Konfiguracija jezgra
Dodajemo sledeće izmene u \etc\sysctl.conf
vi /etc/sysctl.conf
net.ipv4.ip_forward = 1 # разрешить пересылку пакетов между интерфейсами net.ipv4.conf.all.send_redirects = 0 # отключаем icmp redirect net.ipv4.conf.all.accept_redirects = 0 # отключаем icmp redirect net.ipv4.conf.default.send_redirects = 0 # отключаем icmp redirect net.ipv4.conf.default.accept_redirects = 0 # отключаем icmp redirect
primenjujemo izmene.
sysctl –p
Isključujemo selinux
vi /etc/selinux/config
SELINUX=disabled
Instaliramo OpenSwan
yum install openswan
Konfigurišemo iptables
Mora se otvoriti ulazni udp portovi 50,500,4500. Dodajemo iptables sledeća pravila
iptables -A INPUT -i eth0 -p udp --dport 500 -j ACCEPT iptables -A INPUT -i eth0 -p udp --dport 4500 -j ACCEPT iptables -A INPUT -i eth0 -p udp --dport 50 -j ACCEPT
Čuvamo izmene
service iptables save
Kreiramo ključ.
Kreiramo bazu podataka sertifikata, na zahtev za lozinku pritisnite Enter, tj. ostavite prazno.
certutil -N -d /etc/ipsec.d/
Kreiramo sertifikat.
ipsec newhostkey --configdir /etc/ipsec.d/ --output /etc/ipsec.d/office1.secrets --bits 4096
Ova komanda će ispisati ključ na ekranu, u sledećem koraku ključ će se morati ubaciti u konfiguraciju.
ipsec showhostkey --left
Konfigurišemo ipsec.
Pokrećemo i proveravamo ipsec.
service ipsec start ipsec verify
Nakon što je sve konfigurisano, instalirano i provera ne prijavljuje nikakve greške, možemo preći na konfiguraciju ipsec tunela.
Za konfiguraciju tunela koriste se dva fajla: ipsec.conf i ipsec.secrets.
Ipsec.conf – u ovom fajlu se definišu osnovne postavke tunela.
Ipsec.secrets – u ovom fajlu se čuvaju reference na fajlove sa ključevima.
Otvaramo ipsec.conf i dovodimo ga u sledeći oblik.
vi /etc/ipsec.conf
version 2.0
config setup
protostack=netkey # указываем какой стэк протокола будем использовать, варианты auto, klips,netkey
include /etc/ipsec.d/*.conf # указываем каталог где лежат конфиги туннеля так сказать подключаем оставшуюся часть ipsec.conf
Konfigurišemo sam tunel. Radi lakšeg razumevanja, sve što ima prefiks left je lokalno (local), a sve što ima prefiks right je udaljeno (remote) u odnosu na mesto gde se vrši konfiguracija.
vi /etc/ipsec.d/office1.conf
conn Tunnel_office1
authby=rsasig # указываем что авторизоваться будем RSA ключами
type=tunnel # указываем что тип соединения туннель
auto=start # автоматически поднимать соединение
#Описываем настройки локальной стороны.
leftid=1.1.1.1 #здесь FQDN например gw.office1.ru или внешний ip адрес
left=1.1.1.1 # Указываем внешний ip адрес
leftsubnet=192.168.0.0/24 # указываем внутреннюю подсеть
leftsourceip=192.168.0.1 #Указываем внутренний ip адрес шлюза
leftnexthop=1.1.1.1 #Указываем внешний ip адрес шлюза
leftrsasigkey= #сюда вставляем с генерированный ключ.
#Описываем настройки удаленной стороны.
rightid=10.1.1.1
right=2.2.2.2
rightsubnet=10.1.1.0/24
rightsourceip=10.1.1.1
rightnexthop=2.2.2.2
rightrsasigkey=#сюда вставляем с генерированный ключ, с удаленной машины.
Dodajemo u iptables par pravila koja dozvoljavaju preusmeravanje paketa između podmreža
iptables -A FORWARD -s 192.168.0/24 -d 10.1.1.0/24 -j ACCEPT iptables -A FORWARD -s 10.1.1.0/24 -d 192.168.0.0/24 -j ACCEPT service iptables save # что бы правила сохранились после перезагрузки
Pokrećemo, proveravamo.
Nakon konfiguracije konfiguracionih fajlova potrebno je restartovati ipsec
service ipsec restart
Pokrećemo tunel
ipsec auto --add Tunnel_office1 ipsec auto –-up Tunnel_office1
Nešto informacija za dijagnostiku
ipsec auto status