💊 💭 🚦 IPSec सर्वशक्तिमान 💑 🤦🏼 🔼

शुभ दोपहर मित्रों। यह कोई रहस्य नहीं है कि हम में से बहुत से लोग कम से कम एक बार हैं, लेकिन वीपीएन को कॉन्फ़िगर करने की आवश्यकता से निपटना पड़ा है। हैबर के एक सक्रिय पाठक होने के नाते, मैंने देखा कि IPSec के बारे में लेखों की प्रचुरता के बावजूद, कई लोगों के लिए यह अभी भी कुछ जटिल और अतिभारित लगता है। इस लेख में मैं एक उदाहरण के रूप में अपने स्वयं के पूरी तरह से काम कर रहे कॉन्फ़िगरेशन का उपयोग करके इन मिथकों को दूर करने की कोशिश करूंगा। चार उदाहरणों में, हम पूरी तरह से सबसे लोकप्रिय लिनक्स (स्ट्रॉन्गेवान) समाधान के विन्यास से गुजरेंगे, एक साधारण सुरंग से जिसमें पीएसके कुंजी के साथ साइड-ऑथेंटिकेशन के साथ एक होस्ट-टू-होस्ट कनेक्शन है जो लेट्स एनक्रिप्ट से प्रमाण पत्र के आधार पर दोनों पक्षों के प्रमाणीकरण के साथ है। दिलचस्प? बिल्ली के लिए आपका स्वागत है!

पृष्ठभूमि

प्रारंभ में, वीपीएन को केवल माता-पिता और घर के "बेडसाइड" सर्वर के मिनी-राउटर के बीच चैनल के संगठन के लिए योजनाबद्ध किया गया था, जो समवर्ती रूप से एक राउटर के रूप में कार्य करता है।

थोड़े समय के बाद, दो उपकरणों से इस कंपनी में कीनेटिक को जोड़ा गया।
लेकिन एक बार शुरू करने के बाद, इसे रोकना मुश्किल हो गया, और जल्द ही फोन और एक लैपटॉप आरेख पर दिखाई दिया, जो MT_Free और अन्य अनएन्क्रिप्टेड वाईफाई नेटवर्क के सभी-देखने वाले विज्ञापन आंख से छिपाना चाहते थे।

तब प्यारे आईएलवी को आखिरकार बाथमेर को और अधिक मजबूत किया गया, जिसे वह अविश्वसनीय रूप से सभी दिशाओं में सार्वजनिक रूप से झूलते हुए प्यार में गिर गया, और केवल नश्वर लोगों के लिए अपनी चिंता को बेअसर करने के लिए, उन्हें विदेश में वीपीएस हासिल करने के लिए ~~विदेशी आईटी क्षेत्र~~ का ~~समर्थन करना~~ पड़ा ।
इसके अलावा, एक निश्चित नागरिक जो शापोकिलक की तरह दिखता ~~है,~~ पैकेज ~~द्वारा~~ उसके रेटिकुल के साथ हर जगह घूम रहा है , और शायद यह विश्वास करता है कि "कौन लोगों की मदद करता है, समय बर्बाद कर रहा है। आप अच्छे कामों के लिए प्रसिद्ध नहीं हो सकते हैं, “मैं चुपके से किसी और के ट्रैफ़िक में झांकना चाहता था और उसे पेंसिल में ले जाना चाहता था। हमें इस मामले में इस तरह के अनचाहे प्यार और वीपीएन के खिलाफ खुद का बचाव करना होगा।

संक्षेप में संक्षेप में बताएं। यह एक समाधान खोजने के लिए आवश्यक था जो आदर्श रूप से एक साथ कई कार्यों को बंद कर सके:

लिनक्स राउटर के बीच इंटरकनेक्ट
लिनक्स और कीनेटिक घरेलू के बीच एक सुरंग का निर्माण
अविश्वसनीय संसाधनों से घर के संसाधनों और पहनने योग्य उपकरणों (टेलीफोन, लैपटॉप) को इंटरनेट की सुविधा दें
दूरस्थ VPS के लिए सुरक्षित रूप से एन्क्रिप्टेड सुरंग बनाएं

अद्भुत KISS सिद्धांत के बारे में भूल न करें - यह बेवकूफ सरल रखें,। कम घटक शामिल होंगे और उनमें से प्रत्येक को कॉन्फ़िगर करना जितना आसान होगा - उतना ही विश्वसनीय।

मौजूदा समाधानों का अवलोकन

संक्षेप में अब क्या है: सभी प्रोटोकॉल के

PPTP

दादाजी लेनिन। मर गया, "मोल्ड और लिंडन शहद पर क्षय।"

L2TP

क्या कोई भी लेकिन एक प्रदाता इसका उपयोग करता है?

