看了一次strongswan ipsec的设置.
这次的设置要求是:
Linux 中 strongwans与hillstone防火墙 stoneOS 建立ipsec连接.
network-network进行通信. 要求Linux可以同时与多台防火墙进行通信.
一 网络结构如下:
linux
地址 192.168.100.252 内网段为 10.0.1.0/24
防火墙1
地址 192.168.100.253 网网段为 10.0.2.0/24
防火墙1
地址 192.168.100.254 网网段为 10.0.3.0/24
二 设置
Linux端的设置:
Debian Linux 11 中运行 libstrongswan 5.9.1-1+deb11u3
apt-get install strongswan libcharon-extra-plugins
软件文档在 https://strongswan.org/
配置文件:
ipsec.conf
config setup
conn c1-c1
keyexchange=ikev1
#aggressive = yes
left=192.168.100.252
leftsubnet=10.0.1.0/24
rightsubnet=10.0.2.0/24
right=192.168.100.253
esp=aes256-sha256-modp1024
ike=aes256-sha256-modp1024
compress=no
rightauth=psk
leftauth=psk
auto=start
conn c2-c2
keyexchange=ikev1
aggressive = yes
left=192.168.100.252
leftsubnet=10.0.1.0/24
rightsubnet=10.0.3.0/24
rightid=@254
esp=aes256-sha256-modp1024
ike=aes256-sha256-modp1024
compress=no
rightauth=psk
leftauth=psk
auto=start
配置说明.
连接 c1-c1(防火墙1)
使用ikev1. main模式. IPsec连接IP为192.168.100.252. 这端的网段是 10.0.1/0/24.
对端的网段是 10.0.2.0/24. 连接的对端为192.168.100.253
二阶段提议 aes256-sha256-modp1024. 一阶段提议 aes256-sha256-modp1024
两端的认证方式都为 psk
连接 c2-c2(防火墙2)
与防火墙1的差别在于. 使用野蛮模式. 对端使用FQDN名字做认证. 非主动连接.
在ipsec.secrets 分别设置好两个对端的认证psk.
防火墙1的设置
ikev1
接口
主模式
静态IP
对端地址 192.168.100.252
本地id ipv4 192.168.100.253
对端id ipv4 192.168.100.252
p1提议 psk-sha256-aes256-g2
psk ****
高级
发起者
NAT-T no
ipsec
tunnel
10.0.2.0/24 10.0.1.0/24 Any
p2提议 esp-sha256-aes256-g2 无压缩
防火墙2的设置
主要差别在 野蛮模式. 主动发起连接
本端的类型使用FQDN .值为 254
三 其他信息:
-
strongswan与hillstone stoneOS中的 DH group写法不同.
以下是IPsec中DH(Diffie-Hellman）组的信息：
DH Group 1：使用768位素数p，提供大约80位的安全强度。
DH Group 2：使用1024位素数p，提供大约100位的安全强度。
DH Group 5：使用1536位素数p，提供大约120位的安全强度。
DH Group 14：使用2048位素数p，提供大约112位的安全强度。
DH Group 15：使用3072位素数p，提供大约128位的安全强度。
DH Group 16：使用4096位素数p，提供大约150位的安全强度。
DH Group 19：使用256位素数p，提供大约128位的安全强度。
DH Group 20：使用384位素数p，提供大约192位的安全强度。
DH Group 21：使用521位素数p，提供大约256位的安全强度。
-
个人感觉ike版本方面. 如果可能尽量使用v2版.
-
strongswan直接写ipsec.conf的配置方法已经过时. 可以考虑学习一下swanctl. 我这里主要是进行一下测试就没花太多时间.
-
strongswan 5.x中 默认不开启 野蛮模式的psk认证方式. 原因是安全问题.
Q: Does strongSwan support IKEv1 Aggressive Mode?
A: Since version 5.0.0 the answer is yes. However, the strongSwan developers still recommend to avoid its use with pre-shared keys. This is due to a known weakness of the protocol. With Aggressive Mode, a hash of the pre-shared key is transmitted in clear-text.
i_dont_care_about_security_and_use_aggressive_mode_psk = yes
四 一些废话
这次的配置只是进行简单测试. 目前没有实际使用. 就算是复杂一次ipsec相关的知识吧.
linux中 ike部分的程序有很多. 记得上次我看的还是 racoon.这次发现主流使用的程序已经是 strongswan了.
