Strongswan - Historique des versions

Ycharbi : Ajout du support d'ed25519 + suppression d'un doublon dans les sources.

2020-05-07T14:36:28Z

Ajout du support d'ed25519 + suppression d'un doublon dans les sources.

← Version précédente		Version du 7 mai 2020 à 16:36
Ligne 35 :		Ligne 35 :
	ipsec pki --self -t ecdsa --in /etc/ipsec.d/private/YC-NM_ycharbi_key.pem --outform pem --lifetime 3650 --dn "CN=YC-NM_ycharbi_crt" > /etc/ipsec.d/certs/YC-NM_ycharbi_crt.pem		ipsec pki --self -t ecdsa --in /etc/ipsec.d/private/YC-NM_ycharbi_key.pem --outform pem --lifetime 3650 --dn "CN=YC-NM_ycharbi_crt" > /etc/ipsec.d/certs/YC-NM_ycharbi_crt.pem
	</source>		</source>

			{{info\|Depuis ''Strongswan 5.5.2'', il est possible d'utiliser des clés ''ed25519''. Pour [https://wiki.strongswan.org/issues/2308 se faire], il faudra remplacer le type <source lang="bash" inline>ecdsa</source> par <source lang="bash" inline>ed25519</source> dans les deux commandes précédentes ainsi que <source lang="bash" inline>ECDSA</source> par <source lang="bash" inline>PKCS8</source> dans <source lang="bash" inline>ipsec.secrets</source>. Il sera également préférable d'utiliser la liste cryptographique l'implémentant comme ceci: <source lang="bash" inline>aes256gcm128-sha512-curve25519!</source> dans <source lang="bash" inline>ipsec.conf</source>.}}

	'''Configuration de la connexion'''		'''Configuration de la connexion'''
Ligne 234 :		Ligne 236 :

	=Sources=		=Sources=
	* https://wiki.strongswan.org/projects/strongswan/wiki/ConnSection
	* https://wiki.strongswan.org/projects/strongswan/wiki/ConnSection		* https://wiki.strongswan.org/projects/strongswan/wiki/ConnSection
	* https://wiki.strongswan.org/projects/strongswan/wiki/VirtualIp		* https://wiki.strongswan.org/projects/strongswan/wiki/VirtualIp
	* https://wiki.strongswan.org/projects/strongswan/wiki/IKEv2CipherSuites		* https://wiki.strongswan.org/projects/strongswan/wiki/IKEv2CipherSuites
	* https://strongswan.org/testresults4.html		* https://strongswan.org/testresults4.html

Ycharbi : /* Sur les clients */ Ajout de la résolution pour les MTU.

2019-03-24T10:54:36Z

Sur les clients : Ajout de la résolution pour les MTU.

← Version précédente		Version du 24 mars 2019 à 12:54
Ligne 230 :		Ligne 230 :
	</source>		</source>
	''Bien que ce caractéristique soit censé être géré par le protocole PMTUD, je n'ai pas réussi à le faire fonctionner dans cette installation. On est donc obligé de ce faire chier de la sorte (bon courage avec l'IOT...). À améliorer donc...''		''Bien que ce caractéristique soit censé être géré par le protocole PMTUD, je n'ai pas réussi à le faire fonctionner dans cette installation. On est donc obligé de ce faire chier de la sorte (bon courage avec l'IOT...). À améliorer donc...''

			''Édit: Il semblerait que ce problème de MTU soit insoluble avec [[Open vSwitch]] (un bogue qui n'inquiète visiblement pas les développeurs du projet...), Nous avons donc réalisé une migration de notre réseau sous les VLAN natifs fournis par Linux via la fonctionnalité [[Vlan - linux\|VLAN filtering]] offerte par les ponts réseaux via "iproute2". Le résultat est sans appel. Ça tourne nickel sans toucher aux MTU !''

	=Sources=		=Sources=

Ycharbi : Aération du code + réagencement d'une section + correction erreur interface (ens3 -> eth0) + modification de 2 params ipsec.conf + correction ipsec.secrets ipsec1.