वायरगार्ड

परियोजना विकसित हो रही है। सक्रिय रूप से आरी। एक स्थिर आईपी वाले दो साथियों के बीच एक सुरंग बनाना आसान है। अन्य मामलों में, चौकोर पहियों के साथ बैसाखी, साइकिल और एक नीले बिजली के टेप मदद के लिए हमेशा तैयार रहते हैं, लेकिन यह हमारा तरीका नहीं है।

OpenVPN

पेशेवरों:

कई प्लेटफार्मों के लिए समर्थन - विंडोज, लिनक्स, ओपनडब्ल्यूआरटी और इसके डेरिवेटिव, एंड्रॉइड
मजबूत एन्क्रिप्शन और सर्टिफिकेट सपोर्ट।
अनुकूलन की लचीलापन।

और विपक्ष:

पूरी तरह से उपयोगकर्ता-अंतरिक्ष में काम करते हैं।
होम रूटर्स से सीमित समर्थन - मिकरोटिक (ग्रंथियों के अन्य लाभों से अलग किए बिना) पर क्रैनेंको-कोसेन्को और ओपनडब्ल्यूआरटी में सामान्य।
मोबाइल ग्राहकों को स्थापित करने में कठिनाई: आपको अपने इंस्टॉलर को डाउनलोड करने या बनाने की आवश्यकता है, कहीं न कहीं कॉन्फ़िगरेशन की प्रतिलिपि बनाएँ।
यदि कई सुरंगें हैं, तो सर्वर पर एडिटिंग सिस्टमड यूनिट्स के साथ नृत्य का इंतजार किया जाता है।

OpenConnect (सिस्को Anyconnect प्रोटोकॉल का ओपन-सोर्स कार्यान्वयन)
जिसके बारे में एक बहुत ही दिलचस्प समाधान, दुर्भाग्य से, बहुत कम जानकारी है।

पेशेवरों:

विभिन्न प्लेटफार्मों के लिए अपेक्षाकृत व्यापक समर्थन - विंडोज, एंड्रॉइड, मैक जो स्टोर से सिस्को एनीकोनेक्ट देशी एप्लिकेशन पर आधारित है - पहनने योग्य उपकरणों के आंतरिक नेटवर्क तक पहुंच प्रदान करने के लिए एक आदर्श विकल्प है।
मजबूत एन्क्रिप्शन, सर्टिफिकेट सपोर्ट, 2FA कनेक्टिविटी
प्रोटोकॉल स्वयं पूरी तरह से टीएलएस-आधारित है (ओपनवीपीएन के विपरीत, जो आसानी से पोर्ट 443 पर पाया जाता है)। टीएलएस के अलावा, डीटीएलएस भी समर्थित है - स्थापित सत्र के दौरान, ग्राहक यूडीपी के माध्यम से डेटा संचारित करने के लिए स्विच कर सकता है और इसके विपरीत।
एक वीपीएन और स्निप्रोसी का उपयोग करते हुए एक पूर्ण वेब सर्वर दोनों के एक बंदरगाह पर उत्कृष्ट सह-अस्तित्व।
सर्वर और क्लाइंट दोनों को कॉन्फ़िगर करना आसान है।

यहाँ, बिना विपक्ष के भी नहीं थे:

पूरी तरह से उपयोगकर्ता-अंतरिक्ष में काम करते हैं।
टीसीपी के शीर्ष पर टीसीपी एक बुरा विचार है।
ग्राहक-ग्रेड उपकरण से कोई समर्थन नहीं है।
दो लिनक्स के बीच सुरंगों को स्थापित करने की जटिलता: सैद्धांतिक रूप से संभव है, व्यावहारिक रूप से - कुछ अधिक उपयोगी पर समय बिताना बेहतर है।
यदि कई सुरंगें हैं, तो कई विन्यास और संपादन सिस्टमड इकाइयों के साथ नृत्य इंतज़ार कर रहे हैं।

यह एक मृत अंत की तरह प्रतीत होगा, लेकिन थोड़ा समय लेने और अध्ययन करने में थोड़ा समय बिताने के बाद, मुझे एहसास हुआ कि IKEv2 पर आधारित IPSec बाकी सभी चीजों को बदलने में सक्षम है।

IKEv2 IPSEC

पेशेवरों:

