NAT provayderi orqasida Linux mashinasi va Mikrotik o'rtasidagi IPIP IPsec VPN tuneli

linux: Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-91-umumiy x86_64)

• Eth0 1.1.1.1/32 tashqi IP
• ipip-ipsec0 192.168.0.1/30 bizning tunnelimiz bo'ladi

Miktoik: CCR 1009, RouterOS 6.46.5

• Provayderdan Eth0 10.0.0.2/30 ichki IP. Provayderning tashqi NAT IP-si dinamikdir.
• ipip-ipsec0 192.168.0.2/30 bizning tunnelimiz bo'ladi

Rakun yordamida Linux mashinasida IPsec tunnelini yaratamiz. Tafsilotlarni tasvirlamayman, yaxshisi bor maqola у vvpoloskin.

Kerakli paketlarni o'rnating:

sudo install racoon ipsec-tools

Biz racoon-ni sozlaymiz, u shartli ravishda ipsec serveri sifatida ishlaydi. Mikrotik asosiy rejimda qo'shimcha mijoz identifikatorini uzata olmasligi va Linuxga ulanadigan tashqi IP-manzil dinamik bo'lgani uchun oldindan ulashilgan kalitdan (parolni avtorizatsiya qilish) ishlamaydi, chunki parol ham IP manziliga mos kelishi kerak. bog'lovchi xost yoki identifikator bilan.

RSA kalitlari yordamida avtorizatsiyadan foydalanamiz.

Rakun demoni RSA formatidagi kalitlardan, mikrotik esa PEM formatidan foydalanadi. Agar siz racoon bilan birga keladigan plainrsa-gen yordam dasturi yordamida kalitlarni yaratsangiz, uning yordami bilan Mikrotika uchun ochiq kalitni PEM formatiga o'zgartira olmaysiz - u faqat bitta yo'nalishda o'zgartiradi: PEM dan RSA ga. Openssl ham, ssh-keygen ham plainrsa-gen tomonidan yaratilgan kalitni o'qiy olmadi, shuning uchun ularni ishlatish ham mumkin bo'lmaydi.

Biz openssl yordamida PEM kalitini yaratamiz va keyin uni plainrsa-gen yordamida racoon uchun aylantiramiz:

#  Генерируем ключ
openssl genrsa -out server-name.pem 1024
# Извлекаем публичный ключ
openssl rsa -in server-name.pem -pubout > server-name.pub.pem
# Конвертируем
plainrsa-gen -i server-name.pem -f server-name.privet.key
plainrsa-gen -i server-name.pub.pem -f server-name.pub.key

Qabul qilingan kalitlarni papkaga joylashtiramiz: /etc/racoon/certs/server. Rakun demoni (odatda root) nomi ostida ishga tushirilgan foydalanuvchining egasini 600 ta ruxsatga belgilashni unutmang.

WinBox orqali ulanishda mikrotik sozlamalarini tasvirlab beraman.

Server-name.pub.pem kalitini mikrotik-ga yuklang: "Fayllar" menyusi - "Yuklash".

"IP" bo'limini oching - "IP sek" - "Kalitlar" yorlig'i. Endi biz kalitlarni yaratamiz - "Kalit yaratish" tugmasi, so'ngra "Export Pub" mikrotika ochiq kalitini eksport qilamiz. Kalit, uni "Fayllar" bo'limidan yuklab olishingiz mumkin, faylni o'ng tugmasini bosing - "Yuklab olish".

Biz racoon ochiq kalitini import qilamiz, "Import", "Fayl nomi" maydonining ochiladigan ro'yxatida biz avval yuklab olgan server-name.pub.pem ni qidiramiz.