2018-06-24T16:30:58Z

Aération du code + réagencement d'une section + correction erreur interface (ens3 -> eth0) + modification de 2 params ipsec.conf + correction ipsec.secrets ipsec1.

← Version précédente		Version du 24 juin 2018 à 18:30
Ligne 35 :		Ligne 35 :
	ipsec pki --self -t ecdsa --in /etc/ipsec.d/private/YC-NM_ycharbi_key.pem --outform pem --lifetime 3650 --dn "CN=YC-NM_ycharbi_crt" > /etc/ipsec.d/certs/YC-NM_ycharbi_crt.pem		ipsec pki --self -t ecdsa --in /etc/ipsec.d/private/YC-NM_ycharbi_key.pem --outform pem --lifetime 3650 --dn "CN=YC-NM_ycharbi_crt" > /etc/ipsec.d/certs/YC-NM_ycharbi_crt.pem
	</source>		</source>

	'''Configuration de la connexion'''		'''Configuration de la connexion'''
	vim /etc/ipsec.conf		vim /etc/ipsec.conf
	<source lang="~~ini~~">		<source lang="bash">
	conn %default		conn %default
	ikelifetime=60m		ikelifetime=60m
	keylife=20m		keylife=20m
	rekeymargin=3m		rekeymargin=3m
	keyingtries=1		keyingtries=%forever
	keyexchange=ikev2		keyexchange=ikev2
	mobike=no		mobike=no
Ligne 58 :		Ligne 59 :
	rightid=@lesmorin		rightid=@lesmorin
	rightcert=YC-NM_lesmorin_crt.pem		rightcert=YC-NM_lesmorin_crt.pem
	auto=~~start~~		auto=route
	</source>		</source>

	'''Ajout d'une ACL pour la connexion'''		'''Ajout d'une ACL pour la connexion'''
	vim /etc/ipsec.secrets		vim /etc/ipsec.secrets
	@lesmorin @ycharbi : ECDSA /etc/ipsec.d/private/YC-~~NM_lesmorin_key~~.pem		@lesmorin @ycharbi : ECDSA /etc/ipsec.d/private/YC-NM_ycharbi_key.pem

	'''Configuration de l'interface réseau'''		'''Configuration de l'interface réseau'''
	<source lang="bash">		<source lang="bash">
Ligne 101 :		Ligne 103 :
	'''Configuration de la connexion'''		'''Configuration de la connexion'''
	vim /etc/ipsec.conf		vim /etc/ipsec.conf
	<source lang="~~ini~~">		<source lang="bash">
	conn %default		conn %default
	ikelifetime=60m		ikelifetime=60m
	keylife=20m		keylife=20m
	rekeymargin=3m		rekeymargin=3m
	keyingtries=1		keyingtries=%forever
	keyexchange=ikev2		keyexchange=ikev2
	mobike=no		mobike=no
Ligne 122 :		Ligne 124 :
	rightid=@ycharbi		rightid=@ycharbi
	rightcert=YC-NM_ycharbi_crt.pem		rightcert=YC-NM_ycharbi_crt.pem
	auto=~~start~~		auto=route
	</source>		</source>

Ligne 128 :		Ligne 130 :
	vim /etc/ipsec.secrets		vim /etc/ipsec.secrets
	@lesmorin @ycharbi : ECDSA /etc/ipsec.d/private/YC-NM_lesmorin_key.pem		@lesmorin @ycharbi : ECDSA /etc/ipsec.d/private/YC-NM_lesmorin_key.pem