IKEv2 के आगमन के साथ, पिछले संस्करण की तुलना में प्रोटोकॉल खुद को कॉन्फ़िगर करना आसान हो गया है, लेकिन आवक अनुकूलता खोने की कीमत पर।
मानकीकरण के लिए धन्यवाद, काम कहीं भी और किसी भी चीज पर प्रदान किया जाता है - सूची को अनिश्चित काल तक बनाए रखा जा सकता है। लिनक्स, मिकरोटिक (राउटरओएस के नवीनतम संस्करणों में), ओपनडब्ल्यूआरटी, एंड्रॉइड, आईफोन। विंडोज में विंडोज 7 के साथ देशी समर्थन भी शुरू है।
उच्च गति: ट्रैफ़िक प्रोसेसिंग पूरी तरह से कर्नेल-स्पेस में। कनेक्शन पैरामीटर सेट करने और चैनल के स्वास्थ्य की निगरानी के लिए उपयोगकर्ता-अंतरिक्ष भाग की आवश्यकता है।
कई प्रमाणीकरण विधियों का उपयोग करने की क्षमता: PSK और प्रमाण पत्र दोनों का उपयोग कर, और किसी भी संयोजन में।
कई ऑपरेटिंग मोड: सुरंग और परिवहन। वे कैसे अलग हो सकते हैं, जिसमें हेबे शामिल हैं।
मध्यवर्ती नोड्स के लिए अनअटेंडेडिंग सेटिंग्स: यदि आईकेई के पहले संस्करण में एनएटी के कारण समस्याएं थीं, तो आईकेईवी 2 में एनएटी और मैसेज के देशी विखंडन पर काबू पाने के लिए अंतर्निहित तंत्र हैं, जो आपको एमटीयू वक्र के साथ चैनलों से संबंध स्थापित करने की अनुमति देता है। आगे देखते हुए, मैं कहता हूं कि व्यवहार में मैंने कभी भी वाईफाई नेटवर्क का सामना नहीं किया है, जहां कोई क्लाइंट कनेक्शन स्थापित कर सकता है।

विपक्ष, हालांकि, यह भी है:

आपको अध्ययन और समझने में कुछ समय बिताना होगा कि यह कैसे काम करता है।
एक सुविधा जो एक नौसिखिया को भ्रमित कर सकती है: IPSec, पारंपरिक वीपीएन समाधानों के विपरीत, नेटवर्क इंटरफेस नहीं बनाता है। केवल ट्रैफ़िक प्रसंस्करण नीतियां निर्धारित की जाती हैं, बाकी सब कुछ फ़ायरवॉल के माध्यम से हल किया जाता है।

सेटअप के साथ आगे बढ़ने से पहले, हम मानते हैं कि पाठक पहले से ही बुनियादी अवधारणाओं और शर्तों से थोड़ा परिचित है। एक शुरुआत में मदद करने के लिए, आप खुद विकिपीडिया और हैबर से एक लेख की सिफारिश कर सकते हैं , जिस पर इस विषय पर पहले से ही काफी दिलचस्प और उपयोगी लेख हैं।

उठना शुरू हो गया

निर्णय लेने के बाद, हम कॉन्फ़िगरेशन के लिए आगे बढ़ते हैं। मेरे मामले में नेटवर्क आरेख में निम्न रूप है (स्पॉइलर के तहत हटा दिया गया है)

नेटवर्क आरेख

ipsecgw.example.com होम सर्वर है जो नेटवर्क का केंद्र है। बाहरी आईपी 1.1.1.1। एक आंतरिक नेटवर्क 10.0.0.0/23 और दूसरा पता 10.255.255.1/30 वीपीएस के साथ एक निजी बीजीपी सत्र की स्थापना के लिए;
माँ माता-पिता द्वारा स्थापित एक छोटे, मूक जाल पर आधारित एक लिनक्स राउटर है। आईएसपी एक गतिशील आईपी पता जारी करता है। आंतरिक नेटवर्क 10.0.3.0/24;
कीनेटिक - IPSec के साथ कीनेटिक राउटर स्थापित। आईएसपी एक गतिशील आईपी पता जारी करता है। आंतरिक नेटवर्क 10.0.4.0/24;
सड़क-योद्धाओं - अविश्वसनीय उपकरणों से कनेक्ट होने वाले पोर्टेबल डिवाइस। आंतरिक पूल (10.1.1.0/24) से कनेक्ट होने पर गतिशील रूप से क्लाइंट को पते जारी किए जाते हैं;
rkn.example.com- सम्मानित आईएलवी के अधिकार क्षेत्र के बाहर वीपीएस। बाहरी आईपी - 5.5.5.5, निजी बीजीपी सत्र की स्थापना के लिए आंतरिक पता 10.255.255.2/30।

पहला कदम। सरल से जटिल तक: पूर्व-साझा कुंजी (PSK) का उपयोग करके सुरंगें

दोनों लिनक्स-बॉक्स पर हम आवश्यक पैकेज स्थापित करते हैं:

sudo yum install strongswan

दोनों मेजबानों पर, बंदरगाहों को 500 / udp, 4500 / udp खोलें और ESP प्रोटोकॉल के पारित होने की अनुमति दें।
फ़ाइल को संपादित करें /etc/strongswan/ipsec.secrects (मेजबान पक्ष ipsecgw.example.com पर) और निम्न पंक्ति जोड़ें:

mama@router.home.local: PSK "Very strong PSK"

दूसरी तरफ, इसी तरह:

root@root.mama.local: PSK "Very strong PSK"

इस मामले में, आईडी एक काल्पनिक ईमेल पता है। अधिक जानकारी आधिकारिक विकि पर पाई जा सकती है ।

