logo头像

越努力越幸运

IPSec VPN

安装 openswan 及其环境

一、 openswan 介绍

OpenSWan是linux选Ipsec及I2tp协议的一个不错的实现方案。他支持和ipsec相关的大多数的扩展(RFC+IETF drafts)。Openswan项目起源于FreeS/WAN 2.04项目,该项目的功能很强大,可以很大程度上保证数据在跨网传输中的安全性、完整性,特别是通过它,可以很好地实现跨机房或异地办公场所实现局域网互联解决方案,如果和openvpn工具配合,可以实现将注入门户网站的多机房互访及vpn的各种强大解决方案.  
能实现 IPsec 的目前总体上有 openswan,libreswan,strongswan 这3种。 libreswan 是基于 openswan 的 fork,所以现在各个发行版基本已经看不到 openswan 的身影了。 当然也有使用 strongswan 的。

二、环境

实现目标:外网服务器和公司网络打通,实现内网互通:  

环境:   
外部服务器: (外网)106.75.20.16 (内) 10.10.68.61  (VPN)
            测试  10.10.68.62 
公司:       (外网) 58.22.123.82(内)192.168.99.168  (VPN)
            测试  192.168.99.169
架构图

image

三、安装 openswan 及其环境(两台都要装)

3.1 软件安装

centos7:

1
2
3

yum -y install ppp libreswan xl2tpd firewalld lsof
yum install -y openswan

centos6:

1
2
3
4
5
6
7
8

yum -y remove libevent-devel
yum -y install libevent2-devel
yum -y install nss-devel nspr-devel pkgconfig pam-devel \
libcap-ng-devel libselinux-devel lsof \
curl-devel flex bison gcc ppp make iptables gmp-devel \
fipscheck-devel unbound-devel xmlto libpcap-devel xl2tpd
yum install -y openswan

Ubuntu:

1
2
apt-get update
apt-get install -y openswan lsof

(ubuntu 会交互安装,第一个询问启用 X.509 证书的时候选择 no,第二个只要点 ok 就可以。)

3.2、开启 linux 主机的路由功能(所有为ipsec vpn server 的主机都要开启)

1
2
3
4
5
6
7
8
9
10
# vim /etc/sysctl.conf
## 开启主机路由转发
net.ipv4.ip_forward = 1
## 关闭源路由验证
net.ipv4.conf.default.rp_filter = 0
net.ipv4.conf.eth0.rp_filter = 0
net.ipv4.conf.eth1.rp_filter = 0

## 关闭icmp重定向
# sysctl -a | egrep "ipv4.*(accept|send)_redirects" | awk -F "=" '{print$1"= 0"}' >> /etc/sysctl.conf
修改完成后执行 sysctl -p 加载配置。

3.3 检测服务正常(所有为 ipsec vpn server 的主机)

1
2
3
4
5
# service ipsec start
Starting pluto IKE daemon for IPsec: . [ OK ]
# service ipsec status
pluto (pid 23914) is running...
IPsec connections: loaded 3, active 1

3.4、在控制台上的防火墙添加 ipsec vpn 所用的端口

两边开启UDP 端口500,4500

3.4 测试udp端口

1
2
3
4
nc -vuz 58.22.123.82 500
Connection to 58.22.123.82 500 port [udp/isakmp] succeeded!
nc -vuz 58.22.123.82 4500
Connection to 58.22.123.82 4500 port [udp/isakmp] succeeded!

3.5 VPN自动启动

1
chkconfig ipsec on
将/etc/ipsec.conf 文件中的 auto=add 改为 auto=start

四、验证环境

ipsec verify (一个 N/A 和一个 DISABLED 不影响 ipsec vpn 的建立,Ubuntu 主机可能在checking /bin/sh 会多一个 warning,也不影响。)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
# ipsec verify
Verifying installed system and configuration files

Version check and ipsec on-path [OK]
Libreswan 3.15 (netkey) on 2.6.32-431.1.2.0.1.el6.x86_64
Checking for IPsec support in kernel [OK]
NETKEY: Testing XFRM related proc values
ICMP default/send_redirects [OK]
ICMP default/accept_redirects [OK]
XFRM larval drop [OK]
Pluto ipsec.conf syntax [OK]
Hardware random device [N/A]
Two or more interfaces found, checking IP forwarding [OK]
Checking rp_filter [OK]
Checking that pluto is running [OK]
Pluto listening for IKE on udp 500 [OK]
Pluto listening for IKE/NAT-T on udp 4500 [OK]
Pluto ipsec.secret syntax [OK]
Checking 'ip' command [OK]
Checking 'iptables' command [OK]
Checking 'prelink' command does not interfere with FIPSChecking for obsolete ipsec.conf options [OK]
Opportunistic Encryption [DISABLED]

五、配置服务

5.1 配置认证 key(所有为 ipsec vpn server 的主机)

1
2
3
4
5
6
# vim /etc/ipsec.secrets
##include /etc/ipsec.d/*.secrets

##源IP 目标IP: PSK "(key)" (0.0.0.0 即为所有 vpn 都使用这个 key)

0.0.0.0 0.0.0.0 : PSK "www.172173.com" (注意空格格式不能错)

