内容提交人审核人更新内容日期陈天骄李均利 V 目录 1 方案背景需求分析解决方案实现方式验证拓扑图环境说明 CentOS 端配置步骤安装必须的库

Size: px

Start display at page:

Download "内容提交人审核人更新内容日期陈天骄李均利 V 目录 1 方案背景需求分析解决方案实现方式验证拓扑图环境说明 CentOS 端配置步骤安装必须的库"

祉沈
7 years ago
Views:

1 Linux 下使用 Strongswan 搭建 IPSec VPN 解决方案 (PSK 方式 ) Hillstone Networks Inc 年 09 月 1 日 1 / 9

2 内容提交人审核人更新内容日期陈天骄李均利 V 目录 1 方案背景需求分析解决方案实现方式验证拓扑图环境说明 CentOS 端配置步骤安装必须的库下载 strongswan 并解压编译 StrongSwan 编译并安装配置 StrongSwan 配置防火墙 FW 相关配置基本配置 VPN 配置建设效果 IPSec 建设效果 FW 端 CentOS 端数据互通建设效果 / 9

3 1 方案背景在互联网日益发达的今天, 开源资源越来越得到 IT 公司的重视,Linux 就是其中非常重要的一部分,Linux 下开源软件众多, 本方案介绍 Linux 下的 VPN 技术 2 需求分析由于分部资源限制, 可能无法在出口部署防火墙, 但是需要与总部互通, 共享总部资源这时候如果有一台 Linux 服务器, 就可以实现和总部网段互通, 并且加密数据 3 解决方案出口部署一台 Linux 服务器, 安装开源的 StrongSwan 软件, 模拟 IPSec 服务器, 部署 siteto-site 式的 IPSec VPN; 同时 StrongSwan 还可以部署成 server 端, 实现 Xauth 等的 client 接入, 本文主要介绍 site-to-site 形式 4 实现方式 4.1 验证拓扑图 3 / 9

ISP 10.88.16.251 10.88.16.253 192.168.1.1 192.168.2.1 192.168.2.254 192.168.1.254 4.2 环境说明本文基于 CentOS 6.7(32 位 Development 安装 ), 内核版本 2.6.32-573 验证通过, 其它 Linux 版本命令可能有出入, 请酌情参考 StrongSwan 版本为 5.

4 ISP 环境说明本文基于 CentOS 6.7(32 位 Development 安装 ), 内核版本验证通过, 其它 Linux 版本命令可能有出入, 请酌情参考 StrongSwan 版本为 5.3.2, 本方案介绍基于预共享密钥的方式, 证书方式后续添加服务器需要双网卡山石 NGFW 为 SG-6000-E1100, 软件版本为 SG6000-M-3-5.0R4P8.bin 4 / 9

5 4.3 CentOS 端配置步骤安装必须的库 yum install pam-devel openssl-devel make gcc 下载 strongswan 并解压 A. wget B. tar -xzf strongswan.tar.gz C. cd strongswan-*(* 代表当前 StrongSwan 版本, 目前最新版本是 5.3.2) 编译 StrongSwan Xen KVM VMware 使用以下参数 :./configure --enable-eap-identity --enable-eap-md5 \--enable-eap-mschapv2 --enable-eap-tls -- enable-eap-ttls --enable-eap-peap \--enable-eap-tnc --enable-eap-dynamic --enable-eap-radius --enable-xauth-eap \--enable-xauth-pam --enable-dhcp --enable-openssl --enableaddrblock --enable-unity \--enable-certexpire --enable-radattr --enable-tools --enable-openssl -- disable-gmp OpenVZ 需在最后额外增加一个 --enable-kernel-libipsec 编译并安装 make; make install 编译安装完后没有报错, 并且使用命令 ipsec version 能出现版本信息, 则表示安装成功 strongswan-5.3.2]# ipsec version Linux strongswan U5.3.2/K el6.i686 Institute for Internet Technologies and Applications University of Applied Sciences Rapperswil, Switzerland See 'ipsec --copyright' for copyright information. 5 / 9

6 4.3.5 配置 StrongSwan A. vim /usr/local/etc/ipsec.conf 修改为以下内容 config setup uniqueids=never conn hillstone-e1100 keyexchange=ikev1 auto=start aggressive=yes compress=yes ike=aes256-sha1-modp1024! esp=aes256-sha1! leftid=group2 type=tunnel #local-id leftsubnet= leftauth=psk rightauth=psk right= rightsubnet= compress=yes B. vim /usr/local/etc/ipsec.secrets 添加以下内容 : RSA server.pem : PSK "123456" # 预共享密钥 : XAUTH "hillstone" #Xauth 密码, 此处不必关注 hillstone %any : EAP "hillstone" # 拨号用户的账号, 此处不必关注配置防火墙 A. vim /etc/sysctl.conf 找到 net.ipv4.ip_forward = 0, 将 0 改为 1, 即 :net.ipv4.ip_forward = 1 B. 执行 sysctl -p( 如果执行后有报错的, 重新 vim sysctl.conf, 将报错的部分 # 注释掉保存, 直到执行 sysctl -p 不再报错为止 ) 6 / 9