राज़ बच गया, आगे बढ़ते हुए।

Ipsecgw.example.com होस्ट पर, /etc/strongswan/ipsec.conf फ़ाइल संपादित करें:

config setup //   charon
    charondebug = "dmn 0, mgr 0, ike 0, chd 0, job 0, cfg 0, knl 0, net 0, asn 0, enc 0, lib 0, esp 0, tls 0, tnc 0, imc 0, imv 0, pts 0" //  
conn %default //    
    reauth = yes
    rekey = yes
    keyingtries = %forever
    keyexchange = ikev2 //      - IKEv2
    dpdaction = hold
    dpddelay = 5s // 5   DPD (Dead Peer Detection)   
    mobike = yes // Mobile IKE -     IP    
conn mama //  
    left = %defaultroute //Left -  .  %defaultroute       IKE- ,    default route
    right = %any //     IP-
    authby = psk //   -   
    leftid = mama@router.home.local // ID,   ipsec.secrets
    rightid = root@router.mama.local //ID  
    leftsubnet = 10.0.0.0/23,10.1.1.0/24 
    rightsubnet = 10.0.3.0/24
    type = tunnel 
    ike = aes256-aes192-aes128-sha256-sha384-modp2048-modp3072-modp4096-modp8192,aes128gcm16-sha384-x25519!
    esp = aes256-aes192-aes128-sha256-sha384-modp2048-modp3072-modp4096-modp8192,aes128gcm16-sha256-sha384-x25519! 
    auto = add //  charon

इसी तरह, हम दूरस्थ सहकर्मी /etc/strongswan/ipsec.conf पर संपादन करते हैं:

config setup
    charondebug = "dmn 0, mgr 0, ike 0, chd 0, job 0, cfg 0, knl 0, net 0, asn 0, enc 0, lib 0, esp 0, tls 0, tnc 0, imc 0, imv 0, pts 0"
conn %default
    reauth = yes
    rekey = yes
    keyingtries = %forever
    keyexchange = ikev2
    dpdaction = restart
    dpddelay = 5s
    mobike = yes
conn mama
    left = %defaultroute
    right = ipsecgw.example.com
    authby = psk
    leftid = root@router.mama.local
    rightid = mama@router.home.local
    leftsubnet = 10.0.3.0/24
    rightsubnet = 10.0.0.0/23,10.1.1.0/24
    type = tunnel
    ike = aes128gcm16-sha384-x25519!
    esp = aes128gcm16-sha384-x25519!
    auto = route

यदि आप कॉन्फ़िगरेशन की तुलना करते हैं, तो आप देख सकते हैं कि वे लगभग प्रतिबिंबित हैं, केवल साथियों की परिभाषाएं क्रॉस-एक्सचेंज की गई हैं। ऑटो = मार्ग

निर्देश ट्रैफ़िक को ट्रैफ़िक सेट करने के लिए ट्रैफ़िक को बाईं / राइटबनेट (ट्रैफ़िक चयनकर्ताओं) के निर्देशों में गिरने का कारण बनता है। सुरंग मापदंडों और प्रमुख विनिमय का समन्वय यातायात की उपस्थिति के तुरंत बाद शुरू होगा जो दिए गए शर्तों के तहत आता है। फ़ायरवॉल सेटिंग्स में ipsecgw.example.com सर्वर पर, हम 10.0.3.0/24 नेटवर्क के लिए मास्किंग करना प्रतिबंधित करते हैं। पैकेट को 10.0.0.0/23 और 10.0.3.0/24 के बीच और इसके विपरीत की अनुमति दें। दूरस्थ होस्ट पर, हम 10.0.0.0/23 नेटवर्क के लिए मास्किंग को अक्षम करके और अग्रेषण सेट करके समान सेटिंग्स करते हैं। हम दोनों सर्वरों पर फिर से शुरू करते हैं और केंद्रीय नोड को पिंग करने का प्रयास करते हैं:

sudo systemctl restart strongswan
ping 10.0.0.1

सुनिश्चित करें कि सब कुछ काम करता है:

sudo strongswan status
Security Associations (1 up, 0 connecting):
        mama[53]: ESTABLISHED 84 minutes ago, 1.1.1.1[mama@router.home.local]...2.2.2.2[root@router.mama.local]
        mama{141}:  INSTALLED, TUNNEL, reqid 27, ESP in UDP SPIs: c4eb45fe_i ca5ec6ca_o
        mama{141}:   10.0.0.0/23 10.1.1.0/24 === 10.0.3.0/24

यह सुनिश्चित करने के लिए भी उपयोगी होगा कि Make_before_break पैरामीटर हाँ /etc/strongswan/strongswan.d/charon.conf फ़ाइल में सभी साथियों के लिए सेट है। इस मामले में, IKEv2 प्रोटोकॉल की सेवा करने वाले चारोन डेमन प्रमुख सुरक्षा प्रक्रिया के दौरान वर्तमान सुरक्षा संघ को नहीं हटाएंगे, लेकिन पहले एक नया निर्माण करेंगे।

