การใช้ StrongSwan สำหรับ IPSec VPN บน CentOS 7

• ติดตั้ง StrongSwan
• สร้างใบรับรอง
• กำหนดค่า strongSwan
• อนุญาตการส่งต่อ IPv4
• กำหนดค่าไฟร์วอลล์
• เริ่ม VPN

StrongSwan เป็นโซลูชัน VPN ที่ใช้ IPsec แบบโอเพ่นซอร์ส สนับสนุนทั้งโปรโตคอลแลกเปลี่ยนคีย์ IKEv1 และ IKEv2 ร่วมกับเนทิฟ NETKEY IPsec ดั้งเดิมของเคอร์เนล Linux บทช่วยสอนนี้จะแสดงวิธีใช้ strongSwan ในการตั้งค่าเซิร์ฟเวอร์ IPSec VPN บน CentOS 7

ติดตั้ง StrongSwan

แพ็คเกจ strongSwan มีอยู่ในที่เก็บ Extra Packages สำหรับ Enterprise Linux (EPEL) เราควรเปิดใช้งาน EPEL ก่อนจากนั้นติดตั้ง strongSwan

yum install http://ftp.nluug.nl/pub/os/Linux/distr/fedora-epel/7/x86_64/Packages/e/epel-release-7-11.noarch.rpm
yum install strongswan openssl

สร้างใบรับรอง

ทั้งไคลเอนต์ VPN และเซิร์ฟเวอร์ต้องการใบรับรองเพื่อระบุและพิสูจน์ตัวตนของพวกเขาเอง ฉันได้เตรียมเชลล์สคริปต์สองตัวเพื่อสร้างและลงนามใบรับรอง /etc/strongswan/ipsec.dครั้งแรกที่เราดาวน์โหลดทั้งสองสคริปต์ลงในโฟลเดอร์

cd /etc/strongswan/ipsec.d
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/server_key.sh
chmod a+x server_key.sh
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/client_key.sh
chmod a+x client_key.sh

ในทั้งสองไฟล์ฉันได้ตั้งชื่อองค์กรเป็น.sh VULTR-VPS-CENTOSหากคุณต้องการที่จะเปลี่ยนมันให้เปิด.shไฟล์และแทนที่ด้วยO=VULTR-VPS-CENTOSO=YOUR_ORGANIZATION_NAME

จากนั้นใช้server_key.shกับที่อยู่ IP ของเซิร์ฟเวอร์ของคุณเพื่อสร้างคีย์ผู้ออกใบรับรอง (CA) และใบรับรองสำหรับเซิร์ฟเวอร์ แทนที่SERVER_IPด้วยที่อยู่ IP ของ Vultr VPS ของคุณ

./server_key.sh SERVER_IP

สร้างไคลเอนต์คีย์ใบรับรองและไฟล์ P12 ที่นี่ฉันจะสร้างใบรับรองและไฟล์ P12 สำหรับผู้ใช้ VPN "john"

./client_key.sh john john@gmail.com

แทนที่ "john" และอีเมลของเขาด้วยคุณก่อนที่จะเรียกใช้สคริปต์

หลังจากสร้างใบรับรองสำหรับไคลเอนต์และเซิร์ฟเวอร์แล้วให้คัดลอก/etc/strongswan/ipsec.d/john.p12และ/etc/strongswan/ipsec.d/cacerts/strongswanCert.pemไปยังเครื่องคอมพิวเตอร์ของคุณ

กำหนดค่า strongSwan

เปิดไฟล์คอนฟิกูเรชัน strongSwan IPSec

vi /etc/strongswan/ipsec.conf

แทนที่เนื้อหาด้วยข้อความต่อไปนี้

config setup
    uniqueids=never
    charondebug="cfg 2, dmn 2, ike 2, net 0"

conn %default
    left=%defaultroute
    leftsubnet=0.0.0.0/0
    leftcert=vpnHostCert.pem
    right=%any
    rightsourceip=172.16.1.100/16

conn CiscoIPSec
    keyexchange=ikev1
    fragmentation=yes
    rightauth=pubkey
    rightauth2=xauth
    leftsendcert=always
    rekey=no
    auto=add

conn XauthPsk
    keyexchange=ikev1
    leftauth=psk
    rightauth=psk
    rightauth2=xauth
    auto=add

conn IpsecIKEv2
    keyexchange=ikev2
    leftauth=pubkey
    rightauth=pubkey
    leftsendcert=always
    auto=add

conn IpsecIKEv2-EAP
    keyexchange=ikev2
    ike=aes256-sha1-modp1024!
    rekey=no
    leftauth=pubkey
    leftsendcert=always
    rightauth=eap-mschapv2
    eap_identity=%any
    auto=add

แก้ไขการตั้งค่าไฟล์ strongswan.confstrongSwan,

vi /etc/strongswan/strongswan.conf

ลบทุกอย่างและแทนที่ด้วยสิ่งต่อไปนี้

charon {
    load_modular = yes
    duplicheck.enable = no
    compress = yes
    plugins {
            include strongswan.d/charon/*.conf
    }
    dns1 = 8.8.8.8
    dns2 = 8.8.4.4
    nbns1 = 8.8.8.8
    nbns2 = 8.8.4.4
}

include strongswan.d/*.conf

แก้ไขไฟล์ลับ IPsec เพื่อเพิ่มผู้ใช้และรหัสผ่าน

vi /etc/strongswan/ipsec.secrets

เพิ่มบัญชีผู้ใช้ "john" ลงไป

: RSA vpnHostKey.pem
: PSK "PSK_KEY"
john %any : EAP "John's Password"
john %any : XAUTH "John's Password"

โปรดทราบว่าลำไส้ใหญ่ทั้งสองด้าน ':' ต้องใช้พื้นที่สีขาว

อนุญาตการส่งต่อ IPv4

แก้ไข/etc/sysctl.confเพื่ออนุญาตการส่งต่อในเคอร์เนล Linux

vi /etc/sysctl.conf

เพิ่มบรรทัดต่อไปนี้ลงในไฟล์

net.ipv4.ip_forward=1

บันทึกไฟล์จากนั้นใช้การเปลี่ยนแปลง

sysctl -p

กำหนดค่าไฟร์วอลล์

เปิดไฟร์วอลล์สำหรับ VPN ของคุณบนเซิร์ฟเวอร์

firewall-cmd --permanent --add-service="ipsec"
firewall-cmd --permanent --add-port=4500/udp
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload

เริ่ม VPN

systemctl start strongswan
systemctl enable strongswan

StrongSwan กำลังทำงานบนเซิร์ฟเวอร์ของคุณ ติดตั้งstrongswanCert.pemและ.p12ไฟล์ใบรับรองลงในไคลเอนต์ของคุณ ตอนนี้คุณจะสามารถเข้าร่วมเครือข่ายส่วนตัวของคุณได้แล้ว