ya IP. cholumikizira cholumikizira, kapena ndi chizindikiritso.

Tidzagwiritsa ntchito chilolezo pogwiritsa ntchito makiyi a RSA.

Daemon ya racoon imagwiritsa ntchito makiyi amtundu wa RSA, ndipo mikrotik imagwiritsa ntchito mtundu wa PEM. Ngati mupanga makiyi pogwiritsa ntchito plainrsa-gen utility yomwe imabwera ndi racoon, ndiye kuti simungathe kusintha kiyi yapagulu ya Mikrotika kukhala mtundu wa PEM ndi chithandizo chake - imatembenuza mbali imodzi yokha: PEM kupita ku RSA. Ngakhale openssl kapena ssh-keygen samatha kuwerenga makiyi opangidwa ndi plainrsa-gen, kotero kutembenuka sikungathe kugwiritsanso ntchito.

Tidzapanga kiyi ya PEM pogwiritsa ntchito openssl ndikuisintha kukhala racoon pogwiritsa ntchito plainrsa-gen:

#  Генерируем ключ
openssl genrsa -out server-name.pem 1024
# Извлекаем публичный ключ
openssl rsa -in server-name.pem -pubout > server-name.pub.pem
# Конвертируем
plainrsa-gen -i server-name.pem -f server-name.privet.key
plainrsa-gen -i server-name.pub.pem -f server-name.pub.key

Tiyika makiyi omwe talandila mufoda: /etc/racoon/certs/server. Musaiwale kukhazikitsa mwiniwake wa wosuta yemwe dzina lake la racoon daemon limakhazikitsidwa (nthawi zambiri mizu) ku zilolezo 600.

Ndikufotokozerani kukhazikitsidwa kwa mikrotik mukalumikiza kudzera pa WinBox.

Kwezani kiyi ya seva-name.pub.pem ku mikrotik: Menyu "Mafayilo" - "Kwezani".

Tsegulani gawo la "IP" - "IP sec" - "Makiyi" tabu. Tsopano tikupanga makiyi - batani la "Generate Key", kenako tumizani kiyi yapagulu ya mikrotika "Expor Pub. Key", mutha kutsitsa kuchokera kugawo la "Mafayilo", dinani pomwepa pafayilo - "Koperani".

Timatumiza kiyi yapagulu ya racoon, "Import", pamndandanda wotsikira pansi wa "Fayilo dzina" timayang'ana seva-name.pub.pem yomwe tidatsitsa kale.

Kiyi yapagulu ya mikrotik iyenera kusinthidwa

plainrsa-gen -i mikrotik.pub.pem -f mikrotik.pub.key

ndikuyiyika mu /etc/racoon/certs foda, osaiwala za mwiniwake ndi ufulu.

racoon config ndi ndemanga: /etc/racoon/racoon.conf

log info; # Уровень логирования, при отладке используем Debug или Debug2.

listen {

    isakmp 1.1.1.1 [500]; # Адрес и порт, на котором будет слушать демон.
    isakmp_natt 1.1.1.1 [4500]; # Адрес и порт, на котором будет слушать демон для клиентов за NAT.
    strict_address; # Выполнять обязательную проверку привязки к указанным выше IP.
}

path certificate "/etc/racoon/certs"; # Путь до папки с сертификатами.

remote anonymous { # Секция, задающая параметры для работы демона с ISAKMP и согласования режимов с подключающимися хостами. Так как IP, с которого подключается Mikrotik, динамический, то используем anonymous, что разрешает подключение с любого адреса. Если IP у хостов статический, то можно указать конкретный адрес и порт.

    passive on; # Задает "серверный" режим работы демона, он не будет пытаться инициировать подключения.
    nat_traversal on; # Включает использование режима NAT-T для клиентов, если они за NAT. 
    exchange_mode main; # Режим обмена параметрами подключения, в данном случае ---согласование.
    my_identifier address 1.1.1.1; # Идентифицируем наш linux хост по его ip адресу.
    certificate_type plain_rsa "server/server-name.priv.key"; # Приватный ключ сервера.
    peers_certfile plain_rsa "mikrotik.pub.key"; # Публичный ключ Mikrotik.

    proposal_check claim; # Режим согласования параметров ISAKMP туннеля. Racoon будет использовать значения подключающегося хоста (инициатора) для срока действия сессии                   и длины ключа, если его срок действия сессии больше, или длина его ключа короче, чем у инициатора. Если срок действия сессии короче, чем у инициатора, racoon использует собственное значение срока действия сессии и будет отправлять сообщение RESPONDER-LIFETIME.
    proposal { # Параметры ISAKMP туннеля.