दूसरा चरण कीनेटिक की उपस्थिति

एक सुखद आश्चर्य आधिकारिक कीनेटिक फर्मवेयर में निर्मित IPSec वीपीएन था। इसे सक्रिय करने के लिए, बस कीनेटिकोज़ कंपोनेंट सेटिंग्स पर जाएं और IPSec वीपीएन पैकेज जोड़ें ।

हम केंद्रीय नोड पर सेटिंग्स तैयार करते हैं, इसके लिए:

संपादित करें /etc/strongswan/ipsec.secrects और नए पीर के लिए PSK जोड़ें:

keenetic@router.home.local: PSK "Keenetic+PSK"

/Etc/strongswan/ipsec.conf संपादित करें और अंत में दूसरा कनेक्शन जोड़ें:

conn keenetic
    left = %defaultroute
    right = %any
    authby = psk
    leftid = keenetic@router.home.local
    rightid = root@router.keenetic.local
    leftsubnet = 10.0.0.0/23
    rightsubnet = 10.0.4.0/24
    type = tunnel
    ike = aes256-aes192-aes128-sha256-sha384-modp2048-modp3072-modp4096-modp8192,aes128gcm16-sha384-x25519!
    esp = aes256-aes192-aes128-sha256-sha384-modp2048-modp3072-modp4096-modp8192,aes128gcm16-sha256-sha384-x25519!
    auto = add

कीनेटिक पक्ष पर, कॉन्फ़िगरेशन WebUI में पथ के साथ किया जाता है: इंटरनेट -> कनेक्शन ->
अन्य कनेक्शन । यह बहुत आसान है

(3 तस्वीरें)

यदि आप सुरंग के माध्यम से यातायात के महत्वपूर्ण संस्करणों को चलाने की योजना बनाते हैं, तो आप हार्डवेयर त्वरण को सक्षम करने का प्रयास कर सकते हैं, जो कई मॉडलों द्वारा समर्थित है। CLI में क्रिप्टो इंजन हार्डवेयर कमांड द्वारा सक्षम । सामान्य-उद्देश्य CPU निर्देशों का उपयोग करके एन्क्रिप्शन और हैशिंग प्रक्रियाओं को अक्षम और संसाधित करने के लिए - क्रिप्टो इंजन सॉफ़्टवेयर

सेटिंग्स को सहेजने के बाद, हम स्ट्रोंग्सवन को पुनर्स्थापित करते हैं और कीनेटिक को आधे मिनट के लिए सोचने देते हैं। तब टर्मिनल में हम एक सफल कनेक्शन देखते हैं:

सब कुछ काम कर रहा है:

sudo strongswan status
Security Associations (2 up, 0 connecting):
    keenetic[57]: ESTABLISHED 39 minutes ago, 1.1.1.1[keenetic@router.home.local]...3.3.3.3[root@router.keenetic.local]
    keenetic{146}:  INSTALLED, TUNNEL, reqid 29, ESP SPIs: ca8f556e_i ca11848a_o
    keenetic{146}:   10.0.0.0/23 === 10.0.4.0/24
        mama[53]: ESTABLISHED 2 hours ago, 1.1.1.1[mama@router.home.local]...2.2.2.2[root@router.mama.local]
        mama{145}:  INSTALLED, TUNNEL, reqid 27, ESP in UDP SPIs: c5dc78db_i c7baafd2_o
        mama{145}:   10.0.0.0/23 10.1.1.0/24 === 10.0.3.0/24

तीसरा कदम मोबाइल उपकरणों की सुरक्षा करना

मैनुअल का एक गुच्छा और लेखों के एक समूह को पढ़ने के बाद, ग्राहकों के लिए लॉगिन और पासवर्ड द्वारा सर्वर और क्लासिक प्राधिकरण को प्रमाणित करने के लिए लेट्स एनक्रिप्ट से मुक्त प्रमाण पत्र के एक गुच्छा पर रोकना तय किया गया था। इस प्रकार, हमें अपने पीकेआई बुनियादी ढांचे को बनाए रखने, चाबियों की समाप्ति की निगरानी करने और विश्वसनीय सूची में स्व-हस्ताक्षरित प्रमाण पत्र स्थापित करके मोबाइल उपकरणों के साथ अनावश्यक इशारों को करने की आवश्यकता से छुटकारा मिलता है।

लापता पैकेज स्थापित करें:

sudo yum install epel-release
sudo yum install certbot

हमें स्टैंडअलोन सर्टिफिकेट मिलता है (पहले iptables सेटिंग्स में 80 / tcp खोलने के लिए मत भूलना):

sudo certbot certonly --standalone -d ipsecgw.example.com

सर्बोट ने अपना काम पूरा करने के बाद, हमें अपने प्रमाण पत्र को देखने के लिए स्ट्रांगस्वान को सिखाना चाहिए:

