استخدام StrongSwan لـ IPSec VPN على CentOS 7

• تثبيت StrongSwan
• إنشاء شهادات
• تكوين strongSwan
• السماح بإعادة توجيه IPv4
• تكوين جدار الحماية
• ابدأ تشغيل VPN

StrongSwan هو حل VPN قائم على IPsec مفتوح المصدر. وهو يدعم كلاً من بروتوكولات تبادل المفاتيح IKEv1 و IKEv2 بالتزامن مع مكدس NETKEY IPsec الأصلي الخاص بنواة Linux. سيوضح لك هذا البرنامج التعليمي كيفية استخدام strongSwan لإعداد خادم VPN IPSec على CentOS 7.

تثبيت StrongSwan

تتوفر باقات StrongSwan في مستودع Extra Packages لـ Enterprise Linux (EPEL). يجب تمكين EPEL أولاً ، ثم تثبيت strongSwan.

yum install http://ftp.nluug.nl/pub/os/Linux/distr/fedora-epel/7/x86_64/Packages/e/epel-release-7-11.noarch.rpm
yum install strongswan openssl

إنشاء شهادات

يحتاج كل من عميل وخادم VPN إلى شهادة لتعريف أنفسهم والمصادقة. لقد أعددت مخطوطتين لغويتين لإنشاء وتوقيع الشهادات. أولاً ، نقوم بتنزيل هذين البرنامجين في المجلد /etc/strongswan/ipsec.d.

cd /etc/strongswan/ipsec.d
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/server_key.sh
chmod a+x server_key.sh
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/client_key.sh
chmod a+x client_key.sh

في هذين .shالملفين ، قمت بتعيين اسم المؤسسة كـ VULTR-VPS-CENTOS. إذا كنت ترغب في تغييره، وفتح .shالملفات واستبدال O=VULTR-VPS-CENTOSمع O=YOUR_ORGANIZATION_NAME.

بعد ذلك ، استخدم server_key.shمع عنوان IP الخاص بخادمك لإنشاء مفتاح المرجع المصدق (CA) وشهادة الخادم. استبدل SERVER_IPبعنوان IP الخاص بـ Vultr VPS.

./server_key.sh SERVER_IP

إنشاء مفتاح العميل والشهادة وملف P12. هنا ، سوف أقوم بإنشاء الشهادة وملف P12 لمستخدم VPN "john".

./client_key.sh john john@gmail.com

استبدل "john" وبريده الإلكتروني قبل تشغيل البرنامج النصي.

بعد شهادات العميل والخادم يتم إنشاؤها، نسخ /etc/strongswan/ipsec.d/john.p12و /etc/strongswan/ipsec.d/cacerts/strongswanCert.pemإلى الكمبيوتر المحلي.

تكوين strongSwan

افتح ملف التكوين strongSwan IPSec.

vi /etc/strongswan/ipsec.conf

استبدل محتواه بالنص التالي.

config setup
    uniqueids=never
    charondebug="cfg 2, dmn 2, ike 2, net 0"

conn %default
    left=%defaultroute
    leftsubnet=0.0.0.0/0
    leftcert=vpnHostCert.pem
    right=%any
    rightsourceip=172.16.1.100/16

conn CiscoIPSec
    keyexchange=ikev1
    fragmentation=yes
    rightauth=pubkey
    rightauth2=xauth
    leftsendcert=always
    rekey=no
    auto=add

conn XauthPsk
    keyexchange=ikev1
    leftauth=psk
    rightauth=psk
    rightauth2=xauth
    auto=add

conn IpsecIKEv2
    keyexchange=ikev2
    leftauth=pubkey
    rightauth=pubkey
    leftsendcert=always
    auto=add

conn IpsecIKEv2-EAP
    keyexchange=ikev2
    ike=aes256-sha1-modp1024!
    rekey=no
    leftauth=pubkey
    leftsendcert=always
    rightauth=eap-mschapv2
    eap_identity=%any
    auto=add

تحرير ملف التكوين strongSwan ، strongswan.conf.

vi /etc/strongswan/strongswan.conf

احذف كل شيء واستبدله بما يلي.

charon {
    load_modular = yes
    duplicheck.enable = no
    compress = yes
    plugins {
            include strongswan.d/charon/*.conf
    }
    dns1 = 8.8.8.8
    dns2 = 8.8.4.4
    nbns1 = 8.8.8.8
    nbns2 = 8.8.4.4
}

include strongswan.d/*.conf

قم بتحرير ملف IPsec السري لإضافة مستخدم وكلمة مرور.

vi /etc/strongswan/ipsec.secrets

أضف حساب مستخدم "john" إليه.

: RSA vpnHostKey.pem
: PSK "PSK_KEY"
john %any : EAP "John's Password"
john %any : XAUTH "John's Password"

يرجى ملاحظة أن كلا جانبي القولون ":" بحاجة إلى مساحة بيضاء.

السماح بإعادة توجيه IPv4

تحرير /etc/sysctl.confللسماح بإعادة التوجيه في نواة لينكس.

vi /etc/sysctl.conf

أضف السطر التالي إلى الملف.

net.ipv4.ip_forward=1

احفظ الملف ، ثم طبّق التغيير.

sysctl -p

تكوين جدار الحماية

افتح جدار الحماية لشبكة VPN الخاصة بك على الخادم.

firewall-cmd --permanent --add-service="ipsec"
firewall-cmd --permanent --add-port=4500/udp
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload

ابدأ تشغيل VPN

systemctl start strongswan
systemctl enable strongswan

StrongSwan يعمل الآن على الخادم الخاص بك. تثبيت strongswanCert.pemو .p12الملفات الشهادة إلى العميل الخاص بك. ستتمكن الآن من الانضمام إلى شبكتك الخاصة.