        encryption_algorithm aes; # Метод шифрования ISAKMP туннеля.
        hash_algorithm sha512; # Алгоритм хеширования, используемый для ISAKMP туннеля.
        authentication_method rsasig; # Режим аутентификации для ISAKMP туннеля - по RSA ключам.
        dh_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана при согласовании ISAKMP туннеля.
        lifetime time 86400 sec; Время действия сессии.
    }

    generate_policy on; # Автоматическое создание ESP туннелей из запроса, пришедшего от подключающегося хоста.
}

sainfo anonymous { # Параметры ESP туннелей, anonymous - указанные параметры будут использованы как параметры по умолчанию. Для разных клиентов, портов, протоколов можно              задавать разные параметры, сопоставление происходит по ip адресам, портам, протоколам.

    pfs_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана для ESP туннелей.
    lifetime time 28800 sec; # Срок действия ESP туннелей.
    encryption_algorithm aes; # Метод шифрования ESP туннелей.
    authentication_algorithm hmac_sha512; # Алгоритм хеширования, используемый для аутентификации ESP туннелей.
    compression_algorithm deflate; # Сжимать передаваемые данные, алгоритм сжатия предлагается только один.
}

mikrotik config

Bwererani ku gawo la "IP" - "IPsec"

"Profaili" tabu
chizindikiro
mtengo

dzina
Mwakufuna kwanu (mwachisawawa)

Algorithm ya Hash
sha512

Algorithm ya encryption
gawo-128

DH Gulu
Chithunzi cha 2048

Proposhal_check
Funsani

Moyo wonse
1d 00:00:00

Mtengo wa NAT
zoona (onani bokosilo)

DPD
120

Kulephera kwakukulu kwa DPD
5

Peers tab
chizindikiro
mtengo

dzina
Mwakufuna kwanu (pano ndikutchedwa MyPeer)

Address
1.1.1.1 (makina a IP Linux)

Adilesi Yanu
10.0.0.2 (IP WAN mawonekedwe mikrotik)

mbiri
chosasintha

Kusinthana mumalowedwe
waukulu

Osasamala
zabodza

Tumizani INITIAL_CONTACT
koona

Tabu yamalingaliro
chizindikiro
mtengo

dzina
Mwakufuna kwanu (pano ndikutchedwa MyPeerProposal)

Auth. Algorithms
sha512

Encr. Algorithms
gawo-128-cbc

Moyo wonse
08:00:00

Gulu la PFS
Chithunzi cha 2048

"Identities" tabu
chizindikiro
mtengo

Zochita
MyPeer

Atuh. Njira
rsa kiyi

Mfungulo
mikrotik.privet.key

Kiyi Yakutali
seva-name.pub.pem

Policy Template Group
chosasintha

Zotsatira Notrack Chain
opanda kanthu

Mtundu Wanga Wa ID
galimoto

Mtundu wa ID wakutali
galimoto

Match By
id kutali

Kusintha kwa Mode
opanda kanthu

Pangani Ndondomeko
ayi

Tabu "Policies - General"
chizindikiro
mtengo

Zochita
MyPeer

mumphangayo
koona

Src. Adilesi
192.168.0.0/30

Dest. Adilesi
192.168.0.0/30

Pulogalamu
255 (onse)

Chinsinsi
zabodza

Tabu "Policies - Action"
chizindikiro
mtengo

Action
chitetezo

mlingo
wopempha

IPsec Protocol
esp

Kutsatsa
MyPeerProposal

Mwachidziwikire, monga ine, muli ndi snat/masquerade yosinthidwa pa mawonekedwe anu a WAN; lamuloli liyenera kusinthidwa kuti mapaketi a ipsec otuluka apite mumsewu wathu:
Pitani ku gawo la "IP" - "Firewall".
"NAT" tabu, tsegulani lamulo lathu la snat/masquerade.

Zapamwamba Tabu
chizindikiro
mtengo

IPsec Policy
kunja: palibe

Kuyambitsanso chiwanda cha racoon

sudo systemctl restart racoon

Ngati racoon sichiyamba pakuyambiranso, ndiye kuti pali cholakwika mu config; mu syslog, racoon imawonetsa zambiri za nambala ya mzere womwe cholakwikacho chidapezeka.

Maboti a OS akayamba, racoon daemon imayamba ma network asanachitike, ndipo tidatchula njira ya strict_address mu gawo lomvera; muyenera kuwonjezera gawo la racoon ku fayilo ya systemd.
/lib/systemd/system/racoon.service, mu gawo la [Unit], mzere After=network.target.

Tsopano ma tunnel athu a ipsec ayenera kukhala mmwamba, yang'anani zomwe zatuluka:

sudo ip xfrm policy

src 192.168.255.0/30 dst 192.168.255.0/30 
    dir out priority 2147483648 
    tmpl src 1.1.1.1 dst "IP NAT через который подключается mikrotik"
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir fwd priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir in priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel

Ngati ngalandezo sizikukwera, yang'anani pa syslog, kapena journalctl -u racoon.

