IPIP IPsec handaki ya VPN kati ya mashine ya Linux na Mikrotik nyuma ya mtoaji wa NAT

Linux: Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-91-generic x86_64)

• Eth0 1.1.1.1/32 IP ya nje
• ipip-ipsec0 192.168.0.1/30 itakuwa handaki yetu

Miktoik: CCR 1009, RouterOS 6.46.5

• Eth0 10.0.0.2/30 IP ya ndani kutoka kwa mtoa huduma. IP ya NAT ya nje ya mtoa huduma inabadilika.
• ipip-ipsec0 192.168.0.2/30 itakuwa handaki yetu

Tutaunda handaki ya IPsec kwenye mashine ya Linux kwa kutumia racoon. Sitaelezea maelezo, kuna nzuri makala у vvpoloskin.

Sakinisha vifurushi vinavyohitajika:

sudo install racoon ipsec-tools

Tunasanidi racoon, itafanya kazi kama seva ya ipsec kwa masharti. Kwa kuwa mikrotik katika hali kuu haiwezi kusambaza kitambulisho cha ziada cha mteja, na anwani ya IP ya nje ambayo inaunganisha kwa Linux ni ya nguvu, kutumia ufunguo ulioshirikiwa awali (uidhinishaji wa nenosiri) haitafanya kazi, kwa kuwa nenosiri lazima lilinganishwe na anwani ya IP. mwenyeji anayeunganisha, au na kitambulisho.

Tutatumia uidhinishaji kwa kutumia funguo za RSA.

Daemon ya racoon hutumia vitufe katika umbizo la RSA, na mikrotik hutumia umbizo la PEM. Ukitengeneza funguo kwa kutumia matumizi ya plainrsa-gen inayokuja na racoon, basi hutaweza kubadilisha ufunguo wa umma wa Mikrotika hadi umbizo la PEM kwa usaidizi wake - inabadilisha tu katika mwelekeo mmoja: PEM hadi RSA. Wala openssl wala ssh-keygen hawakuweza kusoma ufunguo uliotolewa na plainrsa-gen, kwa hivyo ubadilishaji hautawezekana kuzitumia pia.

Tutatoa kitufe cha PEM kwa kutumia openssl na kisha kuibadilisha kwa racoon kwa kutumia plainrsa-gen:

#  Генерируем ключ
openssl genrsa -out server-name.pem 1024
# Извлекаем публичный ключ
openssl rsa -in server-name.pem -pubout > server-name.pub.pem
# Конвертируем
plainrsa-gen -i server-name.pem -f server-name.privet.key
plainrsa-gen -i server-name.pub.pem -f server-name.pub.key

Tutaweka funguo zilizopokelewa kwenye folda: /etc/racoon/certs/server. Usisahau kuweka mmiliki wa mtumiaji ambaye chini ya jina lake daemon ya racoon imezinduliwa (kawaida ina mizizi) hadi ruhusa 600.

Nitaelezea usanidi wa mikrotik wakati wa kuunganisha kupitia WinBox.

Pakia kitufe cha jina la seva.pub.pem kwenye mikrotik: Menyu ya "Faili" - "Pakia".

Fungua sehemu ya "IP" - "IP sec" - kichupo cha "Vifunguo". Sasa tunazalisha funguo - kitufe cha "Tengeneza Ufunguo", kisha uhamishe ufunguo wa umma wa mikrotika "Expor Pub. Ufunguo", unaweza kuipakua kutoka kwa sehemu ya "Faili", bonyeza-click kwenye faili - "Pakua".

Tunaleta ufunguo wa umma wa racoon, "Ingiza", katika orodha kunjuzi ya sehemu ya "Jina la faili" tunatafuta seva-name.pub.pem tuliyopakua mapema.

