IPIP IPsec VPN mugero pakati peLinux muchina uye Mikrotik kuseri kweNAT mupi

Linux: Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-91-generic x86_64)

• Eth0 1.1.1.1/32 ekunze IP
• ipip-ipsec0 192.168.0.1/30 ichava mugero wedu

Miktoik: CCR 1009, RouterOS 6.46.5

• Eth0 10.0.0.2/30 yemukati IP kubva kumupi. Mupi wekunze weNAT IP ane simba.
• ipip-ipsec0 192.168.0.2/30 ichava mugero wedu

Isu tichagadzira IPsec mugero pamushini weLinux uchishandisa racoon. Ini handisi kuzotsanangura izvo, pane yakanaka chinyorwa у vvpoloskin.

Isa mapakeji anodiwa:

sudo install racoon ipsec-tools

Isu tinogadzirisa racoon, ichaita senge ipsec server. Sezvo mikrotik iri muhombe modhi isingakwanise kuendesa imwezve mutengi identifier, uye yekunze IP kero yainobatanidza kuLinux ine simba, kushandisa preshared kiyi (password mvumo) haishande, sezvo password inofanirwa kufananidzwa pamwe neiyo IP kero. iyo inobatanidza host, kana nechiziviso.

Tichashandisa mvumo tichishandisa makiyi eRSA.

Iyo racoon daemon inoshandisa makiyi muRSA fomati, uye mikrotik inoshandisa iyo PEM fomati. Kana iwe ukagadzira makiyi uchishandisa plainrsa-gen utility inouya neracoon, saka haugone kushandura kiyi yeruzhinji yeMikrotika kuPEM fomati nerubatsiro rwayo - inoshandura chete munzira imwe: PEM kuenda kuRSA. Kana openssl kana ssh-keygen yaigona kuverenga kiyi yakagadzirwa ne plainrsa-gen, saka shanduko haigone kuitwa uchishandisa ivo.

Isu tichagadzira kiyi yePEM tichishandisa openssl tozoishandura kuti ive racoon tichishandisa plainrsa-gen:

#  Генерируем ключ
openssl genrsa -out server-name.pem 1024
# Извлекаем публичный ключ
openssl rsa -in server-name.pem -pubout > server-name.pub.pem
# Конвертируем
plainrsa-gen -i server-name.pem -f server-name.privet.key
plainrsa-gen -i server-name.pub.pem -f server-name.pub.key

Tichaisa makiyi akagamuchirwa mufolda: /etc/racoon/certs/server. Usakanganwa kuseta muridzi wemushandisi pasi pezita rake racoon daemon inotangwa (kazhinji midzi) kune mazana matanhatu emvumo.

Ini ndichatsanangura iyo mikrotik setup kana ichibatanidza kuburikidza neWinBox.

Isa kiyi ye server-name.pub.pem ku mikrotik: Menyu "Mafaira" - "Kuisa".

Vhura chikamu che "IP" - "IP sec" - "Kiyi" tab. Ikozvino isu tinogadzira makiyi - bhatani re "Gadzira Kiyi", wozotumira iyo mikrotika yeruzhinji kiyi "Expor Pub. Kiyi", unogona kuidhawunirodha kubva kuchikamu che "Files", tinya-kurudyi pane faira - "Download".

Isu tinopinza kiyi yeruzhinji racoon, "Import", mune yekudonhedza pasi ye "Faira zita" ndima tinotsvaga server-name.pub.pem yatakadhawunirodha kare.

Iyo mikrotik yeruzhinji kiyi inoda kushandurwa

plainrsa-gen -i mikrotik.pub.pem -f mikrotik.pub.key

woiisa mu/etc/racoon/certs folda, usingakanganwe nezvemuridzi nekodzero.

racoon config pamwe nemashoko: /etc/racoon/racoon.conf

log info; # Уровень логирования, при отладке используем Debug или Debug2.

listen {

    isakmp 1.1.1.1 [500]; # Адрес и порт, на котором будет слушать демон.
    isakmp_natt 1.1.1.1 [4500]; # Адрес и порт, на котором будет слушать демон для клиентов за NAT.
    strict_address; # Выполнять обязательную проверку привязки к указанным выше IP.
}

path certificate "/etc/racoon/certs"; # Путь до папки с сертификатами.

remote anonymous { # Секция, задающая параметры для работы демона с ISAKMP и согласования режимов с подключающимися хостами. Так как IP, с которого подключается Mikrotik, динамический, то используем anonymous, что разрешает подключение с любого адреса. Если IP у хостов статический, то можно указать конкретный адрес и порт.

    passive on; # Задает "серверный" режим работы демона, он не будет пытаться инициировать подключения.
    nat_traversal on; # Включает использование режима NAT-T для клиентов, если они за NAT. 
    exchange_mode main; # Режим обмена параметрами подключения, в данном случае ---согласование.
    my_identifier address 1.1.1.1; # Идентифицируем наш linux хост по его ip адресу.
    certificate_type plain_rsa "server/server-name.priv.key"; # Приватный ключ сервера.
    peers_certfile plain_rsa "mikrotik.pub.key"; # Публичный ключ Mikrotik.

