CentOS 7de IPSec VPN için StrongSwanı kullanma

• StrongSwan'ı yükleyin
• Sertifika oluştur
• StrongSwan'ı yapılandırın
• IPv4 yönlendirmesine izin ver
• Güvenlik duvarını yapılandırın
• VPN'yi başlat

StrongSwan açık kaynaklı bir IPsec tabanlı VPN çözümüdür. Linux çekirdeğinin yerel NETKEY IPsec yığını ile birlikte hem IKEv1 hem de IKEv2 anahtar değişim protokollerini destekler. Bu eğitimde, CentOS 7'de bir IPSec VPN sunucusu kurmak için strongSwan'ın nasıl kullanılacağı gösterilecektir.

StrongSwan'ı yükleyin

StrongSwan paketleri Enterprise Linux için Ekstra Paketler (EPEL) deposunda bulunur. Önce EPEL'i etkinleştirmeli, sonra strongSwan'ı yüklemeliyiz.

yum install http://ftp.nluug.nl/pub/os/Linux/distr/fedora-epel/7/x86_64/Packages/e/epel-release-7-11.noarch.rpm
yum install strongswan openssl

Sertifika oluştur

Hem VPN istemcisinin hem de sunucunun kendilerini tanımlamak ve kimliğini doğrulamak için bir sertifikaya ihtiyacı vardır. Sertifikaları oluşturmak ve imzalamak için iki kabuk betiği hazırladım. İlk olarak, bu iki komut dosyasını klasöre indiririz /etc/strongswan/ipsec.d.

cd /etc/strongswan/ipsec.d
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/server_key.sh
chmod a+x server_key.sh
wget https://raw.githubusercontent.com/michael-loo/strongswan_config/for_vultr/client_key.sh
chmod a+x client_key.sh

Bu iki .shdosyada, kuruluş adını olarak ayarladım VULTR-VPS-CENTOS. Bunu değiştirmek isterseniz, açmak .shdosyaları ve değiştirme O=VULTR-VPS-CENTOSile O=YOUR_ORGANIZATION_NAME.

Ardından, server_key.shsertifika yetkilisi (CA) anahtarını ve sunucu sertifikasını oluşturmak için sunucunuzun IP adresiyle birlikte kullanın . SERVER_IPVultr VPS'nizin IP adresiyle değiştirin .

./server_key.sh SERVER_IP

İstemci anahtarı, sertifika ve P12 dosyasını oluşturun. Burada, VPN kullanıcısı "john" için sertifika ve P12 dosyası oluşturacağım.

./client_key.sh john john@gmail.com

Komut dosyasını çalıştırmadan önce "john" ve e-postasını kendinizle değiştirin.

İstemci ve sunucu için sertifikalar oluşturulduktan sonra, kopyalayın /etc/strongswan/ipsec.d/john.p12ve /etc/strongswan/ipsec.d/cacerts/strongswanCert.pemyerel bilgisayarınıza.

StrongSwan'ı yapılandırın

StrongSwan IPSec yapılandırma dosyasını açın.

vi /etc/strongswan/ipsec.conf

İçeriğini aşağıdaki metinle değiştirin.

config setup
    uniqueids=never
    charondebug="cfg 2, dmn 2, ike 2, net 0"

conn %default
    left=%defaultroute
    leftsubnet=0.0.0.0/0
    leftcert=vpnHostCert.pem
    right=%any
    rightsourceip=172.16.1.100/16

conn CiscoIPSec
    keyexchange=ikev1
    fragmentation=yes
    rightauth=pubkey
    rightauth2=xauth
    leftsendcert=always
    rekey=no
    auto=add

conn XauthPsk
    keyexchange=ikev1
    leftauth=psk
    rightauth=psk
    rightauth2=xauth
    auto=add

conn IpsecIKEv2
    keyexchange=ikev2
    leftauth=pubkey
    rightauth=pubkey
    leftsendcert=always
    auto=add

conn IpsecIKEv2-EAP
    keyexchange=ikev2
    ike=aes256-sha1-modp1024!
    rekey=no
    leftauth=pubkey
    leftsendcert=always
    rightauth=eap-mschapv2
    eap_identity=%any
    auto=add

StrongSwan yapılandırma dosyasını düzenleyin strongswan.conf,.

vi /etc/strongswan/strongswan.conf

Her şeyi silin ve aşağıdakilerle değiştirin.

charon {
    load_modular = yes
    duplicheck.enable = no
    compress = yes
    plugins {
            include strongswan.d/charon/*.conf
    }
    dns1 = 8.8.8.8
    dns2 = 8.8.4.4
    nbns1 = 8.8.8.8
    nbns2 = 8.8.4.4
}

include strongswan.d/*.conf

Kullanıcı ve parola eklemek için IPsec gizli dosyasını düzenleyin.

vi /etc/strongswan/ipsec.secrets

Bir kullanıcı hesabı "john" ekleyin.

: RSA vpnHostKey.pem
: PSK "PSK_KEY"
john %any : EAP "John's Password"
john %any : XAUTH "John's Password"

Lütfen iki nokta üst üste ':' işaretinin beyaz bir boşluğa ihtiyacı olduğunu unutmayın.

IPv4 yönlendirmesine izin ver

Düzenleme /etc/sysctl.confLinux çekirdeği yönlendirme izin vermek.

vi /etc/sysctl.conf

Aşağıdaki satırı dosyaya ekleyin.

net.ipv4.ip_forward=1

Dosyayı kaydedin ve değişikliği uygulayın.

sysctl -p

Güvenlik duvarını yapılandırın

Sunucudaki VPN'nizin güvenlik duvarını açın.

firewall-cmd --permanent --add-service="ipsec"
firewall-cmd --permanent --add-port=4500/udp
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload

VPN'yi başlat

systemctl start strongswan
systemctl enable strongswan

StrongSwan şimdi sunucunuzda çalışıyor. strongswanCert.pemVe .p12sertifika dosyalarını istemcinize yükleyin . Artık özel ağınıza katılabileceksiniz.