Ufunguo wa umma wa mikrotik unahitaji kubadilishwa

plainrsa-gen -i mikrotik.pub.pem -f mikrotik.pub.key

na kuiweka kwenye folda ya /etc/racoon/certs, bila kusahau kuhusu mmiliki na haki.

usanidi wa racoon na maoni: /etc/racoon/racoon.conf

log info; # Уровень логирования, при отладке используем Debug или Debug2.

listen {

    isakmp 1.1.1.1 [500]; # Адрес и порт, на котором будет слушать демон.
    isakmp_natt 1.1.1.1 [4500]; # Адрес и порт, на котором будет слушать демон для клиентов за NAT.
    strict_address; # Выполнять обязательную проверку привязки к указанным выше IP.
}

path certificate "/etc/racoon/certs"; # Путь до папки с сертификатами.

remote anonymous { # Секция, задающая параметры для работы демона с ISAKMP и согласования режимов с подключающимися хостами. Так как IP, с которого подключается Mikrotik, динамический, то используем anonymous, что разрешает подключение с любого адреса. Если IP у хостов статический, то можно указать конкретный адрес и порт.

    passive on; # Задает "серверный" режим работы демона, он не будет пытаться инициировать подключения.
    nat_traversal on; # Включает использование режима NAT-T для клиентов, если они за NAT. 
    exchange_mode main; # Режим обмена параметрами подключения, в данном случае ---согласование.
    my_identifier address 1.1.1.1; # Идентифицируем наш linux хост по его ip адресу.
    certificate_type plain_rsa "server/server-name.priv.key"; # Приватный ключ сервера.
    peers_certfile plain_rsa "mikrotik.pub.key"; # Публичный ключ Mikrotik.

    proposal_check claim; # Режим согласования параметров ISAKMP туннеля. Racoon будет использовать значения подключающегося хоста (инициатора) для срока действия сессии                   и длины ключа, если его срок действия сессии больше, или длина его ключа короче, чем у инициатора. Если срок действия сессии короче, чем у инициатора, racoon использует собственное значение срока действия сессии и будет отправлять сообщение RESPONDER-LIFETIME.
    proposal { # Параметры ISAKMP туннеля.

        encryption_algorithm aes; # Метод шифрования ISAKMP туннеля.
        hash_algorithm sha512; # Алгоритм хеширования, используемый для ISAKMP туннеля.
        authentication_method rsasig; # Режим аутентификации для ISAKMP туннеля - по RSA ключам.
        dh_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана при согласовании ISAKMP туннеля.
        lifetime time 86400 sec; Время действия сессии.
    }

    generate_policy on; # Автоматическое создание ESP туннелей из запроса, пришедшего от подключающегося хоста.
}

sainfo anonymous { # Параметры ESP туннелей, anonymous - указанные параметры будут использованы как параметры по умолчанию. Для разных клиентов, портов, протоколов можно              задавать разные параметры, сопоставление происходит по ip адресам, портам, протоколам.

    pfs_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана для ESP туннелей.
    lifetime time 28800 sec; # Срок действия ESP туннелей.
    encryption_algorithm aes; # Метод шифрования ESP туннелей.
    authentication_algorithm hmac_sha512; # Алгоритм хеширования, используемый для аутентификации ESP туннелей.
    compression_algorithm deflate; # Сжимать передаваемые данные, алгоритм сжатия предлагается только один.
}

usanidi wa mikrotik

Rudi kwenye sehemu ya "IP" - "IPsec"

Kichupo cha "Profaili".
Parameter
Thamani

jina
Kwa hiari yako (kwa chaguo-msingi)

Algorithm ya Hash
sha512

Algorithm ya Usimbaji
aes-128

Kundi la DH
modp2048

Proposhal_check
kudai

Maisha
1d 00:00:00

Usafiri wa NAT
kweli (angalia kisanduku)

DPD
120

DPD Upeo wa kushindwa
5

Kichupo cha wenzao
Parameter
Thamani

jina
Kwa hiari yako (hapa itajulikana kama MyPeer)

