IPIP IPsec VPN tunnel sa pagitan ng Linux machine at Mikrotik sa likod ng NAT provider

Linux: Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-91-generic x86_64)

• Eth0 1.1.1.1/32 panlabas na IP
• ipip-ipsec0 192.168.0.1/30 ang magiging tunnel natin

Miktoik: CCR 1009, RouterOS 6.46.5

• Eth0 10.0.0.2/30 panloob na IP mula sa provider. Ang panlabas na NAT IP ng provider ay dynamic.
• ipip-ipsec0 192.168.0.2/30 ang magiging tunnel natin

Gagawa kami ng IPsec tunnel sa isang Linux machine gamit ang racoon. Hindi ko ilalarawan ang mga detalye, mayroong isang mahusay artikulo у vvpoloskin.

I-install ang mga kinakailangang pakete:

sudo install racoon ipsec-tools

Kino-configure namin ang racoon, ito ay may kondisyon na kumilos bilang isang ipsec server. Dahil ang mikrotik sa main mode ay hindi makapagpadala ng karagdagang client identifier, at ang panlabas na IP address kung saan ito kumokonekta sa Linux ay dynamic, ang paggamit ng preshared key (password authorization) ay hindi gagana, dahil ang password ay dapat na tumugma sa IP address ng ang kumukonektang host, o may identifier.

Gagamit kami ng pahintulot gamit ang mga RSA key.

Ang racoon daemon ay gumagamit ng mga key sa RSA na format, at mikrotik ay gumagamit ng PEM format. Kung bubuo ka ng mga key gamit ang plainrsa-gen utility na kasama ng racoon, hindi mo magagawang i-convert ang pampublikong key para sa Mikrotika sa PEM format sa tulong nito - nagko-convert lang ito sa isang direksyon: PEM sa RSA. Hindi mabasa ni openssl o ssh-keygen ang nabuong key ng plainrsa-gen, kaya hindi rin magiging posible ang conversion gamit ang mga ito.

Bubuo kami ng PEM key gamit ang openssl at pagkatapos ay i-convert ito para sa racoon gamit ang plainrsa-gen:

#  Генерируем ключ
openssl genrsa -out server-name.pem 1024
# Извлекаем публичный ключ
openssl rsa -in server-name.pem -pubout > server-name.pub.pem
# Конвертируем
plainrsa-gen -i server-name.pem -f server-name.privet.key
plainrsa-gen -i server-name.pub.pem -f server-name.pub.key

Ilalagay namin ang natanggap na mga susi sa folder: /etc/racoon/certs/server. Huwag kalimutang itakda ang may-ari ng user sa ilalim ng pangalan na ang racoon daemon ay inilunsad (karaniwan ay root) sa 600 na mga pahintulot.

Ilalarawan ko ang mikrotik setup kapag kumokonekta sa pamamagitan ng WinBox.

I-upload ang server-name.pub.pem key sa mikrotik: Menu “Files” - “Upload”.

Buksan ang seksyong "IP" - "IP sec" - tab na "Mga Key". Ngayon ay bumubuo kami ng mga susi - ang pindutang "Bumuo ng Key", pagkatapos ay i-export ang mikrotika pampublikong key na "Expor Pub. Key", maaari mong i-download ito mula sa seksyong "Mga File", i-right click sa file - "I-download".

Ini-import namin ang racoon public key, "Import", sa drop-down na listahan ng field na "File name" hinahanap namin ang server-name.pub.pem na na-download namin kanina.

Kailangang ma-convert ang mikrotik public key

plainrsa-gen -i mikrotik.pub.pem -f mikrotik.pub.key

at ilagay ito sa folder na /etc/racoon/certs, hindi nakakalimutan ang may-ari at mga karapatan.

racoon config na may mga komento: /etc/racoon/racoon.conf

log info; # Уровень логирования, при отладке используем Debug или Debug2.

listen {

    isakmp 1.1.1.1 [500]; # Адрес и порт, на котором будет слушать демон.
    isakmp_natt 1.1.1.1 [4500]; # Адрес и порт, на котором будет слушать демон для клиентов за NAT.
    strict_address; # Выполнять обязательную проверку привязки к указанным выше IP.
}

path certificate "/etc/racoon/certs"; # Путь до папки с сертификатами.

remote anonymous { # Секция, задающая параметры для работы демона с ISAKMP и согласования режимов с подключающимися хостами. Так как IP, с которого подключается Mikrotik, динамический, то используем anonymous, что разрешает подключение с любого адреса. Если IP у хостов статический, то можно указать конкретный адрес и порт.

    passive on; # Задает "серверный" режим работы демона, он не будет пытаться инициировать подключения.
    nat_traversal on; # Включает использование режима NAT-T для клиентов, если они за NAT. 
    exchange_mode main; # Режим обмена параметрами подключения, в данном случае ---согласование.
    my_identifier address 1.1.1.1; # Идентифицируем наш linux хост по его ip адресу.
    certificate_type plain_rsa "server/server-name.priv.key"; # Приватный ключ сервера.
    peers_certfile plain_rsa "mikrotik.pub.key"; # Публичный ключ Mikrotik.