	'''Configuration de l'interface réseau'''		'''Configuration de l'interface réseau'''
	<source lang="bash">		<source lang="bash">
Ligne 135 :		Ligne 138 :
	netmask 255.255.255.0		netmask 255.255.255.0
	gateway 192.168.181.254		gateway 192.168.181.254
	up ip addr add 10.254.254.253 dev eth0		up ip addr add 10.254.254.253 dev eth0
	up ip route add 10.254.254.254/32 dev ~~ens3~~ src 10.254.254.253 \|\| true		up ip route add 10.254.254.254/32 dev eth0 src 10.254.254.253 \|\| true
	down ip route del 10.254.254.254/32 dev ~~ens3~~ src 10.254.254.253 \|\| true		down ip route del 10.254.254.254/32 dev eth0 src 10.254.254.253 \|\| true
	down ip addr del 10.254.254.253 dev eth0		down ip addr del 10.254.254.253 dev eth0
	</source>		</source>

Ligne 144 :		Ligne 147 :
	scp /etc/ipsec.d/certs/YC-NM_lesmorin_crt.pem root@ipsec1:/etc/ipsec.d/certs/		scp /etc/ipsec.d/certs/YC-NM_lesmorin_crt.pem root@ipsec1:/etc/ipsec.d/certs/

	~~'''Retenter la connexion lors d'un échec de résolution de nom DNS'''~~

	Lors du démarrage d'une machine avec l'option <source lang="ini" inline>auto=start</source>, le service ''strongwan'' fait appel au démon ''charon'' (IKE) pour initier la connexion. Le problème est que cet imbécile le fait avant que la partie réseau ne soit pleinement opérationnelle. On se tape donc une jolie erreur de résolution DNS et comme ce couillon s’arrête à la première erreur, rien ne se passe. Il faut donc lui dire de réessayer (toute les 30 secondes dans notre cas).
	~~vim /etc/strongswan.d/charon.conf~~
	~~À la ligne 208 au moment ou j’écris ceci~~
	~~retry_initiate_interval = 30~~
	~~'''Relancer le service'''~~
	~~systemctl restart strongswan.service~~
	==Connexion==		==Connexion==
	À faire sur l'un des deux serveurs. Si vous avez utilisé l'option <source lang="ini" inline>auto=start</source>, la connexion s'est initialisée d'elle même au redémarrage du démon. Dans le cas d'une option à <source lang="ini" inline>auto=add</source>, la commande suivante permet d'initier la connexion.		À faire sur l'un des deux serveurs. Si vous avez utilisé l'option <source lang="ini" inline>auto=start</source>, la connexion s'est initialisée d'elle même au redémarrage du démon. Dans le cas d'une option à <source lang="ini" inline>auto=add</source>, la commande suivante permet d'initier la connexion.
Ligne 190 :		Ligne 185 :
	'''Sur ipsec1'''		'''Sur ipsec1'''
	ping 10.254.254.253		ping 10.254.254.253

	'''Sur ipsec2'''		'''Sur ipsec2'''
	ping 10.254.254.254		ping 10.254.254.254
	À ce stade, c'est terminé. La partie suivante n'est que bonus.		À ce stade, c'est terminé. La partie suivante n'est que bonus.

			==Correction de problèmes==
			'''Retenter la connexion lors d'un échec de résolution de nom DNS'''

			Lors du démarrage d'une machine avec l'option <source lang="ini" inline>auto=start</source>, le service ''strongwan'' fait appel au démon ''charon'' (IKE) pour initier la connexion. Le problème est que cet imbécile le fait avant que la partie réseau ne soit pleinement opérationnelle. On se tape donc une jolie erreur de résolution DNS et comme ce couillon s’arrête à la première erreur, rien ne se passe. Il faut donc lui dire de réessayer (toute les 30 secondes dans notre cas).
			vim /etc/strongswan.d/charon.conf
			À la ligne 208 au moment ou j’écris ceci
			retry_initiate_interval = 30
			'''Relancer le service'''
			systemctl restart strongswan.service

	=Configuration d'un tunnel GRE=		=Configuration d'un tunnel GRE=
	Petit bonus, nous allons utiliser [[Open vSwitch]] pour monter un tunnel GRE entre nos deux serveurs, et ceux, dans le but d'y faire passer un lien trunk 802.1Q pour transporter nos VLAN.		Petit bonus, nous allons utiliser [[Open vSwitch]] pour monter un tunnel GRE entre nos deux serveurs, et ceux, dans le but d'y faire passer un lien trunk 802.1Q pour transporter nos VLAN.
Ligne 200 :		Ligne 207 :
	==Sur les deux serveurs==		==Sur les deux serveurs==
	apt install openvswitch-switch		apt install openvswitch-switch