Anwani
1.1.1.1 (Mashine za Linux za IP)

Anwani ya Eneo
10.0.0.2 (kiolesura cha IP WAN mikrotik)

Profile
default

Njia ya Kubadilishana
kuu

Passive
uongo

Tuma INITIAL_CONTACT
kweli

Kichupo cha pendekezo
Parameter
Thamani

jina
Kwa hiari yako (hapa inajulikana kama MyPeerProposal)

Auth. Algorithms
sha512

Encr. Algorithms
aes-128-cbc

Maisha
08:00:00

Kikundi cha PFS
modp2048

Kichupo cha "Vitambulisho".
Parameter
Thamani

Rika
Mwenzangu

Atuh. Njia
rsa ufunguo

Muhimu
mikrotik.privet.key

Ufunguo wa Kijijini
seva-jina.pub.pem

Kikundi cha Kiolezo cha Sera
default

Notrack Chain
tupu

Aina ya Kitambulisho Changu
auto

Aina ya Kitambulisho cha Mbali
auto

Mechi Na
kitambulisho cha mbali

Usanidi wa Modi
tupu

Tengeneza Sera
hapana

Kichupo "Sera - Jumla"
Parameter
Thamani

Rika
Mwenzangu

Tunnel
kweli

Src. Anwani
192.168.0.0/30

Dest. Anwani
192.168.0.0/30

Itifaki ya
255 (zote)

Kigezo
uongo

Kichupo "Sera - Kitendo"
Parameter
Thamani

hatua
encrypt

kiwango cha
hitaji

Itifaki za IPsec
esp

Pendekezo
PeerProposal yangu

Uwezekano mkubwa zaidi, kama mimi, una snat/masquerade iliyosanidiwa kwenye kiolesura chako cha WAN; sheria hii inahitaji kurekebishwa ili pakiti za ipsec zinazotoka ziende kwenye handaki yetu:
Nenda kwenye sehemu ya "IP" - "Firewall".
kichupo cha "NAT", fungua sheria yetu ya snat/masquerade.

Kichupo cha Juu
Parameter
Thamani

Sera ya IPsec
nje: hakuna

Kuanzisha tena pepo la kinyama

sudo systemctl restart racoon

Ikiwa racoon haitaanza baada ya kuanza tena, basi kuna hitilafu katika usanidi; katika syslog, racoon inaonyesha habari kuhusu nambari ya mstari ambayo kosa liligunduliwa.

Wakati buti za OS, daemon ya racoon huanza kabla ya miingiliano ya mtandao kuletwa, na tulibainisha chaguo kali la anwani katika sehemu ya kusikiliza; unahitaji kuongeza kitengo cha racoon kwenye faili ya systemd.
/lib/systemd/system/racoon.service, katika sehemu ya [Kitengo], mstari After=network.target.

Sasa vichuguu vyetu vya ipsec vinapaswa kuwa juu, angalia matokeo:

sudo ip xfrm policy

src 192.168.255.0/30 dst 192.168.255.0/30 
    dir out priority 2147483648 
    tmpl src 1.1.1.1 dst "IP NAT через который подключается mikrotik"
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir fwd priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir in priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel

Ikiwa vichuguu hazijainuliwa, angalia syslog, au journalctl -u racoon.

Sasa unahitaji kusanidi miingiliano ya L3 ili trafiki iweze kupitishwa. Kuna chaguo tofauti, tutatumia IPIP, kwa kuwa mikrotik inasaidia, ningetumia vti, lakini, kwa bahati mbaya, bado haijatekelezwa katika mikrotik. Inatofautiana na IPIP kwa kuwa inaweza kuongeza utangazaji anuwai na kuweka alama kwenye pakiti, ambazo zinaweza kuchujwa katika iptables na iproute2 (uelekezaji unaotegemea sera). Ikiwa unahitaji utendaji wa juu, basi, kwa mfano, GRE. Lakini usisahau kwamba tunalipa kazi ya ziada na kichwa kikubwa cha juu.