    proposal_check claim; # Режим согласования параметров ISAKMP туннеля. Racoon будет использовать значения подключающегося хоста (инициатора) для срока действия сессии                   и длины ключа, если его срок действия сессии больше, или длина его ключа короче, чем у инициатора. Если срок действия сессии короче, чем у инициатора, racoon использует собственное значение срока действия сессии и будет отправлять сообщение RESPONDER-LIFETIME.
    proposal { # Параметры ISAKMP туннеля.

        encryption_algorithm aes; # Метод шифрования ISAKMP туннеля.
        hash_algorithm sha512; # Алгоритм хеширования, используемый для ISAKMP туннеля.
        authentication_method rsasig; # Режим аутентификации для ISAKMP туннеля - по RSA ключам.
        dh_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана при согласовании ISAKMP туннеля.
        lifetime time 86400 sec; Время действия сессии.
    }

    generate_policy on; # Автоматическое создание ESP туннелей из запроса, пришедшего от подключающегося хоста.
}

sainfo anonymous { # Параметры ESP туннелей, anonymous - указанные параметры будут использованы как параметры по умолчанию. Для разных клиентов, портов, протоколов можно              задавать разные параметры, сопоставление происходит по ip адресам, портам, протоколам.

    pfs_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана для ESP туннелей.
    lifetime time 28800 sec; # Срок действия ESP туннелей.
    encryption_algorithm aes; # Метод шифрования ESP туннелей.
    authentication_algorithm hmac_sha512; # Алгоритм хеширования, используемый для аутентификации ESP туннелей.
    compression_algorithm deflate; # Сжимать передаваемые данные, алгоритм сжатия предлагается только один.
}

mikrotik config

Dzokera ku "IP" chikamu - "IPsec"

"Profiles" tab
Parameter
ukoshi

zita
Nekuda kwako (nedefault default)

Hash algorithm
sha512

Encryption algorithm
aes-128

DH-Group
modp2048

Proposhal_check
murandu

Lifetime
1d 00:00:00

NAT Traversal
chokwadi (tarisa bhokisi)

DPD
120

DPD Kutadza kukuru
5

Peers tab
Parameter
ukoshi

zita
Pakufunga kwako (zvino zvinozonzi MyPeer)

adhiresi
1.1.1.1 (IP Linux michina)

Kero Yenzvimbo
10.0.0.2 (IP WAN interface mikrotik)

Profile
Default

Shanduro Yemamiriro
kuru

Passive
venhema

Tumira INITIAL_CONTACT
zvechokwadi

Proposal tab
Parameter
ukoshi

zita
Pakufunga kwako (pano MyPeerProposal)

Auth. Algorithms
sha512

Encr. Algorithms
aes-128-cbc

Lifetime
08:00:00

PFS Group
modp2048

"Identities" tab
Parameter
ukoshi

Vezera rangu
MyPeer

Atuh. Nzira
rsa kiyi

Key
mikrotik.privet.key

Remote Key
server-zita.pub.pem

Policy Template Group
Default

Notrack Chain
empty

Chitupa changu Type
motokari

Remote ID Type
motokari

Match By
kure id

Mode Configuration
empty

Gadzira Policy
kwete

Tab "Mitemo - General"
Parameter
ukoshi

Vezera rangu
MyPeer

Tunnel
zvechokwadi

Src. Kero
192.168.0.0/30

Dest. Kero
192.168.0.0/30

Protocol
255 (vose)

Template
venhema

Tab "Mitemo - Chiito"
Parameter
ukoshi

Action
encrypt

Level
zvinoda

IPsec Protocols
kunyanya

Proposal
MyPeerProposal

Zvingangodaro, seni, une snat/masquerade yakagadziridzwa pane yako WAN interface; mutemo uyu unofanirwa kugadziridzwa kuitira kuti inobuda ipsec mapaketi apinde mugero redu:
Enda kune "IP" - "Firewall" chikamu.
"NAT" tab, vhura mutemo wedu we snat/masquerade.

Advanced Tab
Parameter
ukoshi

IPsec Policy
kunze: hapana

Kutangazve racoon dhimoni

sudo systemctl restart racoon

Kana racoon ikasatanga pakatangazve, ipapo pane kukanganisa mukugadzirisa; mu syslog, racoon inoratidza ruzivo nezve nhamba yemutsara umo kukanganisa kwakawanikwa.

Kana iyo OS bhutsu, iyo racoon daemon inotanga isati yaunzwa network network, uye isu takatsanangura iyo yakasimba_kero sarudzo muchikamu chekuteerera; iwe unofanirwa kuwedzera iyo racoon unit kune systemd faira.
/lib/systemd/system/racoon.service, muchikamu che[Unit], mutsetse After=network.target.