	==Sur ipsec1==		==Sur ipsec1==
	ovs-vsctl --may-exist add-br br0		ovs-vsctl --may-exist add-br br0
	ovs-vsctl add-port br0 gre0 trunks=10,20,1000,1001,1002,1003,1004,1005,1006,1007,1008,1009 -- set interface gre0 type=gre options:remote_ip=10.254.254.253		ovs-vsctl add-port br0 gre0 trunks=10,20,1000,1001,1002,1003,1004,1005,1006,1007,1008,1009 -- set interface gre0 type=gre options:remote_ip=10.254.254.253

	==Sur ipsec2==		==Sur ipsec2==
	ovs-vsctl add-br br0		ovs-vsctl add-br br0
	ovs-vsctl add-port br0 gre0 trunks=10,20,1000,1001,1002,1003,1004,1005,1006,1007,1008,1009 -- set interface gre0 type=gre options:remote_ip=10.254.254.254		ovs-vsctl add-port br0 gre0 trunks=10,20,1000,1001,1002,1003,1004,1005,1006,1007,1008,1009 -- set interface gre0 type=gre options:remote_ip=10.254.254.254

	==Sur les clients==		==Sur les clients==
	Dé lors, vos machines virtuelles et vos conteneurs appartenant à l'un des VLAN du trunk GRE pourrons communiqué sur le même réseau sans passerelle à leurs paires via le tunnel IPSec. Un seul bémol au tableau, il faut modifier le MTU des interfaces réseau de ces éléments pour qu'ils puissent communiquer (sinon seul le ''ping'' passe - c'est un peu limitant je dois dire).		Dé lors, vos machines virtuelles et vos conteneurs appartenant à l'un des VLAN du trunk GRE pourrons communiqué sur le même réseau sans passerelle à leurs paires via le tunnel IPSec. Un seul bémol au tableau, il faut modifier le MTU des interfaces réseau de ces éléments pour qu'ils puissent communiquer (sinon seul le ''ping'' passe - c'est un peu limitant je dois dire).

Ycharbi : Modification des directives auto=add en auto=start + ajout du charon.conf + partie sur le MTU.

2018-03-07T15:29:00Z

Modification des directives auto=add en auto=start + ajout du charon.conf + partie sur le MTU.

← Version précédente		Version du 7 mars 2018 à 17:29
Ligne 58 :		Ligne 58 :
	rightid=@lesmorin		rightid=@lesmorin
	rightcert=YC-NM_lesmorin_crt.pem		rightcert=YC-NM_lesmorin_crt.pem
	auto=~~add~~		auto=start
	</source>		</source>

Ligne 122 :		Ligne 122 :
	rightid=@ycharbi		rightid=@ycharbi
	rightcert=YC-NM_ycharbi_crt.pem		rightcert=YC-NM_ycharbi_crt.pem
	auto=~~add~~		auto=start
	</source>		</source>

Ligne 144 :		Ligne 144 :
	scp /etc/ipsec.d/certs/YC-NM_lesmorin_crt.pem root@ipsec1:/etc/ipsec.d/certs/		scp /etc/ipsec.d/certs/YC-NM_lesmorin_crt.pem root@ipsec1:/etc/ipsec.d/certs/

			'''Retenter la connexion lors d'un échec de résolution de nom DNS'''