Unaweza kuona tafsiri ya uhakiki mzuri wa violesura vya handaki hapa.

Kwenye Linux:

# Создаем интерфейс
sudo ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
# Активируем
sudo ip link set ipip-ipsec0 up
# Назначаем адрес
sudo ip addr add 192.168.255.1/30 dev ipip-ipsec0

Sasa unaweza kuongeza njia za mitandao nyuma ya mikrotik

sudo ip route add A.B.C.D/Prefix via 192.168.255.2

Ili kiolesura chetu na njia ziweze kuinuliwa baada ya kuwasha upya, tunahitaji kuelezea kiolesura katika /etc/network/interfaces na kuongeza njia huko kwenye post-up, au kuandika kila kitu kwenye faili moja, kwa mfano, /etc/ ipip-ipsec0.conf na uivute kupitia post-up, usisahau kuhusu mmiliki wa faili, haki na uifanye kutekelezwa.

Chini ni faili ya mfano

#!/bin/bash
ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
ip link set ipip-ipsec0 up
ip addr add 192.168.255.1/30 dev ipip-ipsec0

ip route add A.B.C.D/Prefix via 192.168.255.2

Kuhusu Mikrotik

Sehemu ya "Violesura", ongeza kiolesura kipya "handaki ya IP":

Tabo "IP handaki" - "Jumla"
Parameter
Thamani

jina
Kwa hiari yako (hapa itajulikana kama IPIP-IPsec0)

MTU
1480 (ikiwa haijabainishwa, mikrotik inaanza kukata mtu hadi 68)

Anwani ya Eneo
192.168.0.2

Anwani ya Mbali
192.168.0.1

Siri ya IPsec
Zima uga (la sivyo Rika mpya itaundwa)

Weka pesa
Zima uga (vinginevyo kiolesura kitazimwa kila mara, kwani mikrotika ina umbizo lake la vifurushi hivi na haifanyi kazi na Linux)

DSCP
kurithi

Usigawanye
hapana

Piga TCP MSS
kweli

Ruhusu Njia ya Haraka
kweli

Sehemu ya "IP" - "Anwani", ongeza anwani:

Parameter
Thamani

Anwani
192.168.0.2/30

Interface
IPIP-IPsec0

Sasa unaweza kuongeza njia kwenye mtandao nyuma ya mashine ya Linux; unapoongeza njia, lango litakuwa kiolesura chetu cha IPIP-IPsec0.

PS

Kwa kuwa seva yetu ya Linux ni ya mpito, inaleta maana kuweka kigezo cha Clamp TCP MSS kwa miingiliano ya ipip juu yake:

unda faili /etc/iptables.conf na yaliyomo yafuatayo:

*mangle
-A POSTROUTING -o ipip+ -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT

na katika /etc/network/interfaces
post-up iptables-restore < /etc/iptables.conf

Nina nginx inayoendesha kwenye mtandao nyuma ya mikrotik (ip 10.10.10.1), ifanye ipatikane kutoka kwa Mtandao, iongeze kwa /etc/iptables.conf:

*nat
-A PREROUTING -d 1.1.1.1/32 -p tcp -m multiport --dports 80,443 -j DNAT --to-destination 10.10.10.1
#На mikrotik, в таблице mangle, надо добавить правило route с назначением 192.168.0.1 для пакетов с адресом источника 10.10.10.1 и портов 80, 443.

# Так же на linux работает OpenVPN сервер 172.16.0.1/24, для клиентов которые используют подключение к нему в качестве шлюза даем доступ в интернет
-A POSTROUTING -s 172.16.0.0/24 -o eth0 -j SNAT --to-source 1.1.1.1
COMMIT 

Usisahau kuongeza ruhusa zinazofaa kwa iptables ikiwa umewasha vichujio vya pakiti.

Kuwa na afya!

Chanzo: mapenzi.com