Tsopano muyenera kukonza mawonekedwe a L3 kuti magalimoto athe kuyendetsedwa. Pali zosankha zosiyanasiyana, tidzagwiritsa ntchito IPIP, popeza mikrotik imathandizira, ndingagwiritse ntchito vti, koma, mwatsoka, sichinayambe kugwiritsidwa ntchito mu mikrotik. Imasiyana ndi IPIP chifukwa imathanso kuyika ma multicast ndikuyika ma fwmark pamapaketi, omwe amatha kusefedwa mu iptables ndi iproute2 (njira yotengera mfundo). Ngati mukufuna magwiridwe antchito kwambiri, ndiye, mwachitsanzo, GRE. Koma musaiwale kuti timalipira ntchito zowonjezera ndi mutu waukulu.

Mutha kuwona kumasuliridwa kwa ndemanga yabwino yolumikizirana ndi tunnel apa.

Pa Linux:

# Создаем интерфейс
sudo ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
# Активируем
sudo ip link set ipip-ipsec0 up
# Назначаем адрес
sudo ip addr add 192.168.255.1/30 dev ipip-ipsec0

Tsopano mutha kuwonjezera njira zama netiweki kuseri kwa mikrotik

sudo ip route add A.B.C.D/Prefix via 192.168.255.2

Kuti mawonekedwe athu ndi njira zikwezedwe pambuyo poyambiranso, tiyenera kufotokozera mawonekedwe mu / etc/network/interfaces ndikuwonjezera mayendedwe apo positi, kapena lembani chilichonse mufayilo imodzi, mwachitsanzo, /etc/ ipip-ipsec0.conf ndikuyikoka podutsa, musaiwale za mwiniwake wa fayilo, ufulu ndikupangitsa kuti ikwaniritsidwe.

Pansipa pali fayilo yachitsanzo

#!/bin/bash
ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
ip link set ipip-ipsec0 up
ip addr add 192.168.255.1/30 dev ipip-ipsec0

ip route add A.B.C.D/Prefix via 192.168.255.2

Pa Mikrotik:

Gawo la "Interfaces", onjezani mawonekedwe atsopano "IP tunnel":

Tabu "IP tunnel" - "General"
chizindikiro
mtengo

dzina
Mwakufuna kwanu (pamenepa amatchedwa IPIP-IPsec0)

MTU
1480 (ngati sichinatchulidwe, mikrotik iyamba kudula munthu mpaka 68)

Adilesi Yanu
192.168.0.2

Adilesi Yakutali
192.168.0.1

Chinsinsi cha IPsec
Tsetsani gawolo (kupanda kutero Mnzanu watsopano apangidwe)

Sungani
Tsetsani gawolo (kupanda kutero mawonekedwe azimitsa nthawi zonse, popeza mikrotika ili ndi mawonekedwe ake pamaphukusiwa ndipo sagwira ntchito ndi Linux)

Zamgululi
cholowa

Osaphwanya Chidutswa
ayi

Chotsani TCP MSS
koona

Lolani Njira Yofulumira
koona

Gawo "IP" - "Maadiresi", onjezani adilesi:

chizindikiro
mtengo

Address
192.168.0.2/30

Chiyankhulo
IPIP-IPsec0

Tsopano mutha kuwonjezera njira pamaneti kuseri kwa makina a Linux; powonjezera njira, chipata chidzakhala mawonekedwe athu a IPIP-IPsec0.

PS

Popeza seva yathu ya Linux ndi yosinthika, ndizomveka kukhazikitsa gawo la Clamp TCP MSS pamipata ya ipip pamenepo:

pangani fayilo /etc/iptables.conf ndi izi:

*mangle
-A POSTROUTING -o ipip+ -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT

ndi /etc/network/interfaces
post-up iptables-restore </etc/iptables.conf

Ndili ndi nginx yomwe ikuyenda pa netiweki kuseri kwa mikrotik (ip 10.10.10.1), ipangitseni kupezeka pa intaneti, yonjezerani ku /etc/iptables.conf:

*nat
-A PREROUTING -d 1.1.1.1/32 -p tcp -m multiport --dports 80,443 -j DNAT --to-destination 10.10.10.1
#На mikrotik, в таблице mangle, надо добавить правило route с назначением 192.168.0.1 для пакетов с адресом источника 10.10.10.1 и портов 80, 443.

# Так же на linux работает OpenVPN сервер 172.16.0.1/24, для клиентов которые используют подключение к нему в качестве шлюза даем доступ в интернет
-A POSTROUTING -s 172.16.0.0/24 -o eth0 -j SNAT --to-source 1.1.1.1
COMMIT 

Musaiwale kuwonjezera zilolezo zoyenera ku iptables ngati muli ndi zosefera zapaketi.

Akudalitseni!

Source: www.habr.com