7 C. 测试环境关闭 Linux 防火墙, 生产环境按需配置 service iptables stop D. 开启 ipsec start strongswan-5.3.2]# ipsec start Starting strongswan IPsec [starter]... insmod /lib/modules/ el6.i686/kernel/net/key/af_key.ko insmod /lib/modules/ el6.i686/kernel/net/ipv4/ah4.ko insmod /lib/modules/ el6.i686/kernel/net/ipv4/esp4.ko insmod /lib/modules/ el6.i686/kernel/net/xfrm/xfrm_ipcomp.ko insmod /lib/modules/ el6.i686/kernel/net/ipv4/ipcomp.ko insmod /lib/modules/ el6.i686/kernel/net/ipv4/tunnel4.ko insmod /lib/modules/ el6.i686/kernel/net/ipv4/xfrm4_tunnel.ko 4.4 FW 相关配置基本配置 interface vswitchif1 zone "trust" ip address manage https interface ethernet0/0 zone "trust" ip address manage ssh manage https ip vrouter "trust-vr" snatrule id 1 from "Any" to "Any" service "Any" eif vswitchif1 trans-to eif-ip mode dynamicport ip route / ip route tunnel2 rule id 1 action permit src-addr "Any" dst-addr "Any" service "Any" 7 / 9

4.4.2 VPN 配置 isakmp peer "swan" mode aggressive isakmp-proposal "psk-sha-aes256-g2" pre-share "L+snRhG/t5hOg56vlTFDvXptjTwBkq" #PSK 为 123456 peer 10.88.16.

8 4.4.2 VPN 配置 isakmp peer "swan" mode aggressive isakmp-proposal "psk-sha-aes256-g2" pre-share "L+snRhG/t5hOg56vlTFDvXptjTwBkq" #PSK 为 peer peer-id fqdn "group2" interface vswitchif1 tunnel ipsec "swan" auto isakmp-peer "swan" ipsec-proposal "esp-sha-aes256-g0" id local remote service "Any" interface tunnel2 zone "trust" tunnel ipsec "swan" reverse-route prefer 5 建设效果通过 IPSec VPN 配置, 总部和分部不仅实现了 site-to-site 的数据互通, 而且实现了数据加密 5.1 IPSec 建设效果 FW 端 8 / 9

$251[group2]...10.88.16.253[10.88.16.253] demo-e1100{1}: INSTALLED, TUNNEL, reqid 1, ESP SPIs: c9e62e17_i 59e0786e_o demo-e1100{1}: 192.168.2.0 === 192.168.1.0 5.$

9 5.1.2 CentOS 端 strongswan-5.3.2]# ipsec status Security Associations (1 up, 0 connecting): demo-e1100[1]: ESTABLISHED 4 seconds ago, [group2] [ ] demo-e1100{1}: INSTALLED, TUNNEL, reqid 1, ESP SPIs: c9e62e17_i 59e0786e_o demo-e1100{1}: === 数据互通建设效果 [root@localhost strongswan-5.3.2]# ping -I eth PING ( ) from eth1: 56(84) bytes of data. 64 bytes from : icmp_seq=1 ttl=128 time=6.41 ms 64 bytes from : icmp_seq=2 ttl=128 time=9.95 ms 64 bytes from : icmp_seq=3 ttl=128 time=3.05 ms 9 / 9

一．NETGEAR VPN防火墙产品介绍

一．NETGEAR VPN防火墙产品介绍 NETGEAR VPN NETGEAR 6 http://www.netgear.com.cn - 1 - NETGEAR VPN... 4 1.1 VPN...4 1.2 Dynamic Domain Name Service...4 1.3 Netgear VPN...4 Netgear VPN... 6 2.1 FVS318 to FVS318 IKE Main...7 2.1.1 A VPN

内容提交人审核人更新内容日期 陈天骄李均利 V 目录 1 方案背景 需求分析 解决方案 实现方式 验证拓扑图 环境说明 CentOS 端配置步骤 安装必须的库

内容提交人审核人更新内容日期陈天骄李均利 V 目录 1 方案背景需求分析解决方案实现方式验证拓扑图环境说明 CentOS 端配置步骤安装必须的库