निर्देशिका में /etc/strongswan/ipsec.d/cacerts 2 प्रतीकात्मक लिंक बनाते हैं: एक विश्वसनीय प्रमाण पत्र के मूल स्टोर में / etc / pki / tls / certs; और दूसरा नाम ca.pem के साथ /etc/letsencrypt/live/ipsecgw.example.com/chain.pem की ओर इशारा करता है
/Etc/strongswan/ipsec.d/certs निर्देशिका में दो सिमलिंक भी बनाए गए हैं: पहला, जिसका नाम certificate.pem है, फ़ाइल /etc/letsencrypt/live/ipsecgw .example.com/cert.pem को संदर्भित करता है। और दूसरा, fullchain.pem नाम, /etc/letsencrypt/live/ipsecgw.example.com/fullchain.pem से लिंक करना
/Etc/strongswan/ipsec.d/private निर्देशिका में, key.pem सिमिलिंक को सर्टिफिकेट द्वारा उत्पन्न निजी कुंजी की ओर इंगित करें और पथ /etc/letsencrypt/live/ipsecgw .example.com/privkey.pem के साथ लेटें।

RSA के माध्यम से ipsec.secrets में प्रमाणीकरण और नए उपयोगकर्ताओं के लिए लॉगिन / पासवर्ड का एक गुच्छा जोड़ें:

ipsecgw.example.com     : RSA key.pem
username phone          : EAP "Q1rkz*qt"
username notebook       : EAP "Zr!s1LBz"

हम स्ट्रांग्सवन को पुनः आरंभ करते हैं और सुडो स्ट्रॉन्ग्वन श्रोताओं को कॉल करते समय हमें प्रमाण पत्र की जानकारी देखनी चाहिए:

List of X.509 End Entity Certificates

  subject:  "CN=ipsecgw.example.com"
  issuer:   "C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3"
  validity:  not before May 23 19:36:52 2020, ok
             not after  Aug 21 19:36:52 2020, ok (expires in 87 days)
  serial:    04:c7:70:9c:a8:ce:57:cc:bf:6f:cb:fb:d3:a9:cf:06:b0:a8
  altNames:  ipsecgw.example.com
  flags:     serverAuth clientAuth
  OCSP URIs: http://ocsp.int-x3.letsencrypt.org
  certificatePolicies:
             2.23.140.1.2.1
             1.3.6.1.4.1.44947.1.1.1
             CPS: http://cps.letsencrypt.org

फिर हम ipsec.conf में नए कनेक्शन का वर्णन करते हैं :

conn remote-access
    dpddelay = 30s //   DPD ,     
    left = %defaultroute
    leftid = "CN=ipsecgw.example.com"
    leftcert = fullchain.pem //         
    leftsendcert = always
    leftsubnet = 0.0.0.0/0 //      
    right = %any
    rightid = %any
    rightauth = eap-mschapv2 // ,  EAP-MSCHAP2
    rightsendcert = never
    eap_identity = %identity 
    rightsourceip = 10.1.1.0/24 //Strongswan       
    rightdns = 10.0.0.1,10.0.0.3 //   DNS
    type = tunnel
    ike = aes256-aes192-aes128-sha256-sha384-modp2048-modp3072-modp4096-modp8192,aes128gcm16-sha384-x25519!
    esp = aes256-aes192-aes128-sha256-sha384-modp2048-modp3072-modp4096-modp8192,aes128gcm16-sha256-sha384-x25519!
    auto = add //      
    dpdaction = restart // ,      DPD

फ़ाइल / etc / sysconfig / certbot को यह बताना न भूलें कि हम प्रमाणपत्र को स्टैंडअलोन के रूप में भी अपडेट करेंगे, CERTBOT_ARGS = "- स्टैंडअलोन" को इसमें जोड़ दें।

इसके अलावा, नए सर्टिफिकेट जारी करने के मामले में सर्टिफिकेशन-रिन्यूएट.टाइमर टाइमर को चालू करने और स्ट्रॉन्ग्सन को फिर से चालू करने के लिए हुक सेट करना न भूलें। ऐसा करने के लिए, या तो / etc / letencrypt / नवीकरण-हुक / परिनियोजन में एक सरल बैश स्क्रिप्ट रखें, या / etc / sysconfig / certbot फ़ाइल को फिर से संपादित करें।

हम स्ट्रोंगस्वान को फिर से शुरू करते हैं, 10.1.1.0/24 नेटवर्क के लिए आईपीटैबल्स में जीतना चालू करते हैं और मोबाइल उपकरणों को कॉन्फ़िगर करने के लिए चलते हैं।

एंड्रॉयड

Google Play से सशक्त एप्लिकेशन इंस्टॉल करें ।

हम लॉन्च करते हैं और एक नया निर्माण करते हैं

प्रोफ़ाइल

हम प्रोफ़ाइल को सहेजते हैं, कनेक्ट करते हैं और एक सेकंड के बाद, हमें किसी के बारे में चिंता करने की ज़रूरत नहीं है, जो हमें जासूसी करने में सक्षम बनाता है।

