Konfigurace jádra
Přidejte do \etc\sysctl.conf následující změny
vi /etc/sysctl.conf
net.ipv4.ip_forward = 1 # разрешить пересылку пакетов между интерфейсами net.ipv4.conf.all.send_redirects = 0 # отключаем icmp redirect net.ipv4.conf.all.accept_redirects = 0 # отключаем icmp redirect net.ipv4.conf.default.send_redirects = 0 # отключаем icmp redirect net.ipv4.conf.default.accept_redirects = 0 # отключаем icmp redirect
aplikujte změny.
sysctl –p
Vypněte selinux
vi /etc/selinux/config
SELINUX=disabled
Nainstalujte OpenSwan
yum install openswan
Konfigurujte iptables
Je třeba otevřít příchozí UDP porty 50, 500, 4500. Přidejte do iptables následující pravidla
iptables -A INPUT -i eth0 -p udp --dport 500 -j ACCEPT iptables -A INPUT -i eth0 -p udp --dport 4500 -j ACCEPT iptables -A INPUT -i eth0 -p udp --dport 50 -j ACCEPT
Uložte změny
service iptables save
Vytvořte klíč.
Vytvořte databázi certifikátů, při výzvě k zadání hesla stiskněte Enter, tedy ponechte prázdné.
certutil -N -d /etc/ipsec.d/
Vytvořte certifikát.
ipsec newhostkey --configdir /etc/ipsec.d/ --output /etc/ipsec.d/office1.secrets --bits 4096
Tento příkaz vypíše klíč na obrazovku, v dalším kroku bude třeba klíč vložit do konfiguračního souboru.
ipsec showhostkey --left
Konfigurujte ipsec.
Spusťte a ověřte ipsec.
service ipsec start ipsec verify
Po dokončení konfigurace, instalaci a ověření bez chyb můžete přejít k nastavení ipsec tunelu
Pro nastavení tunelu se používají dva soubory: ipsec.conf a ipsec.secrets
Ipsec.conf – v tomto souboru jsou definovány hlavní nastavení tunelu.
Ipsec.secrets – v tomto souboru jsou uloženy odkazy na soubory s klíči.
Otevřete ipsec.conf a upravte jej do následující podoby.
vi /etc/ipsec.conf
version 2.0
config setup
protostack=netkey # указываем какой стэк протокола будем использовать, варианты auto, klips,netkey
include /etc/ipsec.d/*.conf # указываем каталог где лежат конфиги туннеля так сказать подключаем оставшуюся часть ipsec.conf
Konfigurujte samotný tunel. Pro lepší pochopení platí, že vše s předponou left je lokální (local) a s předponou right je vzdálené (remote) vzhledem k místu, kde provádíte konfiguraci.
vi /etc/ipsec.d/office1.conf
conn Tunnel_office1
authby=rsasig # указываем что авторизоваться будем RSA ключами
type=tunnel # указываем что тип соединения туннель
auto=start # автоматически поднимать соединение
#Описываем настройки локальной стороны.
leftid=1.1.1.1 #здесь FQDN например gw.office1.ru или внешний ip адрес
left=1.1.1.1 # Указываем внешний ip адрес
leftsubnet=192.168.0.0/24 # указываем внутреннюю подсеть
leftsourceip=192.168.0.1 #Указываем внутренний ip адрес шлюза
leftnexthop=1.1.1.1 #Указываем внешний ip адрес шлюза
leftrsasigkey= #сюда вставляем с генерированный ключ.
#Описываем настройки удаленной стороны.
rightid=10.1.1.1
right=2.2.2.2
rightsubnet=10.1.1.0/24
rightsourceip=10.1.1.1
rightnexthop=2.2.2.2
rightrsasigkey=#сюда вставляем с генерированный ключ, с удаленной машины.
Přidejte do iptables několik pravidel umožňujících směrování paketů mezi podsítěmi
iptables -A FORWARD -s 192.168.0/24 -d 10.1.1.0/24 -j ACCEPT iptables -A FORWARD -s 10.1.1.0/24 -d 192.168.0.0/24 -j ACCEPT service iptables save # что бы правила сохранились после перезагрузки
Spusťte, ověřte
Po úpravě konfiguračních souborů je nutné ipsec restartovat
service ipsec restart
Spusťte tunel
ipsec auto --add Tunnel_office1 ipsec auto –-up Tunnel_office1
Několik informací pro diagnostiku
ipsec auto status