Për një sërë arsyesh, është bërë e nevojshme të organizohet një lidhje VPN midis rrjetit në VMWare Cloud Director dhe një makine të veçantë Ubuntu në cloud. Kjo shënim nuk pretendon të jetë një përshkrim i plotë, është thjesht një howto i vogël.
Në rrjet u gjet një artikull i vetëm nga viti 2015 mbi këtë temë «».
Fatkeqësisht, nuk ishte e mundur ta përdorim atë drejtpërdrejt, pasi do të doja një enkriptim më të besueshëm, jo një certifikatë të vetë-nënshkruar, dhe përveç kësaj, konfigurimi i përshkruar nuk do të funksiononte pas NAT-it.
Prandaj, duhej të ulesha dhe të hidhja një vështrim në dokumentacion.
Si bazë, mora një konfigurim të përdorur që prej kohësh, i cili lejon lidhjen nga praktisht çdo OS dhe thjesht shtova një pjesë që lejon lidhjen me NSX Edge.
Duke marrë parasysh se instalimi dhe konfigurimi i plotë i serverit Strongswan del jashtë kufijve të kësaj shënimi, do të lejoj vetes të referoj tek .
Tani, le të kalojmë drejtpërdrejt në konfigurimet.
Skema e lidhjes sonë do të duket kështu:
nga ana e VMWare adresa e jashtme 33.33.33.33 dhe rrjeti brenda 192.168.1.0/24
nga ana e Linux adresa e jashtme 22.22.22.22 dhe rrjeti brenda 10.10.10.0/24
po ashtu do të duhet të konfigurohet certifikata Let's Encrypt për adresën vpn.linux.ext
PSK nga të dyja anët: ChangeMeNow!Konfigurimi nga NSX Edge:
Teksti
Aktivizuar: po
Aktivizoni përsosmëri përpara ruajtjes (PFS): po
Emri: VPN_strongswan (çfarëdo, sipas zgjedhjes suaj)
ID lokale: 33.33.33.33
Pika lokale: 33.33.33.33
Subnetet lokale: 192.168.1.0/24
ID partneri: vpn.linux.ext
Pika e partnerit: 22.22.22.22
Subnetet e partnerit: 10.10.10.0/24
Algoritmi i enkriptimit: AES256
Autentikimi: PSK
Çelësi i ndarë paraprak: ChangeMeNow!
Grupi Diffie-Hellman: 14 (2048 bit — kompromisi i pranueshëm mes shpejtësisë dhe sigurisë. Por nëse dëshironi, mund të vendosni më shumë)
Algoritmi i përmbledhjes: SHA256
Opsioni IKE: IKEv2
Ike Responder Vetëm: jo
Lloji i Sesionit: Sesion i Bazuar në Politika Screenshot-e
Konfigurimi nga Strongswan:
ipsec.conf
# /etc/ipsec.conf
config setup
conn %default
dpdaction=clear
dpddelay=35s
dpdtimeout=300s
fragmentation=yes
rekey=no
ike=aes256gcm16-aes256gcm12-aes128gcm16-aes128gcm12-sha256-sha1-modp2048-modp4096-modp1024,aes256-aes128-sha256-sha1-modp2048-modp4096-modp1024,3des-sha1-modp1024!
esp=aes128gcm12-aes128gcm16-aes256gcm12-aes256gcm16-modp2048-modp4096-modp1024,aes128-aes256-sha1-sha256-modp2048-modp4096-modp1024,aes128-sha1-modp2048,aes128-sha1-modp1024,3des-sha1-modp1024,aes128-aes256-sha1-sha256,aes128-sha1,3des-sha1!
left=%any
leftsubnet=10.10.10.0/24
leftcert=certificate.pem
leftfirewall=yes
leftsendcert=always
right=%any
rightsourceip=192.168.1.0/24
rightdns=77.88.8.8,8.8.4.4
eap_identity=%identity
# IKEv2
conn IPSec-IKEv2
keyexchange=ikev2
auto=add
# BlackBerry, Windows, Android
conn IPSec-IKEv2-EAP
also="IPSec-IKEv2"
rightauth=eap-mschapv2
# macOS, iOS
conn IKEv2-MSCHAPv2-Apple
also="IPSec-IKEv2"
rightauth=eap-mschapv2
leftid=vpn.linux.ext
# Android IPsec Hybrid RSA
conn IKEv1-Xauth
keyexchange=ikev1
rightauth=xauth
auto=add
# VMWare IPSec VPN
conn linux-nsx-psk
authby=secret
auto=start
leftid=vpn.linux.ext
left=10.10.10.10
leftsubnet=10.10.10.0/24
rightid=33.33.33.33
right=33.33.33.33
rightsubnet=192.168.1.0/24
ikelifetime=28800
keyexchange=ikev2
lifebytes=0
lifepackets=0
lifetime=1hipsec.secret
# /etc/ipsec.secrets
: RSA privkey.pem
# Create VPN users accounts
# ВНИМАНИЕ! После логина сначала пробел, потом двоеточие.
user1 : EAP "stongPass1"
user2 : EAP "stongPass2"
%any 33.33.33.33 : PSK "ChangeMeNow!"pasi të keni bërë këtë, mjafton të rishikoni konfigurimin, të nisni lidhjen dhe të kontrolloni nëse është vendosur:
ipsec update
ipsec rereadsecrets
ipsec up linux-nsx-psk
ipsec status Shpresoj që ky shënim i vogël të jetë i dobishëm dhe të kursejë dikujt disa orë.
Burimi: habr.com
