Utilisation de StrongSwan pour IPSec VPN sur CentOS 7

• Installer strongSwan
• Générer des certificats
• Configurer strongSwan
• Autoriser le transfert IPv4
• Configurer le pare-feu
• Démarrer VPN

StrongSwan est une solution VPN open source basée sur IPsec. Il prend en charge les protocoles d'échange de clés IKEv1 et IKEv2 conjointement avec la pile IPsec NETKEY native du noyau Linux. Ce tutoriel vous montrera comment utiliser strongSwan pour configurer un serveur VPN IPSec sur CentOS 7.

Installer strongSwan

Les packages strongSwan sont disponibles dans le référentiel Extra Packages for Enterprise Linux (EPEL). Nous devons d'abord activer EPEL, puis installer strongSwan.

yum install http://ftp.nluug.nl/pub/os/Linux/distr/fedora-epel/7/x86_64/Packages/e/epel-release-7-11.noarch.rpm
yum install strongswan openssl

Générer des certificats

Le client VPN et le serveur ont besoin d'un certificat pour s'identifier et s'authentifier. J'ai préparé deux scripts shell pour générer et signer les certificats. Tout d'abord, nous téléchargeons ces deux scripts dans le dossier /etc/strongswan/ipsec.d.

cd /etc/strongswan/ipsec.d
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/server_key.sh
chmod a+x server_key.sh
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/client_key.sh
chmod a+x client_key.sh

Dans ces deux .shfichiers, j'ai défini le nom de l'organisation comme VULTR-VPS-CENTOS. Si vous souhaitez le modifier, ouvrez les .shfichiers et remplacez-le O=VULTR-VPS-CENTOSpar O=YOUR_ORGANIZATION_NAME.

Ensuite, utilisez server_key.shavec l'adresse IP de votre serveur pour générer la clé de l'autorité de certification (CA) et le certificat pour le serveur. Remplacez SERVER_IPpar l'adresse IP de votre VPS Vultr.

./server_key.sh SERVER_IP

Générez la clé client, le certificat et le fichier P12. Ici, je vais créer le certificat et le fichier P12 pour l'utilisateur VPN "john".

./client_key.sh john john@gmail.com

Remplacez "john" et son e-mail par le vôtre avant d'exécuter le script.

Une fois les certificats pour le client et le serveur générés, copiez /etc/strongswan/ipsec.d/john.p12et /etc/strongswan/ipsec.d/cacerts/strongswanCert.pemsur votre ordinateur local.

Configurer strongSwan

Ouvrez le fichier de configuration strongSwan IPSec.

vi /etc/strongswan/ipsec.conf

Remplacez son contenu par le texte suivant.

config setup
    uniqueids=never
    charondebug="cfg 2, dmn 2, ike 2, net 0"

conn %default
    left=%defaultroute
    leftsubnet=0.0.0.0/0
    leftcert=vpnHostCert.pem
    right=%any
    rightsourceip=172.16.1.100/16

conn CiscoIPSec
    keyexchange=ikev1
    fragmentation=yes
    rightauth=pubkey
    rightauth2=xauth
    leftsendcert=always
    rekey=no
    auto=add

conn XauthPsk
    keyexchange=ikev1
    leftauth=psk
    rightauth=psk
    rightauth2=xauth
    auto=add

conn IpsecIKEv2
    keyexchange=ikev2
    leftauth=pubkey
    rightauth=pubkey
    leftsendcert=always
    auto=add

conn IpsecIKEv2-EAP
    keyexchange=ikev2
    ike=aes256-sha1-modp1024!
    rekey=no
    leftauth=pubkey
    leftsendcert=always
    rightauth=eap-mschapv2
    eap_identity=%any
    auto=add

Modifiez le fichier de configuration strongSwan, strongswan.conf.

vi /etc/strongswan/strongswan.conf

Supprimez tout et remplacez-le par ce qui suit.

charon {
    load_modular = yes
    duplicheck.enable = no
    compress = yes
    plugins {
            include strongswan.d/charon/*.conf
    }
    dns1 = 8.8.8.8
    dns2 = 8.8.4.4
    nbns1 = 8.8.8.8
    nbns2 = 8.8.4.4
}

include strongswan.d/*.conf

Modifiez le fichier secret IPsec pour ajouter un utilisateur et un mot de passe.

vi /etc/strongswan/ipsec.secrets

Ajoutez-y un compte utilisateur "john".

: RSA vpnHostKey.pem
: PSK "PSK_KEY"
john %any : EAP "John's Password"
john %any : XAUTH "John's Password"

Veuillez noter que les deux côtés des deux points «:» ont besoin d'un espace blanc.

Autoriser le transfert IPv4

Modifiez /etc/sysctl.confpour permettre le transfert dans le noyau Linux.

vi /etc/sysctl.conf

Ajoutez la ligne suivante dans le fichier.

net.ipv4.ip_forward=1

Enregistrez le fichier, puis appliquez la modification.

sysctl -p

Configurer le pare-feu

Ouvrez le pare-feu de votre VPN sur le serveur.

firewall-cmd --permanent --add-service="ipsec"
firewall-cmd --permanent --add-port=4500/udp
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload

Démarrer VPN

systemctl start strongswan
systemctl enable strongswan

StrongSwan est maintenant en cours d'exécution sur votre serveur. Installez les fichiers de certificat strongswanCert.pemet .p12dans votre client. Vous pourrez désormais rejoindre votre réseau privé.