हम जाँच:

sudo strongswan statusall
Security Associations (3 up, 0 connecting):
remote-access[109]: ESTABLISHED 2 seconds ago, 1.1.1.1[CN=ipsecgw.example.com]...4.4.4.4[phone]
remote-access{269}:  INSTALLED, TUNNEL, reqid 55, ESP in UDP SPIs: c706edd1_i e5c12f1d_o
remote-access{269}:   0.0.0.0/0 ::/0 === 10.1.1.1/32
        mama[101]: ESTABLISHED 34 minutes ago, 1.1.1.1[mama@router.home.local]...2.2.2.2[root@router.mama.local]
        mama{265}:  INSTALLED, TUNNEL, reqid 53, ESP in UDP SPIs: c8c83342_i c51309db_o
        mama{265}:   10.0.0.0/23 10.1.1.0/24 === 10.0.3.0/24
    keenetic[99]: ESTABLISHED 36 minutes ago, 1.1.1.1[keenetic@router.home.local]...3.3.3.3[root@router.keenetic.local]
    keenetic{263}:  INSTALLED, TUNNEL, reqid 52, ESP SPIs: c3308f33_i c929d6f1_o
    keenetic{263}:   10.0.0.0/23 === 10.0.4.0/24

खिड़कियाँ

वर्तमान संस्करणों के विंडोज को सुखद आश्चर्य हुआ। नए वीपीएन का सभी कॉन्फ़िगरेशन दो पावरस्ले cmdlets को कॉल करके होता है:

Add-VpnConnection -Name "IKEv2" -ServerAddress ipsecgw.example.com -TunnelType "IKEv2"
Set-VpnConnectionIPsecConfiguration -ConnectionName "IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES128 -EncryptionMethod AES128 -IntegrityCheckMethod SHA256 -PfsGroup PFS2048 -DHGroup Group14 -PassThru -Force

और एक और बात, अगर स्ट्रांगस्वान को ग्राहकों के लिए आईपीवी 6 पते जारी करने के लिए कॉन्फ़िगर किया गया है (हाँ, वह ऐसा कर सकता है):

Add-VpnConnectionRoute -ConnectionName "IKEv2" -DestinationPrefix "2000::/3"

भाग चार, अंतिम। हमने यूरोप के लिए एक खिड़की काट दी

प्रदाता के स्टब्स को देखने के बाद, "बोगोज़बायट काउंटी के गांव ट्रुडोये मोज़ोली के पांचवें डिप्टी प्रॉसीक्यूटर के बाईं एड़ी के फैसले से साइट को अवरुद्ध कर दिया गया", एक छोटा, अगोचर वीपीएस दिखाई दिया (अच्छी तरह से लगने वाले डोमेन नाम rkn.example.com के साथ) एक हज़ार बंदरों से, जिन्हें एक बैनामर और ब्लॉक के साथ तरंग पसंद है। / 16 एक बार में। और इस छोटे VPS पर कताई NIC.CZ से BIRD नामक सहकर्मियों की अद्भुत रचना थी। पहले संस्करण के पक्षी लगातार बैटन के साथ बंदरों की गतिविधि से दहशत में मर गए, जिन्होंने अपनी श्रम गतिविधि के चरम पर लगभग 4% इंटरनेट पर प्रतिबंध लगा दिया, जो कि पुन: संयोजन के दौरान गहन विचारशीलता के लिए छोड़कर, इसलिए इसे 2.0.7 संस्करण में अद्यतन किया गया था। यदि पाठक रुचि रखते हैं, तो मैं BIRD से BIRD2 में परिवर्तन पर एक लेख प्रकाशित करूंगा, जिसमें कॉन्फ़िगरेशन प्रारूप नाटकीय रूप से बदल गया है,लेकिन नया संस्करण बहुत तेज हो गया है और बड़ी संख्या में मार्गों के साथ पुन: कॉन्फ़िगर करने में कोई समस्या नहीं है। और जब से हम डायनेमिक रूटिंग प्रोटोकॉल का उपयोग करते हैं, तब एक नेटवर्क इंटरफ़ेस होना चाहिए, जिसके माध्यम से आपको ट्रैफ़िक को रूट करना होगा। डिफ़ॉल्ट रूप से, IPSec इंटरफेस नहीं बनाता है, लेकिन इसके लचीलेपन के कारण, हम क्लासिक GRE सुरंगों का उपयोग कर सकते हैं, जिन्हें हम भविष्य में संरक्षित करेंगे। एक बोनस के रूप में, ipsecgw.example.com और rkn.example.com मेज़बान एक-दूसरे को Lets Encrypt आत्म-नवीनीकरण प्रमाणपत्र का उपयोग करके प्रमाणित करेंगे। कोई पीएसके, केवल प्रमाण पत्र, केवल कट्टर, बहुत सुरक्षा नहीं है।डिफ़ॉल्ट रूप से, IPSec इंटरफेस नहीं बनाता है, लेकिन इसके लचीलेपन के कारण, हम क्लासिक GRE सुरंगों का उपयोग कर सकते हैं, जिन्हें हम भविष्य में संरक्षित करेंगे। एक बोनस के रूप में, ipsecgw.example.com और rkn.example.com मेज़बान एक-दूसरे को Lets Encrypt आत्म-नवीनीकरण प्रमाणपत्र का उपयोग करके प्रमाणित करेंगे। कोई पीएसके, केवल प्रमाण पत्र, केवल कट्टर, बहुत सुरक्षा नहीं है।डिफ़ॉल्ट रूप से, IPSec इंटरफेस नहीं बनाता है, लेकिन इसके लचीलेपन के कारण, हम क्लासिक GRE सुरंगों का उपयोग कर सकते हैं, जिन्हें हम भविष्य में संरक्षित करेंगे। एक बोनस के रूप में, ipsecgw.example.com और rkn.example.com मेज़बान एक-दूसरे को Lets Encrypt आत्म-नवीनीकरण प्रमाणपत्र का उपयोग करके प्रमाणित करेंगे। कोई पीएसके, केवल प्रमाण पत्र, केवल कट्टर, बहुत सुरक्षा नहीं है।