    proposal_check claim; # Режим согласования параметров ISAKMP туннеля. Racoon будет использовать значения подключающегося хоста (инициатора) для срока действия сессии                   и длины ключа, если его срок действия сессии больше, или длина его ключа короче, чем у инициатора. Если срок действия сессии короче, чем у инициатора, racoon использует собственное значение срока действия сессии и будет отправлять сообщение RESPONDER-LIFETIME.
    proposal { # Параметры ISAKMP туннеля.

        encryption_algorithm aes; # Метод шифрования ISAKMP туннеля.
        hash_algorithm sha512; # Алгоритм хеширования, используемый для ISAKMP туннеля.
        authentication_method rsasig; # Режим аутентификации для ISAKMP туннеля - по RSA ключам.
        dh_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана при согласовании ISAKMP туннеля.
        lifetime time 86400 sec; Время действия сессии.
    }

    generate_policy on; # Автоматическое создание ESP туннелей из запроса, пришедшего от подключающегося хоста.
}

sainfo anonymous { # Параметры ESP туннелей, anonymous - указанные параметры будут использованы как параметры по умолчанию. Для разных клиентов, портов, протоколов можно              задавать разные параметры, сопоставление происходит по ip адресам, портам, протоколам.

    pfs_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана для ESP туннелей.
    lifetime time 28800 sec; # Срок действия ESP туннелей.
    encryption_algorithm aes; # Метод шифрования ESP туннелей.
    authentication_algorithm hmac_sha512; # Алгоритм хеширования, используемый для аутентификации ESP туннелей.
    compression_algorithm deflate; # Сжимать передаваемые данные, алгоритм сжатия предлагается только один.
}

mikrotik config

Bumalik sa seksyong "IP" - "IPsec"

Tab na "Mga Profile".
Parametro
Halaga

Pangalan
Sa iyong paghuhusga (bilang default)

Algorithm ng Hash
sha512

Algorithm ng Pag-encrypt
aes-128

DH-Group
modp2048

Proposhal_check
paghahabol

Habang-buhay
1d 00:00:00

NAT Traversal
totoo (lagyan ng tsek ang kahon)

DPD
120

DPD Maximum failure
5

Tab ng mga kapantay
Parametro
Halaga

Pangalan
Sa iyong paghuhusga (mula rito ay tinutukoy bilang MyPeer)

address
1.1.1.1 (mga IP Linux machine)

Lokal na Address
10.0.0.2 (IP WAN interface mikrotik)

Profile
default

Mode ng Exchange
pangunahin

Pabalintiyak
hindi totoo

Ipadala ang INITIAL_CONTACT
totoo

Tab ng panukala
Parametro
Halaga

Pangalan
Sa iyong paghuhusga (mula rito ay tinutukoy bilang MyPeerProposal)

Awth. Mga algorithm
sha512

Encr. Mga algorithm
aes-128-cbc

Habang-buhay
08:00:00

Pangkat ng PFS
modp2048

Tab na "Mga Pagkakakilanlan".
Parametro
Halaga

aninagin
MyPeer

Atuh. Pamamaraan
rsa susi

Key
mikrotik.privet.key

Remote Key
server-name.pub.pem

Pangkat ng Template ng Patakaran
default

Notrack Chain
walang laman

Aking ID Type
kotse

Uri ng Remote ID
kotse

Itugma Ni
malayong id

Configuration ng Mode
walang laman

Bumuo ng Patakaran
hindi

Tab na "Mga Patakaran - Pangkalahatan"
Parametro
Halaga

aninagin
MyPeer

Lagusan
totoo

Src. Address
192.168.0.0/30

Dest. Address
192.168.0.0/30

Protokol
255 (lahat)

Template
hindi totoo

Tab na "Mga Patakaran - Pagkilos"
Parametro
Halaga

aksyon
encrypt

Antas
nangangailangan

Mga Protokol ng IPsec
esp

panukala
MyPeerProposal

Malamang, tulad ko, mayroon kang snat/masquerade na na-configure sa iyong WAN interface; kailangang isaayos ang panuntunang ito upang ang mga papalabas na ipsec packet ay mapunta sa aming tunnel:
Pumunta sa seksyong "IP" - "Firewall".
"NAT" na tab, buksan ang aming snat/masquerade rule.

Advanced na Tab
Parametro
Halaga

Patakaran ng IPsec
labas: wala

I-restart ang racoon demon

sudo systemctl restart racoon

Kung ang racoon ay hindi magsisimula sa pag-restart, mayroong isang error sa config; sa syslog, ang racoon ay nagpapakita ng impormasyon tungkol sa numero ng linya kung saan ang error ay nakita.

Kapag nag-boot ang OS, magsisimula ang racoon daemon bago ilabas ang mga interface ng network, at tinukoy namin ang opsyon na strict_address sa seksyong makinig; kailangan mong idagdag ang racoon unit sa systemd file
/lib/systemd/system/racoon.service, sa seksyong [Unit], linya After=network.target.