Mikrotik ochiq kaliti konvertatsiya qilinishi kerak

plainrsa-gen -i mikrotik.pub.pem -f mikrotik.pub.key

va uni /etc/racoon/certs jildiga qo'ying, egasi va huquqlarini unutmang.

izohlar bilan racoon konfiguratsiyasi: /etc/racoon/racoon.conf

log info; # Уровень логирования, при отладке используем Debug или Debug2.

listen {

    isakmp 1.1.1.1 [500]; # Адрес и порт, на котором будет слушать демон.
    isakmp_natt 1.1.1.1 [4500]; # Адрес и порт, на котором будет слушать демон для клиентов за NAT.
    strict_address; # Выполнять обязательную проверку привязки к указанным выше IP.
}

path certificate "/etc/racoon/certs"; # Путь до папки с сертификатами.

remote anonymous { # Секция, задающая параметры для работы демона с ISAKMP и согласования режимов с подключающимися хостами. Так как IP, с которого подключается Mikrotik, динамический, то используем anonymous, что разрешает подключение с любого адреса. Если IP у хостов статический, то можно указать конкретный адрес и порт.

    passive on; # Задает "серверный" режим работы демона, он не будет пытаться инициировать подключения.
    nat_traversal on; # Включает использование режима NAT-T для клиентов, если они за NAT. 
    exchange_mode main; # Режим обмена параметрами подключения, в данном случае ---согласование.
    my_identifier address 1.1.1.1; # Идентифицируем наш linux хост по его ip адресу.
    certificate_type plain_rsa "server/server-name.priv.key"; # Приватный ключ сервера.
    peers_certfile plain_rsa "mikrotik.pub.key"; # Публичный ключ Mikrotik.

    proposal_check claim; # Режим согласования параметров ISAKMP туннеля. Racoon будет использовать значения подключающегося хоста (инициатора) для срока действия сессии                   и длины ключа, если его срок действия сессии больше, или длина его ключа короче, чем у инициатора. Если срок действия сессии короче, чем у инициатора, racoon использует собственное значение срока действия сессии и будет отправлять сообщение RESPONDER-LIFETIME.
    proposal { # Параметры ISAKMP туннеля.

        encryption_algorithm aes; # Метод шифрования ISAKMP туннеля.
        hash_algorithm sha512; # Алгоритм хеширования, используемый для ISAKMP туннеля.
        authentication_method rsasig; # Режим аутентификации для ISAKMP туннеля - по RSA ключам.
        dh_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана при согласовании ISAKMP туннеля.
        lifetime time 86400 sec; Время действия сессии.
    }

    generate_policy on; # Автоматическое создание ESP туннелей из запроса, пришедшего от подключающегося хоста.
}

sainfo anonymous { # Параметры ESP туннелей, anonymous - указанные параметры будут использованы как параметры по умолчанию. Для разных клиентов, портов, протоколов можно              задавать разные параметры, сопоставление происходит по ip адресам, портам, протоколам.

    pfs_group modp2048; # Длина ключа для алгоритма Диффи-Хеллмана для ESP туннелей.
    lifetime time 28800 sec; # Срок действия ESP туннелей.
    encryption_algorithm aes; # Метод шифрования ESP туннелей.
    authentication_algorithm hmac_sha512; # Алгоритм хеширования, используемый для аутентификации ESP туннелей.
    compression_algorithm deflate; # Сжимать передаваемые данные, алгоритм сжатия предлагается только один.
}

mikrotik konfiguratsiya

"IP" bo'limiga qaytish - "IPsec"

"Profillar" yorlig'i
Parametr
ma'no

Ism
Sizning ixtiyoringiz bo'yicha (sukut bo'yicha)

Xesh algoritmi
sha512

Shifrlash algoritmi
aes-128

DH-guruhi
modp2048

Taklif_tekshirish
Talab

Hayot paytida
1d 00:00:00

NAT traversal
rost (qutichani belgilang)

DPD
120

DPD Maksimal nosozlik
5

Tengdoshlar sahifasi
Parametr
ma'no

Ism
Sizning ixtiyoringiz bilan (keyingi o'rinlarda MyPeer deb yuritiladi)

Manzil
1.1.1.1 (IP Linux mashinalari)

Mahalliy manzil
10.0.0.2 (IP WAN interfeysi mikrotik)

