Usando StrongSwan para IPSec VPN en CentOS 7

• Instalar strongSwan
• Generar certificados
• Configurar strongSwan
• Permitir reenvío de IPv4
• Configurar el firewall
• Iniciar VPN

StrongSwan es una solución VPN de código abierto basada en IPsec. Es compatible con los protocolos de intercambio de claves IKEv1 e IKEv2 junto con la pila nativa NETKEY IPsec del kernel de Linux. Este tutorial le mostrará cómo usar strongSwan para configurar un servidor VPN IPSec en CentOS 7.

Instalar strongSwan

Los paquetes strongSwan están disponibles en el repositorio Paquetes adicionales para Enterprise Linux (EPEL). Deberíamos habilitar EPEL primero, luego instalar strongSwan.

yum install http://ftp.nluug.nl/pub/os/Linux/distr/fedora-epel/7/x86_64/Packages/e/epel-release-7-11.noarch.rpm
yum install strongswan openssl

Generar certificados

Tanto el cliente como el servidor VPN necesitan un certificado para identificarse y autenticarse. He preparado dos scripts de shell para generar y firmar los certificados. Primero, descargamos estos dos scripts en la carpeta /etc/strongswan/ipsec.d.

cd /etc/strongswan/ipsec.d
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/server_key.sh
chmod a+x server_key.sh
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/client_key.sh
chmod a+x client_key.sh

En estos dos .sharchivos, he establecido el nombre de la organización como VULTR-VPS-CENTOS. Si desea cambiarlo, abra los .sharchivos y reemplácelos O=VULTR-VPS-CENTOSpor O=YOUR_ORGANIZATION_NAME.

Luego, use server_key.shcon la dirección IP de su servidor para generar la clave de autoridad de certificación (CA) y el certificado para el servidor. Reemplace SERVER_IPcon la dirección IP de su Vultr VPS.

./server_key.sh SERVER_IP

Genere la clave del cliente, el certificado y el archivo P12. Aquí, crearé el certificado y el archivo P12 para el usuario de VPN "john".

./client_key.sh john john@gmail.com

Reemplace "john" y su correo electrónico con el suyo antes de ejecutar el script.

Después de que los certificados de cliente y servidor se generan, copiar /etc/strongswan/ipsec.d/john.p12y /etc/strongswan/ipsec.d/cacerts/strongswanCert.pemen el equipo local.

Configurar strongSwan

Abra el archivo de configuración strongSwan IPSec.

vi /etc/strongswan/ipsec.conf

Reemplace su contenido con el siguiente texto.

config setup
    uniqueids=never
    charondebug="cfg 2, dmn 2, ike 2, net 0"

conn %default
    left=%defaultroute
    leftsubnet=0.0.0.0/0
    leftcert=vpnHostCert.pem
    right=%any
    rightsourceip=172.16.1.100/16

conn CiscoIPSec
    keyexchange=ikev1
    fragmentation=yes
    rightauth=pubkey
    rightauth2=xauth
    leftsendcert=always
    rekey=no
    auto=add

conn XauthPsk
    keyexchange=ikev1
    leftauth=psk
    rightauth=psk
    rightauth2=xauth
    auto=add

conn IpsecIKEv2
    keyexchange=ikev2
    leftauth=pubkey
    rightauth=pubkey
    leftsendcert=always
    auto=add

conn IpsecIKEv2-EAP
    keyexchange=ikev2
    ike=aes256-sha1-modp1024!
    rekey=no
    leftauth=pubkey
    leftsendcert=always
    rightauth=eap-mschapv2
    eap_identity=%any
    auto=add

Editar el archivo de configuración strongSwan, strongswan.conf.

vi /etc/strongswan/strongswan.conf

Elimine todo y reemplácelo con lo siguiente.

charon {
    load_modular = yes
    duplicheck.enable = no
    compress = yes
    plugins {
            include strongswan.d/charon/*.conf
    }
    dns1 = 8.8.8.8
    dns2 = 8.8.4.4
    nbns1 = 8.8.8.8
    nbns2 = 8.8.4.4
}

include strongswan.d/*.conf

Edite el archivo secreto de IPsec para agregar un usuario y una contraseña.

vi /etc/strongswan/ipsec.secrets

Agregue una cuenta de usuario "john" en ella.

: RSA vpnHostKey.pem
: PSK "PSK_KEY"
john %any : EAP "John's Password"
john %any : XAUTH "John's Password"

Tenga en cuenta que ambos lados del colon ':' necesitan un espacio en blanco.

Permitir reenvío de IPv4

Edite /etc/sysctl.confpara permitir el reenvío en el kernel de Linux.

vi /etc/sysctl.conf

Agregue la siguiente línea en el archivo.

net.ipv4.ip_forward=1

Guarde el archivo, luego aplique el cambio.

sysctl -p

Configurar el firewall

Abra el firewall para su VPN en el servidor.

firewall-cmd --permanent --add-service="ipsec"
firewall-cmd --permanent --add-port=4500/udp
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload

Iniciar VPN

systemctl start strongswan
systemctl enable strongswan

StrongSwan ahora se está ejecutando en su servidor. Instale los archivos strongswanCert.pemy el .p12certificado en su cliente. Ahora podrá unirse a su red privada.