Zvino yedu ipsec tunnels inofanira kunge iri kumusoro, tarisa zvinobuda:

sudo ip xfrm policy

src 192.168.255.0/30 dst 192.168.255.0/30 
    dir out priority 2147483648 
    tmpl src 1.1.1.1 dst "IP NAT через который подключается mikrotik"
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir fwd priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir in priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel

Kana migero isiri kumusoro, tarisa syslog, kana journalctl -u racoon.

Iye zvino iwe unofanirwa kugadzirisa L3 interfaces kuitira kuti traffic inogona kufambiswa. Pane zvingasarudzwa zvakasiyana, tichashandisa IPIP, sezvo mikrotik ichitsigira, ndingashandisa vti, asi, zvinosuruvarisa, haisati yashandiswa mu mikrotik. Iyo yakasiyana neIPIP pakuti inogona kuwedzera encapsulate multicast uye kuisa fwmarks pamapakiti, ayo anogona kusefa muma iptables uye iproute2 (policy-based routing). Kana iwe uchida yakanyanya kushanda, saka, semuenzaniso, GRE. Asi usakanganwa kuti tinobhadhara kune mamwe maitiro ane musoro mukuru wepamusoro.

Iwe unogona kuona kududzirwa kweongororo yakanaka yetunnel interfaces pano.

PaLinux:

# Создаем интерфейс
sudo ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
# Активируем
sudo ip link set ipip-ipsec0 up
# Назначаем адрес
sudo ip addr add 192.168.255.1/30 dev ipip-ipsec0

Iye zvino unogona kuwedzera nzira dzenetiweki kuseri kwe mikrotik

sudo ip route add A.B.C.D/Prefix via 192.168.255.2

Kuti chimiro chedu uye nzira dzisimudzwe mushure mekutangazve, tinoda kutsanangura iyo interface mu /etc/network/interfaces uye kuwedzera nzira ipapo mune post-up, kana kunyora zvese mune imwe faira, semuenzaniso, /etc/ ipip-ipsec0.conf uye dhonza iyo kuburikidza ne-post-up, usakanganwa nezvemuridzi wefaira, kodzero uye ita kuti iite.

Pazasi pane muenzaniso faira

#!/bin/bash
ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
ip link set ipip-ipsec0 up
ip addr add 192.168.255.1/30 dev ipip-ipsec0

ip route add A.B.C.D/Prefix via 192.168.255.2

Pamusoro peMikrotik:

Chikamu "Interfaces", wedzera chimiro chitsva "IP tunnel":

Tab "IP tunnel" - "General"
Parameter
ukoshi

zita
Pakufunga kwako (zvino zvazonzi IPIP-IPsec0)

MUNHU
1480 (kana isina kutaurwa, mikrotik inotanga kucheka munhu kusvika 68)

Kero Yenzvimbo
192.168.0.2

Remote Address
192.168.0.1

IPsec Secret
Deactivate munda (zvikasadaro Peer nyowani ichagadzirwa)

Kuchengeta
Deactivate munda (zvikasadaro iyo interface inogara yakadzima, sezvo mikrotika ine yayo fomati yemapakeji aya uye isingashande neLinux)

DSCP
nhaka

Usaite Chimedu
kwete

Bata TCP MSS
zvechokwadi

Bvumira Fast Nzira
zvechokwadi

Chikamu "IP" - "Kero", wedzera kero:

Parameter
ukoshi

adhiresi
192.168.0.2/30

inowanikwa
IPIP-IPsec0

Iye zvino unogona kuwedzera nzira kunetiweki kuseri kweLinux muchina; kana uchiwedzera nzira, gedhi richave redu IPIP-IPsec0 interface.

PS

Sezvo yedu Linux server ichichinja, zvine musoro kuseta iyo Clamp TCP MSS parameter yeipip interfaces pairi:

gadzira faira /etc/iptables.conf ine zvinotevera zviri mukati:

*mangle
-A POSTROUTING -o ipip+ -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT

uye mukati /etc/network/interfaces
post-up iptables-restore </etc/iptables.conf

Ndine nginx inomhanya pane network kuseri kwe mikrotik (ip 10.10.10.1), ita kuti iwanikwe kubva paInternet, wedzera kune /etc/iptables.conf:

*nat
-A PREROUTING -d 1.1.1.1/32 -p tcp -m multiport --dports 80,443 -j DNAT --to-destination 10.10.10.1
#На mikrotik, в таблице mangle, надо добавить правило route с назначением 192.168.0.1 для пакетов с адресом источника 10.10.10.1 и портов 80, 443.

# Так же на linux работает OpenVPN сервер 172.16.0.1/24, для клиентов которые используют подключение к нему в качестве шлюза даем доступ в интернет
-A POSTROUTING -s 172.16.0.0/24 -o eth0 -j SNAT --to-source 1.1.1.1
COMMIT 

Usakanganwa kuwedzera mvumo yakakodzera kune iptables kana uine mafirita epaketi akagoneswa.

Ropafadza iwe!

Source: www.habr.com