Profil
default

Almashish rejimi
asosiy

Passiv
yolg'on

INITIAL_CONTACT yuboring
haqiqiy

Taklif yorlig'i
Parametr
ma'no

Ism
Sizning ixtiyoringiz bilan (keyingi o'rinlarda MyPeerProposal deb yuritiladi)

Avtor. Algoritmlar
sha512

Encr. Algoritmlar
aes-128-cbc

Hayot paytida
08:00:00

PFS guruhi
modp2048

"Identifikatsiya" yorlig'i
Parametr
ma'no

Tengdosh
MyPeer

Atuh. Usul
rsa kaliti

kalit
mikrotik.privet.key

Masofaviy kalit
server-name.pub.pem

Siyosat shablonlari guruhi
default

Notrack zanjiri
bo'sh

Mening ID turim
avtomobil

Masofaviy ID turi
avtomobil

Match By
masofaviy identifikator

Rejim konfiguratsiyasi
bo'sh

Siyosat yaratish
Yo'q

"Siyosatlar - Umumiy" yorlig'i
Parametr
ma'no

Tengdosh
MyPeer

tunnel
haqiqiy

Src. Manzil
192.168.0.0/30

Maqsad. Manzil
192.168.0.0/30

Protokol
255 (barchasi)

Andoza
yolg'on

"Siyosatlar - Harakat" yorlig'i
Parametr
ma'no

harakat
shifrlash

daraja
talab qiladi

IPsec protokollari
esp

Taklif
MyPeerProposal

Ehtimol, men kabi sizda WAN interfeysida snat/maskarad sozlangan; bu qoida chiquvchi ipsec paketlari bizning tunnelimizga kirishi uchun sozlanishi kerak:
"IP" - "Xavfsizlik devori" bo'limiga o'ting.
"NAT" yorlig'i, bizning snat/masquerade qoidamizni oching.

Kengaytirilgan tab
Parametr
ma'no

IPsec siyosati
chiqib: yo'q

Rakun iblis qayta ishga tushirilmoqda

sudo systemctl restart racoon

Agar racoon qayta ishga tushirilganda ishga tushmasa, unda konfiguratsiyada xatolik bor; syslogda racoon xatolik aniqlangan qator raqami haqidagi ma'lumotlarni ko'rsatadi.

OT ishga tushganda, tarmoq interfeyslari paydo bo'lishidan oldin racoon demoni ishga tushadi va biz tinglash bo'limida strict_address opsiyasini belgiladik; siz systemd fayliga racoon blokini qo'shishingiz kerak.
/lib/systemd/system/racoon.service, [Unit] bo'limida After=network.target qatori.

Endi bizning ipsec tunnellarimiz yuqorida bo'lishi kerak, chiqishga qarang:

sudo ip xfrm policy

src 192.168.255.0/30 dst 192.168.255.0/30 
    dir out priority 2147483648 
    tmpl src 1.1.1.1 dst "IP NAT через который подключается mikrotik"
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir fwd priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30 
    dir in priority 2147483648 
    tmpl src "IP NAT через который подключается mikrotik" dst 1.1.1.1
        proto esp reqid 0 mode tunnel

Agar tunnellar yuqori bo'lmasa, syslog yoki journalctl -u racoon ga qarang.

Endi siz L3 interfeyslarini trafikni yo'naltirish uchun sozlashingiz kerak. Turli xil variantlar mavjud, biz IPIP dan foydalanamiz, chunki mikrotik uni qo'llab-quvvatlaydi, men vti dan foydalanardim, lekin afsuski, u hali mikrotikda amalga oshirilmagan. U IPIP dan farq qiladi, chunki u multicastni qo'shimcha ravishda qamrab olishi va paketlarga fwmarks qo'yishi mumkin, buning yordamida ularni iptables va iproute2 (siyosatga asoslangan marshrutlash) filtrlash mumkin. Agar sizga maksimal funksionallik kerak bo'lsa, masalan, GRE. Lekin unutmangki, biz katta bosh bilan qo'shimcha funksionallik uchun to'laymiz.

Tunnel interfeyslarining yaxshi umumiy ko'rinishining tarjimasini ko'rishingiz mumkin shu yerda.

