Ubuntu16.04で証明書と事前共有キーを使用するStrongSwanベースのIPsecVPN

最初のケースでは、共有シークレットベースのVPNがゲートウェイデバイス間で作成されます。よく知られている鍵共有アルゴリズムDiffie-Hellman strongswanが相互認証に使用します。 IPsecプロトコルの動作の詳細については、次のリンクを参照してください。

http://www.unixwiz.net/techtips/iguide-ipsec.html

VPNの構成：

（サイド ）

strongswan VPNポリシーの主な構成は、ipsec.confファイルにあります。以下のような情報は、この構成ファイルにあります。

• IKEのバージョン
• トンネルの種類
• 送信元と宛先のゲートウェイ
• VPNのプライベートネットワーク

サイドのipsec.conf 以下に示します。

config setup
        charondebug="all"
        uniqueids=yes
        strictcrlpolicy=no
conn %default
conn tunnel #
        left=192.168.1.101
        leftsubnet=192.168.223.0/24
        right=192.168.1.102
        rightsubnet=192.168.222.0/24
        ike=aes256-sha2_256-modp1024!
        esp=aes256-sha2_256!
        keyingtries=0
        ikelifetime=1h
        lifetime=8h
        dpddelay=30
        dpdtimeout=120
        dpdaction=restart
        authby=secret
        auto=start
        keyexchange=ikev2
        type=tunnel

IPsecシークレット（共有キー、秘密キーのパスワード、hsmのロックを解除するためのPIN）は、 ipsec.secretsに保存されます。 ファイル 。以下に示すように、両方のVPNパーティ間のシャードシークレットは「test12345」です。

192.168.1.101 192.168.1.102 : PSK 'test12345'

（B面）

リモート側のipsec.confファイルとipsec.secretsファイルの構成は、以下に示すようにローカルサイトの逆になります。

ipsec.confファイルの内容を以下に示します。

config setup
        charondebug="all"
        uniqueids=yes
        strictcrlpolicy=no
conn %default
conn tunnel #
        left=192.168.1.102
        leftsubnet=192.168.222.0/24
        right=192.168.1.101
        rightsubnet=192.168.223.0/24
        ike=aes256-sha2_256-modp1024!
        esp=aes256-sha2_256!
        keyingtries=0
        ikelifetime=1h
        lifetime=8h
        dpddelay=30
        dpdtimeout=120
        dpdaction=restart
        authby=secret
        auto=start
        keyexchange=ikev2
        type=tunnel

ipsec.secretsファイルには、リモート側の共有シークレットが含まれています。

192.168.1.102 192.168.1.101 : PSK 'test12345'

strongswanデーモン（ charon ）を起動します ）両側で構成ファイルを設定した後、次のコマンドを使用します。

ipsec restart

次のコマンドは、デバイス上に作成されたVPNのステータスを表示します。

ipsec statusall

両側（ローカルとリモート）のトンネルのステータスを以下に示します。

このLinuxコマンドは、IPsecトンネルのポリシーと状態を表示します。

ip xfrm state

ip xfrm policy

上記のコマンド出力に示されているように、機密情報esp / hmac（キー）もipxfrmコマンドによって表示されます。

X.509証明書ベースのトンネル

X.509証明書（公開鍵認証）ベースのトンネルでは、認証局（CA）、クライアントAおよびBの証明書を生成する必要があります。

strongswanのPKIユーティリティを使用した自己署名CA証明書の生成は、次のスクリーンショットに示されています。

/usr/local/etc/ipsec.dに入る パスして、次のコマンドを実行します。

cd /usr/local/etc/ipsec.d

ipsec pki --gen --type rsa --size 4096 --outform pem > private/strongswanKey.pem

ipsec pki --self --ca --lifetime 3650 --in private/strongswanKey.pem --type rsa --dn "C=CH, O=strongSwan, CN=Root CA" --outform pem > cacerts/strongswanCert.pem    

クライアントAの証明書の生成を以下に示します。

ipsec pki --gen --type rsa --size 2048 --outform pem > private/client1Key.pem

chmod 600 private/client1Key.pem

ipsec pki --pub --in private/client1Key.pem --type rsa | ipsec pki --issue --lifetime 730 --cacert cacerts/strongswanCert.pem --cakey private/strongswanKey.pem --dn "C=CH, O=strongSwan, CN=device1" --san device1 --flag serverAuth --flag ikeIntermediate --outform pem > certs/client1Cert.pem

同様に、クライアントB用に生成された公開鍵と秘密鍵のペアと証明書。

ipsec pki --gen --type rsa --size 2048 --outform pem > private/client2Key.pem

chmod 600 private/client2Key.pem

ipsec pki --pub --in private/client2Key.pem --type rsa | ipsec pki --issue --lifetime 730 --cacert cacerts/strongswanCert.pem --cakey private/strongswanKey.pem --dn "C=CH, O=strongSwan, CN=device2" --san device2 --flag serverAuth --flag ikeIntermediate --outform pem > certs/client2Cert.pem

CAとクライアントの証明書が正常に生成されたら、次のステップはipsec.confとipsec.secretsの構成を変更することです。 ipsec.confとシークレットファイルの変更の詳細については、strongswanのドキュメントを参照してください。

A側のipsec.confとipsec.secretsの内容を以下に示します。

config setup
        charondebug="all"
        uniqueids=yes
        strictcrlpolicy=no
conn %default
conn tunnel #
        left=192.168.1.101
        leftsubnet=192.168.223.0/24
        right=192.168.1.102
        rightsubnet=192.168.222.0/24
        ike=aes256-sha2_256-modp1024!
        esp=aes256-sha2_256!
        keyingtries=0
        ikelifetime=1h
        lifetime=8h
        dpddelay=30
        dpdtimeout=120
        dpdaction=restart
        #authby=secret
        auto=start
        keyexchange=ikev2
        type=tunnel
        leftcert=client1Cert.pem
        leftid="C=CH, O=strongSwan, CN=device1"
        rightid="C=CH, O=strongSwan, CN=device2"

#192.168.1.101 192.168.1.102 : PSK 'test12345'
: RSA client1Key.pem

B面の構成も以下のとおりです。

config setup
        charondebug="all"
        uniqueids=yes
        strictcrlpolicy=no
conn %default
conn tunnel #
        left=192.168.1.102
        leftsubnet=192.168.222.0/24
        right=192.168.1.101
        rightsubnet=192.168.223.0/24
        ike=aes256-sha2_256-modp1024!
        esp=aes256-sha2_256!
        keyingtries=0
        ikelifetime=1h
        lifetime=8h
        dpddelay=30
        dpdtimeout=120
        dpdaction=restart
        #authby=secret
        auto=start
        keyexchange=ikev2
        type=tunnel
        leftcert=client2Cert.pem
        leftid="C=CH, O=strongSwan, CN=device2"
        rightid="C=CH, O=strongSwan, CN=device1"

#192.168.1.102 192.168.1.101 : PSK 'test12345'
: RSA client2Key.pem

ipsec restartを実行します 上記の変更を適用し、証明書を使用して作成されたトンネルのステータスを確認するコマンド。

ipsec statusall    # at side A

ipsec statusall    # at side B

最後に、証明書ベースのVPNは、strongswanツールを使用して正常に作成されました。