Strongswanを使用してIKEv2VPNをセットアップし、CentOS7で暗号化する方法

'/ etc / strongswan'ディレクトリに移動し、デフォルトの'ipsec.conf'構成ファイルをバックアップします。

cd /etc/strongswan/
mv ipsec.conf ipsec.conf.asli

vimeditorを使用して新しい「ipsec.conf」を作成します。

vim ipsec.conf

そして、次の構成を貼り付けます。

#global configuration IPsec
#chron logger
config setup
    charondebug="ike 1, knl 1, cfg 0"
    uniqueids=no

#define new ipsec connection
conn hakase-vpn
    auto=add
    compress=no
    type=tunnel
    keyexchange=ikev2
    ike=aes128-sha1-modp1024,aes128-sha1-modp1536,aes128-sha1-modp2048,aes128-sha256-ecp256,aes128-sha256-modp1024,aes128-sha256-modp1536,aes128-sha256-modp2048,aes256-aes128-sha256-sha1-modp2048-modp4096-modp1024,aes256-sha1-modp1024,aes256-sha256-modp1024,aes256-sha256-modp1536,aes256-sha256-modp2048,aes256-sha256-modp4096,aes256-sha384-ecp384,aes256-sha384-modp1024,aes256-sha384-modp1536,aes256-sha384-modp2048,aes256-sha384-modp4096,aes256gcm16-aes256gcm12-aes128gcm16-aes128gcm12-sha256-sha1-modp2048-modp4096-modp1024,3des-sha1-modp1024!
    esp=aes128-aes256-sha1-sha256-modp2048-modp4096-modp1024,aes128-sha1,aes128-sha1-modp1024,aes128-sha1-modp1536,aes128-sha1-modp2048,aes128-sha256,aes128-sha256-ecp256,aes128-sha256-modp1024,aes128-sha256-modp1536,aes128-sha256-modp2048,aes128gcm12-aes128gcm16-aes256gcm12-aes256gcm16-modp2048-modp4096-modp1024,aes128gcm16,aes128gcm16-ecp256,aes256-sha1,aes256-sha256,aes256-sha256-modp1024,aes256-sha256-modp1536,aes256-sha256-modp2048,aes256-sha256-modp4096,aes256-sha384,aes256-sha384-ecp384,aes256-sha384-modp1024,aes256-sha384-modp1536,aes256-sha384-modp2048,aes256-sha384-modp4096,aes256gcm16,aes256gcm16-ecp384,3des-sha1!
    fragmentation=yes
    forceencaps=yes
    dpdaction=clear
    dpddelay=300s
    rekey=no
    left=%any
    [email protected]
    leftcert=fullchain.pem
    leftsendcert=always
    leftsubnet=0.0.0.0/0
    right=%any
    rightid=%any
    rightauth=eap-mschapv2
    rightsourceip=10.15.1.0/24
    rightdns=1.1.1.1,8.8.8.8
    rightsendcert=never
    eap_identity=%identity

保存して終了します。

構成の詳細：

• 「hakase-vpn」という名前の新しいIPSecVPNトンネル接続を作成します。
• 認証用のIKEv2およびESP暗号スイートを指定します。
• ドメイン名「ikev2.hakase-labs.io」と「/etc/strongswan/ipsec.d/certs」ディレクトリにあるletsencrypt証明書「fullchain.pem」を使用した「左」サーバー構成。
• EAP認証方式「eap-mschapv2」を使用した「適切な」クライアント/リモートセットアップ。接続されているすべてのクライアントに仮想IPアドレス範囲「10.15.1.0/24」を割り当て、パブリックDNSCloudflareとgoogleを使用します。

次に、「ipsec.secrets」ファイルを編集して、RSAサーバーの秘密鍵とEAPユーザーパスワードのクレデンシャルを定義する必要があります。

'ipsec.secrets'ファイルを編集します。

vim ipsec.secrets

以下の設定を貼り付けてください。

: RSA "privkey.pem"
hakase : EAP "[email protected]"
tensai : EAP "[email protected]"

保存して終了します。

構成の詳細：

• 「/etc/strongswan/ipsec.d/private」ディレクトリにあるletsencrypt証明書「privkey.pem」を使用してRSAサーバーの秘密鍵を指定します。
• EAPユーザーの資格情報を「user：EAP"password"」の形式で定義します。

strongswanのIPSec構成が完了しました。 strongswanサービスを開始し、システムの起動時に毎回起動できるようにします。

systemctl start strongswan
systemctl enable strongswan

firewall-cmd --zone=public --permanent --add-rich-rule='rule protocol value="esp" accept'
firewall-cmd --zone=public --permanent --add-rich-rule='rule protocol value="ah" accept'

firewall-cmd --zone=public --permanent --add-port=500/udp
firewall-cmd --zone=public --permanent --add-port=4500/udp
firewall-cmd --zone=public --permanent --add-service="ipsec"

firewall-cmd --zone=public --permanent --add-masquerade
firewall-cmd --reload

firewall-cmd --list-all

vim /etc/sysctl.conf

net.ipv4.ip_forward = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0

sysctl -p

systemctl restart strongswan