Linuxda:

# Создаем интерфейс
sudo ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
# Активируем
sudo ip link set ipip-ipsec0 up
# Назначаем адрес
sudo ip addr add 192.168.255.1/30 dev ipip-ipsec0

Endi siz mikrotik orqasidagi tarmoqlar uchun marshrutlarni qo'shishingiz mumkin

sudo ip route add A.B.C.D/Prefix via 192.168.255.2

Qayta ishga tushirilgandan so'ng interfeysimiz va marshrutlarimiz ko'tarilishi uchun biz /etc/network/interfaces-da interfeysni tasvirlashimiz va post-upda u erga marshrutlarni qo'shishimiz yoki hamma narsani bitta faylga yozishimiz kerak, masalan, /etc/ ipip-ipsec0.conf va uni post-up orqali torting, fayl egasi, huquqlari haqida unutmang va uni bajariladigan qilib qo'ying.

Quyida misol fayli keltirilgan

#!/bin/bash
ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
ip link set ipip-ipsec0 up
ip addr add 192.168.255.1/30 dev ipip-ipsec0

ip route add A.B.C.D/Prefix via 192.168.255.2

Mikrotikda:

"Interfeyslar" bo'limiga yangi "IP tunnel" interfeysini qo'shing:

"IP tunnel" yorlig'i - "Umumiy"
Parametr
ma'no

Ism
Sizning ixtiyoringiz bilan (keyingi o'rinlarda IPIP-IPsec0 deb yuritiladi)

MTU
1480 (agar ko'rsatilmagan bo'lsa, mikrotik mtu ni 68 ga qisqartirishni boshlaydi)

Mahalliy manzil
192.168.0.2

Masofaviy manzil
192.168.0.1

IPsec siri
Maydonni o'chiring (aks holda yangi Peer yaratiladi)

Yashirin
Maydonni o'chiring (aks holda interfeys doimiy ravishda o'chadi, chunki mikrotika ushbu paketlar uchun o'z formatiga ega va Linux bilan ishlamaydi)

DSCP
meros qilib oladi

Bo'laklarga bo'lmang
Yo'q

TCP MSS-ni mahkamlang
haqiqiy

Tez yo'lga ruxsat bering
haqiqiy

"IP" bo'limi - "Manzillar", manzilni qo'shing:

Parametr
ma'no

Manzil
192.168.0.2/30

Interface
IPIP-IPsec0

Endi siz tarmoqqa marshrutlarni Linux mashinasi ortida qo'shishingiz mumkin; marshrut qo'shganda, shlyuz bizning IPIP-IPsec0 interfeysimiz bo'ladi.

PS

Bizning Linux serverimiz tranzitiv bo'lgani uchun, ipip interfeyslari uchun Clamp TCP MSS parametrini o'rnatish mantiqan to'g'ri keladi:

quyidagi tarkibga ega /etc/iptables.conf faylini yarating:

*mangle
-A POSTROUTING -o ipip+ -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT

va /etc/network/interfeyslarida
post-up iptables-restore </etc/iptables.conf

Menda mikrotik (ip 10.10.10.1) ortidagi tarmoqda ishlayotgan nginx bor, uni Internetdan foydalanish mumkin qilib qo'ying, uni /etc/iptables.conf ga qo'shing:

*nat
-A PREROUTING -d 1.1.1.1/32 -p tcp -m multiport --dports 80,443 -j DNAT --to-destination 10.10.10.1
#На mikrotik, в таблице mangle, надо добавить правило route с назначением 192.168.0.1 для пакетов с адресом источника 10.10.10.1 и портов 80, 443.

# Так же на linux работает OpenVPN сервер 172.16.0.1/24, для клиентов которые используют подключение к нему в качестве шлюза даем доступ в интернет
-A POSTROUTING -s 172.16.0.0/24 -o eth0 -j SNAT --to-source 1.1.1.1
COMMIT 

Agar sizda paketli filtrlar yoqilgan bo'lsa, iptables-ga tegishli ruxsatlarni qo'shishni unutmang.

Sog 'bo'ling!

Manba: www.habr.com