Clever Geek Handbook

Túnel IKEv2 entre MikroTik e StrongSwan: EAP ms-chapv2 e acesso aos sites

Introdução

A ideia do artigo surgiu da vontade de passar determinados sites pelo túnel VPN diretamente pelo roteador, visto que há um grande número de dispositivos em casa, e é inconveniente deixar todo o tráfego pela VPN devido ao baixo largura de banda do túnel. O artigo foi escrito imediatamente após a criação da configuração. A configuração ocorrerá no Winbox MikroTik.





Configuração StrongSwan

StrongSwan, .





/etc/ipsec.conf





config setup
   charondebug="ike 2, knl 2, cfg 2, net 2, esp 2, dmn 2,  mgr 2"
   uniqueids=never

conn ikev2-vpn
   auto=add
   compress=no
   type=tunnel
   keyexchange=ikev2
   fragmentation=yes
   forceencaps=yes
   dpdaction=clear
   dpddelay=300s
   rekey=no
   left=%any
   leftid=
   leftcert=server-cert.pem
   leftsendcert=always
   leftsubnet=0.0.0.0/0
   right=%any
   rightid=%any
   rightauth=eap-mschapv2
   rightsourceip=10.10.10.0/24
   rightdns=8.8.8.8,8.8.4.4
   rightsendcert=never
   eap_identity=%identity

/etc/ipsec.secrets





# This file holds shared secrets or RSA private keys for authentication.

# RSA private key for this host, authenticating it to any other host
# which knows the public part.

# this file is managed with debconf and will contain the automatically created $
include /var/lib/strongswan/ipsec.secrets.inc

: RSA "server-key.pem"
user1 : EAP "password1"
user2 : EAP "password2"

iptables VPS





-A FORWARD -s 10.10.10.0/24 -o eth0 -p tcp -m policy --dir in --pol ipsec -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1361:1536 -j TCPMSS --set-mss 1360

-A POSTROUTING -s 10.10.10.0/24 -o eth0 -m policy --dir out --pol ipsec -j ACCEPT
-A POSTROUTING -s 10.10.10.0/24 -o eth0 -j MASQUERADE

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p udp -m udp --dport 500 -j ACCEPT
-A INPUT -p udp -m udp --dport 4500 -j ACCEPT
-A INPUT -j DROP
-A FORWARD -s 10.10.10.0/24 -m policy --dir in --pol ipsec --proto esp -j ACCEPT
-A FORWARD -d 10.10.10.0/24 -m policy --dir out --pol ipsec --proto esp -j ACCEPT
-A FORWARD -j DROP

IPSec MikroTik





, MikroTik Files.









System -> Certificates





VPS StrongSwan.









StrongSwan.













IPsec





IP -> IPsec





StrongSwan, .





, VPN-.





















"VPS IP" , StrongSwan.









IPsec Idenity , .









MikroTik StrongSwan .





Saída na seção Log após autorização bem-sucedida
Log

IP -> Addresses , IP StrongSwan.





IP -> Firewall





NAT .









.





local - .





List1 - .









(IP StrongSwan)













IP -> Firewall





Address Lists :





local - , 192.168.1.0/24





Lista1 - lista de sites. Por exemplo, habr.com, você pode adicionar um site usando fqdn, o endereço IP será determinado automaticamente.









Lista1 - lista de sites. Por exemplo, habr.com, você pode adicionar um site usando fqdn, o endereço IP será determinado automaticamente.





Conclusão

Neste artigo, tentei descrever em detalhes a configuração do túnel entre MicroTik e StrongSwan. Estou realmente ansioso por seus comentários e críticas construtivas







More articles:


All Articles