			Lors du démarrage d'une machine avec l'option <source lang="ini" inline>auto=start</source>, le service ''strongwan'' fait appel au démon ''charon'' (IKE) pour initier la connexion. Le problème est que cet imbécile le fait avant que la partie réseau ne soit pleinement opérationnelle. On se tape donc une jolie erreur de résolution DNS et comme ce couillon s’arrête à la première erreur, rien ne se passe. Il faut donc lui dire de réessayer (toute les 30 secondes dans notre cas).
			vim /etc/strongswan.d/charon.conf
			À la ligne 208 au moment ou j’écris ceci
			retry_initiate_interval = 30
			'''Relancer le service'''
			systemctl restart strongswan.service
	==Connexion==		==Connexion==
	À faire sur l'un des deux serveurs.		À faire sur l'un des deux serveurs. Si vous avez utilisé l'option <source lang="ini" inline>auto=start</source>, la connexion s'est initialisée d'elle même au redémarrage du démon. Dans le cas d'une option à <source lang="ini" inline>auto=add</source>, la commande suivante permet d'initier la connexion.

	'''Initier la connexion bilatérale'''		'''Initier la connexion bilatérale'''
Ligne 198 :		Ligne 206 :
	ovs-vsctl add-br br0		ovs-vsctl add-br br0
	ovs-vsctl add-port br0 gre0 trunks=10,20,1000,1001,1002,1003,1004,1005,1006,1007,1008,1009 -- set interface gre0 type=gre options:remote_ip=10.254.254.254		ovs-vsctl add-port br0 gre0 trunks=10,20,1000,1001,1002,1003,1004,1005,1006,1007,1008,1009 -- set interface gre0 type=gre options:remote_ip=10.254.254.254
			==Sur les clients==
			Dé lors, vos machines virtuelles et vos conteneurs appartenant à l'un des VLAN du trunk GRE pourrons communiqué sur le même réseau sans passerelle à leurs paires via le tunnel IPSec. Un seul bémol au tableau, il faut modifier le MTU des interfaces réseau de ces éléments pour qu'ils puissent communiquer (sinon seul le ''ping'' passe - c'est un peu limitant je dois dire).

			'''Dans chaque MV ou conteneur'''
			vim /etc/network/interfaces
			<source lang="bash">
			auto eth0
			iface eth0 inet static
			address 10.10.0.1
			netmask 255.255.255.248
			gateway 10.10.0.6
			up ip link set $IFACE mtu 1368
			</source>
			''Bien que ce caractéristique soit censé être géré par le protocole PMTUD, je n'ai pas réussi à le faire fonctionner dans cette installation. On est donc obligé de ce faire chier de la sorte (bon courage avec l'IOT...). À améliorer donc...''

	=Sources=		=Sources=

Ycharbi : Phrase non terminé (pressé d'aller manger :D)

2017-12-23T19:35:41Z

Phrase non terminé (pressé d'aller manger :D)

← Version précédente		Version du 23 décembre 2017 à 21:35
Ligne 186 :		Ligne 186 :
	À ce stade, c'est terminé. La partie suivante n'est que bonus.		À ce stade, c'est terminé. La partie suivante n'est que bonus.
	=Configuration d'un tunnel GRE=		=Configuration d'un tunnel GRE=
	Petit bonus, nous allons utiliser [[Open vSwitch]] pour monter un tunnel GRE entre nos deux ~~serveur~~, dans le but d'y faire passer un lien trunk 802.1Q pour transporter nos VLAN.		Petit bonus, nous allons utiliser [[Open vSwitch]] pour monter un tunnel GRE entre nos deux serveurs, et ceux, dans le but d'y faire passer un lien trunk 802.1Q pour transporter nos VLAN.

			Cette partie peut vous être utile si vous voulez utiliser nos documentations sur [[Open_vSwitch#LXC_dans_des_VLAN\|LXC]] et [[Qemu#Script_r.C3.A9seau\|QEMU]] dans des VLAN.

