12.9. Настройка IPsec VPN-туннеля между UserGate и Linux-сервером
Далее будут рассмотрены настройки серверов Linux и UserGate для настройки IPsec-туннеля между сетями 172.16.0.0/24 и 10.0.5.0/24.
Настройка Linux-сервера
Для реализации IPsec на Linux-сервере использовалось ПО LibreSwan (ПО и подробная информация о нём доступны по следующей ссылке: https://libreswan.org/).
sudo apt update sudo apt install -y -q libreswan После установки LibreSwan будет доступна команда ipsec.
Файлы конфигурации для настройки политики подключения:
- создание политик подключения: / etc/ ipsec. conf и файлы / etc/ ipsec. d/* conf.
- хранение PSK: / etc/ ipsec. secrets` и файлы / etc/ ipsec. d/*. secrets.
- Сгенерировать Pre-shared key.
Для генерации PSK была использована команда (в привилегированном режиме):
Был сгенерирован ключ: WXj72QDymXs1inggnYVSBuox
Сохраните общий ключ в файл / etc/ ipsec.secrets. Общий формат файлов *. secrets следующий:
- для конкретного Peer-to-Peer соединения: : PSK
- для любых подключений, которые не попадают в заданные правила: : PSK
Файл необходимо создать в каталоге / etc/ ipsec.d/ vpn.conf. Подробное описание конфигурационных параметров доступно по ссылке: https://libreswan.org/man/ipsec.conf.5.html.
Далее представлена базовая конфигурация:
config setup logfile=/var/log/pluto.log Дайте название подключению, например vpn:
Укажите IP-адрес удалённого пира (UserGate):
или укажите «%any» для автоматического заполнения этого параметра в процессе установки сессии:
Укажите адрес подсети, подключённой к удалённому пиру:
Укажите адрес пира — Linux-сервера и подсети, подключённой к нему:
left=172.17.1.73 leftsubnet=10.0.5.0/24 Задайте способ аутентификации — Общий ключ:
В текущих версиях UserGate не поддерживается PFS (Perfect Forward Secrecy) и IKEv2:
pfs=no ikev2=no rekey=yes keyingtries=3 Тип подключения туннельный (значение по умолчанию)
Далее задайте алгоритмы, которые будут использоваться на первой и второй фазах согласования:
ike=aes256-sha1-modp1536,aes128-sha1-modp1536,3des-sha1-modp1536,aes128-sha1;modp1536,aes128-sha1;modp1536 esp=aes256-sha256,aes256-sha1,3des-sha1 nat-ikev1-method=none - Создайте правило SNAT (Source Network Address Translation), для корректного прохождения трафика, предназначенного для сети, расположенной за удалённым пиром:
# iptables -t nat -A POSTROUTING -d 172.16.0.0/24 -j SNAT --to-source 10.0.5.1 Настройка UserGate.
Особенностью данной настройки является необходимость создания виртуального туннельного VPN интерфейса. Интерфейс необходим для инкапсуляции трафика в модуль VPN (при активации подключения создаётся маршрут в указанную сеть за удаленным пиром через туннельный VPN интерфейс).
Для добавления интерфейса перейдите в раздел Сеть —> Интерфейсы, нажмите Добавить и выберите Добавить VPN. Далее укажите:
- отметьте чекбокс Включено;
- порядковый номер, использующийся в названии интерфейса;
- Описание (опционально);
- Зона, которой принадлежит интерфейс;
- IP-адрес туннельного интерфейса должен находиться в сети, которая будет согласована в рамках туннельного подключения (в данном примере: 172.16.0.0/24).
- Настроить профиль безопасности VPN.
Настройка профилей безопасности производится в разделе VPN —> Профили безопасности VPN веб-интерфейса UserGate. Настройка профиля безопасности необходима для согласования следующих параметров:
- режим IKE;
- общий ключ;
- алгоритмы шифрования, проверки целостности и обмена ключами первой фазы;
- алгоритмы шифрования, проверки целостности второй фазы.
Алгоритмы шифрования и авторизации, указанные на сервере Linux и UserGate, должны совпадать. Можно задать несколько комбинаций алгоритмов, из совпадающих вариантов хосты выберут наиболее защищённую комбинацию.
Для данного примера профиль безопасности VPN имеет следующие настройки:
Чтобы добавить правило перейдите в раздел VPN —> Клиентские правила, нажмите Добавить и укажите:
- отметьте чекбокс Включено;
- Название правила;
- Описание (опционально);
- Профиль безопасности, настроенный ранее;
- Интерфейс, созданный в пункте 1;
- Адрес сервера: адрес интерфейса Linux-сервера, через который происходит подключение;
- Протокол VPN: IPsec туннель;
- согласовать сети с каждой стороны туннеля (rightsubnet и leftsubnet).
В случае успешного подключения напротив правила отобразится зелёный индикатор.
Новый маршрут отобразится в таблице маршрутизации системы (вкладка Диагностика и мониторинг раздел Мониторинг —> Маршруты):
