Menggunakan StrongSwan untuk IPSec VPN di CentOS 7

• Pasang strongSwan
• Hasilkan sijil
• Konfigurasikan strongSwan
• Benarkan pemajuan IPv4
• Konfigurasikan firewall
• Mulakan VPN

StrongSwan adalah Penyelesaian VPN berasaskan IPsec sumber terbuka. Ia menyokong kedua-dua protokol pertukaran kunci IKEv1 dan IKEv2 bersama dengan stack NETKEY IPsec asli dari kernel Linux. Tutorial ini akan menunjukkan kepada anda bagaimana menggunakan strongSwan untuk menyiapkan pelayan VPN IPSec di CentOS 7.

Pasang strongSwan

Pakej strongSwan boleh didapati di repositori Pakej Tambahan untuk Enterprise Linux (EPEL). Kita harus mengaktifkan EPEL terlebih dahulu, kemudian pasang strongSwan.

yum install http://ftp.nluug.nl/pub/os/Linux/distr/fedora-epel/7/x86_64/Packages/e/epel-release-7-11.noarch.rpm
yum install strongswan openssl

Hasilkan sijil

Pelanggan VPN dan pelayan memerlukan sijil untuk mengenal pasti dan mengesahkan diri mereka sendiri. Saya telah menyediakan dua skrip shell untuk menghasilkan dan menandatangani sijil. Pertama, kami memuat turun kedua skrip ini ke dalam folder /etc/strongswan/ipsec.d.

cd /etc/strongswan/ipsec.d
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/server_key.sh
chmod a+x server_key.sh
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/client_key.sh
chmod a+x client_key.sh

Dalam dua .shfail ini, saya telah menetapkan nama organisasi sebagai VULTR-VPS-CENTOS. Sekiranya anda ingin mengubahnya, buka .shfail dan ganti O=VULTR-VPS-CENTOSdengan O=YOUR_ORGANIZATION_NAME.

Seterusnya, gunakan server_key.shdengan alamat IP pelayan anda untuk menghasilkan kunci sijil (CA) sijil dan sijil untuk pelayan. Ganti SERVER_IPdengan alamat IP Vultr VPS anda.

./server_key.sh SERVER_IP

Hasilkan kunci pelanggan, sijil, dan fail P12. Di sini, saya akan membuat sijil dan fail P12 untuk pengguna VPN "john".

./client_key.sh john [email protected]

Ganti "john" dan e-melnya dengan alamat anda sebelum menjalankan skrip.

Setelah sijil untuk pelanggan dan pelayan dihasilkan, salin /etc/strongswan/ipsec.d/john.p12dan /etc/strongswan/ipsec.d/cacerts/strongswanCert.pemke komputer tempatan anda.

Konfigurasikan strongSwan

Buka fail konfigurasi strongSwan IPSec.

vi /etc/strongswan/ipsec.conf

Gantikan kandungannya dengan teks berikut.

config setup
    uniqueids=never
    charondebug="cfg 2, dmn 2, ike 2, net 0"

conn %default
    left=%defaultroute
    leftsubnet=0.0.0.0/0
    leftcert=vpnHostCert.pem
    right=%any
    rightsourceip=172.16.1.100/16

conn CiscoIPSec
    keyexchange=ikev1
    fragmentation=yes
    rightauth=pubkey
    rightauth2=xauth
    leftsendcert=always
    rekey=no
    auto=add

conn XauthPsk
    keyexchange=ikev1
    leftauth=psk
    rightauth=psk
    rightauth2=xauth
    auto=add

conn IpsecIKEv2
    keyexchange=ikev2
    leftauth=pubkey
    rightauth=pubkey
    leftsendcert=always
    auto=add

conn IpsecIKEv2-EAP
    keyexchange=ikev2
    ike=aes256-sha1-modp1024!
    rekey=no
    leftauth=pubkey
    leftsendcert=always
    rightauth=eap-mschapv2
    eap_identity=%any
    auto=add

Edit fail konfigurasi strongSwan , strongswan.conf.

vi /etc/strongswan/strongswan.conf

Padamkan semuanya dan gantikan dengan yang berikut.

charon {
    load_modular = yes
    duplicheck.enable = no
    compress = yes
    plugins {
            include strongswan.d/charon/*.conf
    }
    dns1 = 8.8.8.8
    dns2 = 8.8.4.4
    nbns1 = 8.8.8.8
    nbns2 = 8.8.4.4
}

include strongswan.d/*.conf

Edit fail rahsia IPsec untuk menambahkan pengguna dan kata laluan.

vi /etc/strongswan/ipsec.secrets

Tambahkan akaun pengguna "john" ke dalamnya.

: RSA vpnHostKey.pem
: PSK "PSK_KEY"
john %any : EAP "John's Password"
john %any : XAUTH "John's Password"

Harap maklum bahawa kedua-dua bahagian usus besar ':' memerlukan ruang putih.

Benarkan pemajuan IPv4

Edit /etc/sysctl.confuntuk membolehkan penerusan dalam kernel Linux.

vi /etc/sysctl.conf

Tambahkan baris berikut ke dalam fail.

net.ipv4.ip_forward=1

Simpan fail, kemudian gunakan perubahan.

sysctl -p

Konfigurasikan firewall

Buka firewall untuk VPN anda di pelayan.

firewall-cmd --permanent --add-service="ipsec"
firewall-cmd --permanent --add-port=4500/udp
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload

Mulakan VPN

systemctl start strongswan
systemctl enable strongswan

StrongSwan kini dijalankan di pelayan anda. Pasang fail strongswanCert.pemdan .p12sijil ke dalam pelanggan anda. Anda kini dapat bergabung dengan rangkaian peribadi anda.