	~~Cette partie peut vous être utile si vous voulez utiliser nos documentations~~
	==Sur les deux serveurs==		==Sur les deux serveurs==
	apt install openvswitch-switch		apt install openvswitch-switch

Ycharbi le 23 décembre 2017 à 19:32

2017-12-23T19:32:27Z

Voir les modifications

Ycharbi : Page créée avec « Category:vpn {{chantier}} ''Expliquer chaque sections.'' Strongswan est une implémentation du protocole IPSec sous Linux. Nous utilisons ce type de tunnel pour la [... »

2017-12-12T15:02:31Z

Page créée avec « Category:vpn {{chantier}} ''Expliquer chaque sections.'' Strongswan est une implémentation du protocole IPSec sous Linux. Nous utilisons ce type de tunnel pour la [... »

Nouvelle page

[[Category:vpn]]

{{chantier}}
''Expliquer chaque sections.''

Strongswan est une implémentation du protocole IPSec sous Linux. Nous utilisons ce type de tunnel pour la [[MariaDB - Réplication master-master|réplication des bases de données]] entre nos deux Wiki: https://doc.ycharbi.fr et https://doc.lesmorin.fr.

Nous documenterons la mise en place de ce type de VPN dans le but d'y faire passer un lien trunk sur tunnel GRE avec [[Open vSwitch]]. Dans chacune des explications, nous partons du principe que deux serveurs derrière un NAT (le cas concret d'Internet avec IPv4) veulent se connecter ensemble.

=Connexion par PKI=
Dans cette section, nous allons voir comment utiliser une paire de clés publique/privée pour la connexion au VPN.

==Installation des paquets==
apt install strongswan strongswan-pki openvswitch-switch

==Sur le serveur 1==
'''Création des clés'''
ipsec pki --gen --type ecdsa --outform pem --size 521 > /etc/ipsec.d/private/YC-NM_ycharbi_key.pem
ipsec pki --self -t ecdsa --in /etc/ipsec.d/private/YC-NM_ycharbi_key.pem --outform pem --lifetime 3650 --dn
"CN=YC-NM_ycharbi_crt" > /etc/ipsec.d/certs/YC-NM_ycharbi_crt.pem
'''Configuration de la connexion'''
vim /etc/ipsec.conf
<source lang="ini">
conn %default
ikelifetime=60m
keylife=20m
rekeymargin=3m
keyingtries=1
keyexchange=ikev2
mobike=no

conn YC-NM
ike=aes256gcm128-sha512-ecp521!
esp=aes256gcm128-sha512-ecp521!
left=192.168.1.200
leftsubnet=10.254.254.254/32
leftid=@ycharbi
leftcert=YC-NM_ycharbi_crt.pem
leftfirewall=yes
right=vpn.lesmorin.fr
rightsubnet=10.254.254.253/32
rightid=@lesmorin
rightcert=YC-NM_lesmorin_crt.pem
auto=add
</source>

'''Ajout d'une ACL pour la connexion'''
vim /etc/ipsec.secret
@lesmorin @ycharbi : ECDSA /etc/ipsec.d/private/YC-NM_lesmorin_key.pem
'''Configuration de l'interface réseau'''
<source lang="bash">
allow-hotplug vlan2
iface vlan2 inet static
address 192.168.1.200
netmask 255.255.255.0
gateway 192.168.1.1
up ip addr add 10.254.254.254 dev vlan2
up ip route add 10.254.254.253/32 dev vlan2 src 10.254.254.254 || true
up service isc-dhcp-server restart || true
down ip route del 10.254.254.253/32 dev vlan2 src 10.254.254.254 || true
down ip addr del 10.254.254.254 dev vlan2
</source>
''Ces paramètres sont à ajouter dans la section de l'interface physique de sortie de votre serveur''

Strongswan - Historique des versions

Ycharbi : Ajout du support d'ed25519 + suppression d'un doublon dans les sources.

Ycharbi : /* Sur les clients */ Ajout de la résolution pour les MTU.

Ycharbi : Aération du code + réagencement d'une section + correction erreur interface (ens3 -> eth0) + modification de 2 params ipsec.conf + correction ipsec.secrets ipsec1.

Ycharbi : Modification des directives auto=add en auto=start + ajout du charon.conf + partie sur le MTU.

Ycharbi : Phrase non terminé (pressé d'aller manger :D)