Konfiguration des Kernels
Fügen Sie folgende Änderungen in \etc\sysctl.conf ein
vi /etc/sysctl.conf
net.ipv4.ip_forward = 1 # разрешить пересылку пакетов между интерфейсами net.ipv4.conf.all.send_redirects = 0 # отключаем icmp redirect net.ipv4.conf.all.accept_redirects = 0 # отключаем icmp redirect net.ipv4.conf.default.send_redirects = 0 # отключаем icmp redirect net.ipv4.conf.default.accept_redirects = 0 # отключаем icmp redirect
und wenden Sie die Änderungen an.
sysctl –p
Deaktivieren Sie SELinux
vi /etc/selinux/config
SELINUX=disabled
Installieren Sie OpenSwan
yum install openswan
Konfigurieren Sie iptables
Es müssen eingehende UDP-Ports 50, 500 und 4500 geöffnet werden. Fügen Sie iptables folgende Regeln hinzu
iptables -A INPUT -i eth0 -p udp --dport 500 -j ACCEPT iptables -A INPUT -i eth0 -p udp --dport 4500 -j ACCEPT iptables -A INPUT -i eth0 -p udp --dport 50 -j ACCEPT
Speichern Sie die Änderungen
service iptables save
Erstellen Sie einen Schlüssel.
Erstellen Sie eine Zertifikatsdatenbank. Drücken Sie bei der Passwortabfrage Enter, d. h. lassen Sie das Feld leer.
certutil -N -d /etc/ipsec.d/
Erstellen Sie ein Zertifikat.
ipsec newhostkey --configdir /etc/ipsec.d/ --output /etc/ipsec.d/office1.secrets --bits 4096
Dieser Befehl gibt den Schlüssel auf dem Bildschirm aus. Im nächsten Schritt müssen Sie den Schlüssel in die Konfigurationsdatei einfügen.
ipsec showhostkey --left
Konfigurieren Sie IPsec.
Starten Sie IPsec und überprüfen Sie es.
service ipsec start ipsec verify
Wenn alles konfiguriert, installiert und die Überprüfung keine Fehler meldet, können Sie mit der Konfiguration des IPsec-Tunnels fortfahren.
Zur Konfiguration des Tunnels werden zwei Dateien verwendet: ipsec.conf und ipsec.secrets.
Ipsec.conf – in dieser Datei werden die Haupteinstellungen des Tunnels definiert.
Ipsec.secrets – in dieser Datei werden Verweise auf die Schlüsseldateien gespeichert.
Öffnen Sie ipsec.conf und passen Sie ihn wie folgt an.
vi /etc/ipsec.conf
version 2.0
config setup
protostack=netkey # указываем какой стэк протокола будем использовать, варианты auto, klips,netkey
include /etc/ipsec.d/*.conf # указываем каталог где лежат конфиги туннеля так сказать подключаем оставшуюся часть ipsec.conf
Konfigurieren wir den Tunnel selbst. Der Einfachheit halber gilt: Alles mit dem Präfix „left“ bezieht sich auf lokal (lokal), alles mit dem Präfix „right“ auf remote (remote), bezogen auf den Ort, an dem Sie die Einstellungen vornehmen.
vi /etc/ipsec.d/office1.conf
conn Tunnel_office1
authby=rsasig # указываем что авторизоваться будем RSA ключами
type=tunnel # указываем что тип соединения туннель
auto=start # автоматически поднимать соединение
#Описываем настройки локальной стороны.
leftid=1.1.1.1 #здесь FQDN например gw.office1.ru или внешний ip адрес
left=1.1.1.1 # Указываем внешний ip адрес
leftsubnet=192.168.0.0/24 # указываем внутреннюю подсеть
leftsourceip=192.168.0.1 #Указываем внутренний ip адрес шлюза
leftnexthop=1.1.1.1 #Указываем внешний ip адрес шлюза
leftrsasigkey= #сюда вставляем с генерированный ключ.
#Описываем настройки удаленной стороны.
rightid=10.1.1.1
right=2.2.2.2
rightsubnet=10.1.1.0/24
rightsourceip=10.1.1.1
rightnexthop=2.2.2.2
rightrsasigkey=#сюда вставляем с генерированный ключ, с удаленной машины.
Fügen Sie iptables einige Regeln hinzu, die die Paketweiterleitung zwischen den Subnetzen zulassen
iptables -A FORWARD -s 192.168.0/24 -d 10.1.1.0/24 -j ACCEPT iptables -A FORWARD -s 10.1.1.0/24 -d 192.168.0.0/24 -j ACCEPT service iptables save # что бы правила сохранились после перезагрузки
Starten und überprüfen
Nach der Konfiguration der Konfigurationsdateien müssen Sie IPsec neu starten.
service ipsec restart
Tunnel hochfahren
ipsec auto --add Tunnel_office1 ipsec auto –-up Tunnel_office1
Einige Informationen zur Diagnose
ipsec auto status