Lai pieslēgtu Linux maršrutētāju ar strongSwan VPSnet privātajam tīklam ar IPsec, VPSnet vadības panelī pievienojiet filiāli, tad tās swanctl failu ievietojiet mapē /etc/swanctl/conf.d, pēc paneļa komandām izveidojiet XFRM tuneļa saskarni un maršrutus un ielādējiet konfigurāciju. Tunelis ir maršrutēts: datplūsma uz VPSnet tīkliem tiek novirzīta uz XFRM saskarni. Pārbaudīts ar Ubuntu 24.04.5 LTS, strongSwan 5.9.13 un pastāvīgu publisko IPv4 adresi.
Pirms sākat
- VPSnet vadības panelī atveriet savu VPN, izvēlieties Pieslēgt filiāli (maršrutētāju), atzīmējiet strongSwan un nospiediet Tālāk. Ievadiet filiāles tīklus un maršrutētāja publisko adresi.
- Uzreiz nokopējiet kopīgo atslēgu: tā tiek parādīta vienu reizi.
- Filiāles konfigurācijā (cilne CLI (kopēt un ielīmēt)) aizpildiet Nosaukumi jūsu maršrutētājā: Programmatūras versija (5.9 vai 6.x), XFRM saskarnes id (skaitlis, ko neizmanto neviens cits maršrutētāja tunelis) un Tuneļa saskarnes nosaukums. Tad lejupielādējiet savienojuma .conf failu.
Attēlos redzamas paraugvērtības no dokumentācijai paredzētajām adresēm. Ievadiet vērtības no sava ceļveža.
Šī ceļveža attēlos ir pārbaudes laikā iegūtā termināļa izvade, kurā adreses, nosaukumi un atslēgas aizstātas ar paraugvērtībām.
1. Instalējiet strongSwan un izvēlieties nosaukumus
Terminal
Ubuntu sistēmā pakotnes saucas strongswan-swanctl un charon-systemd. Apskatiet versiju un jau izmantotās XFRM saskarnes: izvēlieties id un nosaukumu, ko neizmanto citi tuneļi (šeit 27 un vpsnet27).
sudo apt install strongswan-swanctl charon-systemd
swanctl --version
ip -d link show type xfrm
2. Ievietojiet konfigurācijas failu
/etc/swanctl/conf.d/
Lejupielādēto failu nokopējiet mapē /etc/swanctl/conf.d/ tā, lai to lasītu tikai root: tajā ir kopīgā atslēga. Failā ir savienojums ar priekšlikumiem un jūsu izvēlēto XFRM id.
sudo install -m 600 vpsnet-a10e8857.conf /etc/swanctl/conf.d/
3. Izveidojiet tuneļa saskarni un maršrutus
ip link / ip route
Palaidiet paneļa soļa “Komandas” rindas: tās izveido XFRM saskarni ar MTU 1400, novirza uz to VPSnet tīklus un atstāj ieslēgtu IP pārsūtīšanu. Saskarne un maršruti pēc pārstartēšanas pazūd: iekļaujiet tos tīkla konfigurācijā vai palaišanas skriptā. Ja VPN interneta izeja ir ieslēgta, panelis pievieno vēl trīs rindas (ip rule, table), kas biroja interneta datplūsmu sūta caur VPN.
sudo ip link add vpsnet27 type xfrm if_id 27
sudo ip link set vpsnet27 up mtu 1400
sudo ip route add 172.31.250.0/24 dev vpsnet27
sudo ip route add 10.255.0.0/24 dev vpsnet27
printf 'net.ipv4.ip_forward = 1\n' | sudo tee /etc/sysctl.d/90-vpsnet-forward.conf
sudo sysctl -p /etc/sysctl.d/90-vpsnet-forward.conf
4. Ielādējiet konfigurāciju
swanctl --load-all
swanctl --load-all nolasa /etc/swanctl/swanctl.conf un visu mapē conf.d. Ja maršrutētājā ir citi strongSwan savienojumi, pirms palaišanas pārliecinieties, ka tie visi ir šajos failos.
sudo swanctl --load-all
5. Pārbaudiet tuneli
swanctl --list-sas
Mūsu VPN tuneli sāk minūtes laikā: savienojums redzams kā ESTABLISHED ar INSTALLED child, un maršruts uz VPSnet tīklu iet caur tuneļa saskarni. Tad no biroja datora nopingojiet VPSnet serveri.
sudo swanctl --list-sas --ike vpsnet-a10e8857
ip route get 172.31.250.1
Pārbaude un problēmas
- Panelī atveriet filiāli un nospiediet Pārbaudīt tuneli: tiek pārbaudīts, vai maršrutētājs atbild, vai atslēgas sakrīt un vai datplūsma iet.
- SA nav: pārbaudiet, vai UDP 500 un 4500 no VPN adreses sasniedz maršrutētāju, rindu remote_addrs un atslēgu. journalctl -u strongswan parāda, kāpēc saskaņošana neizdodas.
- Savienojums ir, bet ping neiet: pārbaudiet, vai maršruti iet uz tuneļa saskarni, vai tās if_id sakrīt ar failu un vai ieslēgta IP pārsūtīšana.
BUJ
Kurām strongSwan versijām paredzēts šis ceļvedis?
Tas iestatīts un pārbaudīts ar Ubuntu 24.04.5 LTS un strongSwan 5.9.13 (swanctl, charon-systemd) un pastāvīgu publisko IPv4 adresi. strongSwan 6 gadījumā laukā “Programmatūras versija” izvēlieties 6.x: panelis failu sagatavo jūsu izvēlētajai versijai.
Kāpēc XFRM saskarne?
VPN datplūsmu sūta pēc maršrutiem. Ar tuneļa saskarni VPSnet tīklus pievienojat vai noņemat, mainot tikai maršrutus.
Izmantoju Libreswan. Vai ir ceļvedis?
Soli pa solim vēl nav. Panelī izvēlieties Libreswan: tam saņemsiet gatavu konfigurāciju, tā redzama arī privāto tīklu lapas sadaļā “Kā pieslēgties”.
Mana maršrutētāja publiskā adrese mainās. Vai tomēr varu pieslēgties?
Šis ceļvedis paredzēts pastāvīgai adresei – šo gadījumu pārbaudījām. Pievienojot filiāli, atzīmējiet “Adrese mainās”: tad konfigurācijā būs iestatījumi šim gadījumam, un tuneli būs jāsāk jūsu maršrutētājam.
Pazaudēju kopīgo atslēgu. Ko darīt?
Atslēga tiek parādīta vienu reizi. Panelī atveriet filiāli un izvēlieties “Nomainīt atslēgu”: tiek izveidota jauna atslēga, tā tiek parādīta vienu reizi, un vecā pārstāj darboties nākamajā maršrutētāja pieslēgšanās reizē.
Vai tunelim vajadzīgs NAT?
Nē. VPSnet serveri redz biroja datoru adreses.