5.3 配置ipsec.conf

1
2
3
4
5
6
7
8
9
10
11
12
13
# cat /etc/ipsec.conf
version 2

# basic configuration
config setup
# which IPsec stack to use, "netkey" (the default), "klips" or "mast".
# For MacOSX use "bsd"
protostack=netkey //使用2.6内核内建模块netkey,2.6以下是KLIPS模块
nat_traversal=yes //nat穿透
virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12,%v4:25.0.0.0/8,%v4:100.64.0.0/10,%v6:fd00::/8,%v6:fe80::/10
dumpdir=/var/run/pluto/
logfile=/var/log/pluto.log //log location
include /etc/ipsec.d/*.conf

5.2 配置VPN主体

公司服务器:192.168.99.168 
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
# cat /etc/ipsec.d/campany.conf  
conn BY-to-UC
# 第一阶段(两端要保持一致)
ike=3des-sha1
authby=secret //使用预共享密钥方式进行认证
# 第二阶段(两端要保持一致
phase2=esp //用于连接的ESP加密/认证算法。
phase2alg=3des-sha1
compress=no //所有计划的IPsec sa都要包含IPCOMP(压缩)。如果KLIPS没有配置IPCOMP支持,会忽略该选项。
type=tunnel //使用tunnel隧道模式
pfs=yes //完全加密

leftid=106.75.20.16
left=106.75.20.16
leftsubnet=10.10.0.0/16
leftnexthop=%defaultroute

rightid=58.22.123.82
right=192.168.99.168
rightsubnet=192.168.0.0/16
rightnexthop=%defaultroute
auto=start //add代表只是添加,但并不会连接,如果为start则代表着启动自动连接
外部服务器:106.75.20.16
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
# cat /etc/ipsec.d/outside.conf 
conn UC-to-BY
# 第一阶段(两端要保持一致)
ike=3des-sha1
authby=secret //使用预共享密钥方式进行认证
# 第二阶段(两端要保持一致
phase2=esp //用于连接的ESP加密/认证算法。
phase2alg=3des-sha1
compress=no //所有计划的IPsec sa都要包含IPCOMP(压缩)。如果KLIPS没有配置IPCOMP支持,会忽略该选项。
type=tunnel //使用tunnel隧道模式
pfs=yes //完全加密

leftid=106.75.20.16
left=10.10.68.61
leftsubnet=10.10.0.0/16
leftnexthop=%defaultroute

rightid=58.22.123.82
right=58.22.123.82
rightsubnet=192.168.0.0/16
rightnexthop=%defaultroute
auto=start //add代表只是添加,但并不会连接,如果为start则代表着启动自动连接
第一阶段选择 ikev1 主模式(main mode),参数为 3des、sha、group2。  

第二阶段选择模式为 tunnel,参数为 esp、3des、sha。  

启用 pfs 和 nat-t(nat 穿越)。  

六、测试完成与错误定位

6.1 测试

1
2
3
4
5
ipsec auto --up BY-to-UC
002 "BY-to-UC" #371: initiating Quick Mode PSK+ENCRYPT+TUNNEL+PFS+UP+IKEV1_ALLOW+IKEV2_ALLOW+SAREF_TRACK+IKE_FRAG_ALLOW {using isakmp#370 msgid:76bf0615 proposal=3DES(3)_000-SHA1(2)_000 pfsgroup=OAKLEY_GROUP_MODP1536}
117 "BY-to-UC" #371: STATE_QUICK_I1: initiate
002 "BY-to-UC" #371: transition from state STATE_QUICK_I1 to state STATE_QUICK_I2
004 "BY-to-UC" #371: STATE_QUICK_I2: sent QI2, IPsec SA established tunnel mode {ESP/NAT=>0x26978c24 <0xdf95b93d xfrm=3DES_0-HMAC_SHA1 NATOA=none NATD=106.75.20.16:4500 DPD=passive}

这个状态即为启动成功,两端可互相 ping 通。

1
IPsec SA established tunnel mode

排查错误常用命令

1
2
3
4
ipsec auto --status  //状态
tail -f /var/log/ipsec.log //ipsec日志
tail -f /var/log/secure //安全日志
tail -f /var/log/messages //系统日志

6.2 其他主机路由

其他云主机如果要通过 ipsec 访问对端要增加相应的路由,或者网关指向本地的 ipsec服务器。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
在10.10.68.62  (外部测试)上,执行:

# route add -net 192.168.0.0/24 gw 10.10.68.61 dev eth0

在10.10.68.61 (外部VPN)上,执行:

# route add -net 192.168.0.0/24 gw 10.10.68.61 dev eth0

在192.168.99.168 (公司VPN)上执行 :

# route add -net 10.10.0.0/16 gw 192.168.99.168 dev eth0

在192.168.99.169(公司测试)上执行:
或者 公司可以在三层交换机上添加以下路由,就所有的公司内网服务器都可以到外网服务器内网,不需要每台都加

# route add -net 10.10.0.0/16 gw 192.168.99.168 dev eth0

6.3 故障排查

1)、发生no connection named “xxxxx”的报错时基本为配置文件错误或者conn名字错误,检查conn名称、配置文件格式,并查看/var/log/messages中具体错误参数/格式提示。

1
2
initiating all conns with alias="net-to-net"
no connection named "net-to-net"
2)、发生第一阶段(STATEMAINI1)或者第二阶段(STATEQUICKI1)初始化超时报错的时候,多为两端参数配置错误导致的协商失败,需要查看/var/log/secure以及对端的日志确定具体哪个参数协商错误。
1
2
010 "sample" #2: STATE_QUICK_I1: retransmission; will wait 20s for response
010 "sample" #2: STATE_QUICK_I1: retransmission; will wait 40s for response

6.4 测试

相互ping

微信打赏

赞赏是不耍流氓的鼓励