Ngayon ang aming ipsec tunnels ay dapat na nakataas, tingnan ang output:

sudo ip xfrm policy

src 192.168.255.0/30 dst 192.168.255.0/30 
    dir out priority 2147483648 
    tmpl src 1.1.1.1 dst "IP NAT через который подключается mikrotik"
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir fwd priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir in priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel

Kung ang mga tunnel ay wala, tingnan ang syslog, o journalctl -u racoon.

Ngayon ay kailangan mong i-configure ang mga interface ng L3 upang mairuta ang trapiko. Mayroong iba't ibang mga pagpipilian, gagamitin namin ang IPIP, dahil sinusuportahan ito ng mikrotik, gagamitin ko ang vti, ngunit, sa kasamaang palad, hindi pa ito naipatupad sa mikrotik. Naiiba ito sa IPIP dahil maaari itong magdagdag ng multicast at maglagay ng mga fwmark sa mga packet, kung saan maaari silang mai-filter sa mga iptable at iproute2 (pagruruta na nakabatay sa patakaran). Kung kailangan mo ng maximum na pag-andar, kung gayon, halimbawa, GRE. Ngunit huwag kalimutan na nagbabayad kami para sa karagdagang pag-andar na may malaking overhead head.

Maaari mong makita ang pagsasalin ng isang mahusay na pagsusuri ng mga interface ng tunnel dito.

Sa Linux:

# Создаем интерфейс
sudo ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
# Активируем
sudo ip link set ipip-ipsec0 up
# Назначаем адрес
sudo ip addr add 192.168.255.1/30 dev ipip-ipsec0

Ngayon ay maaari kang magdagdag ng mga ruta para sa mga network sa likod ng mikrotik

sudo ip route add A.B.C.D/Prefix via 192.168.255.2

Upang mapataas ang aming interface at mga ruta pagkatapos ng pag-reboot, kailangan naming ilarawan ang interface sa /etc/network/interfaces at magdagdag ng mga ruta doon sa post-up, o isulat ang lahat sa isang file, halimbawa, /etc/ ipip-ipsec0.conf at hilahin ito sa pamamagitan ng post-up, huwag kalimutan ang tungkol sa may-ari ng file, mga karapatan at gawin itong executable.

Nasa ibaba ang isang halimbawang file

#!/bin/bash
ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
ip link set ipip-ipsec0 up
ip addr add 192.168.255.1/30 dev ipip-ipsec0

ip route add A.B.C.D/Prefix via 192.168.255.2

Sa Mikrotik:

Seksyon "Mga Interface", magdagdag ng bagong interface na "IP tunnel":

Tab "IP tunnel" - "General"
Parametro
Halaga

Pangalan
Sa iyong paghuhusga (mula rito ay tinutukoy bilang IPIP-IPsec0)

MTU
1480 (kung hindi tinukoy, magsisimula ang mikrotik sa pagputol ng mtu sa 68)

Lokal na Address
192.168.0.2

Malayong Address
192.168.0.1

Lihim ng IPsec
I-deactivate ang field (kung hindi, gagawa ng bagong Peer)

Panatilihing buhay
I-deactivate ang field (kung hindi, ang interface ay patuloy na i-off, dahil ang mikrotika ay may sariling format para sa mga paketeng ito at hindi gumagana sa Linux)

DSCP
magmana

Huwag Magpira-piraso
hindi

I-clamp ang TCP MSS
totoo

Payagan ang Mabilis na Landas
totoo

Seksyon "IP" - "Mga Address", idagdag ang address:

Parametro
Halaga

address
192.168.0.2/30

interface
IPIP-IPsec0

Ngayon ay maaari ka nang magdagdag ng mga ruta sa network sa likod ng isang Linux machine; kapag nagdaragdag ng ruta, ang gateway ay ang aming IPIP-IPsec0 interface.

PS

Dahil ang aming Linux server ay palipat, makatuwirang itakda ang Clamp TCP MSS parameter para sa mga interface ng ipip dito:

lumikha ng isang file /etc/iptables.conf na may mga sumusunod na nilalaman:

*mangle
-A POSTROUTING -o ipip+ -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT

at sa /etc/network/interfaces
post-up iptables-restore < /etc/iptables.conf

Mayroon akong nginx na tumatakbo sa network sa likod ng mikrotik (ip 10.10.10.1), gawin itong naa-access mula sa Internet, idagdag ito sa /etc/iptables.conf:

*nat
-A PREROUTING -d 1.1.1.1/32 -p tcp -m multiport --dports 80,443 -j DNAT --to-destination 10.10.10.1
#На mikrotik, в таблице mangle, надо добавить правило route с назначением 192.168.0.1 для пакетов с адресом источника 10.10.10.1 и портов 80, 443.

# Так же на linux работает OpenVPN сервер 172.16.0.1/24, для клиентов которые используют подключение к нему в качестве шлюза даем доступ в интернет
-A POSTROUTING -s 172.16.0.0/24 -o eth0 -j SNAT --to-source 1.1.1.1
COMMIT 

Huwag kalimutang idagdag ang naaangkop na mga pahintulot sa iptables kung pinagana mo ang mga packet filter.

Maging malusog!

Pinagmulan: www.habr.com