हम मानते हैं कि वीपीएस तैयार किया गया है, स्ट्रॉन्गेस्वान और सर्बोट पहले से ही स्थापित हैं।

Ipsecgw.example.com होस्ट पर (इसका IP 1.1.1.1 है), हम नए gif0 इंटरफ़ेस का वर्णन करते हैं:

sudo vi /etc/sysconfig/network-scripts/ifcfg-gif0
DEVICE="gif0"
MY_OUTER_IPADDR="1.1.1.1"
PEER_OUTER_IPADDR="5.5.5.5"
MY_INNER_IPADDR="10.255.255.1/30"
PEER_INNER_IPADDR="10.255.255.2/30"
TYPE="GRE"
TTL="64"
MTU="1442"
ONBOOT="yes"

होस्ट vps.example.com पर प्रतिबिंबित (इसका IP 5.5.5.5 है):

sudo vi /etc/sysconfig/network-scripts/ifcfg-gif0
DEVICE="gif0"
MY_OUTER_IPADDR="5.5.5.5"
PEER_OUTER_IPADDR="1.1.1.1"
MY_INNER_IPADDR="10.255.255.2/30"
PEER_INNER_IPADDR="10.255.255.1/30"
TYPE="GRE"
TTL="64"
MTU="1442"
ONBOOT="yes"

हम इंटरफेस बढ़ाते हैं, लेकिन चूंकि iptables में एक नियम नहीं है जो GRE प्रोटोकॉल की अनुमति देता है, ट्रैफ़िक नहीं जाएगा (जो हमें चाहिए, क्योंकि किसी भी प्रकार के विधायी "पैकेज" के प्रशंसकों के खिलाफ GRE के अंदर कोई सुरक्षा नहीं है)।

पाक कला वी.पी.एस.

सबसे पहले, हमें डोमेन नाम rkn.example.com के लिए एक और प्रमाणपत्र मिलता है। पिछले अनुभाग में वर्णित के रूप में /etc/strongswan/ipsec.d में सीमलिंक बनाएं।

Ipsec.secrets को इसमें एक पंक्ति जोड़कर संपादित करें:

rkn.example.com     : RSA key.pem

Ipsec.conf संपादित करें:

config setup
    charondebug = "dmn 0, mgr 0, ike 0, chd 0, job 0, cfg 0, knl 0, net 0, asn 0, enc 0, lib 0, esp 0, tls 0, tnc 0, imc 0, imv 0, pts 0"
    strictcrlpolicy = yes
conn %default
    reauth = yes
    rekey = yes
    keyingtries = %forever
    keyexchange = ikev2
    dpdaction = restart
    dpddelay = 5s
    mobike = yes
conn rkn
    left = %defaultroute
    right = ipsecgw.example.com
    authby = pubkey
    leftcert = fullchain.pem
    leftsendcert = always
    leftauth = pubkey
    rightauth = pubkey
    leftid = "CN=rkn.example.com"
    rightid = "CN=ipsecgw.example.com"
    rightrsasigkey = /etc/strongswan/ipsec.d/certs/ipsecgw.example.com.pem
    leftsubnet = %dynamic
    rightsubnet = %dynamic
    type = transport
    ike = aes256gcm16-sha384-x25519!
    esp = aes256gcm16-sha384-x25519!
    auto = route

होस्ट की ओर, ipsecgw.example.com को सेटअप अनुभाग में ipsec.conf में भी जोड़ा जाता है, जो कि कड़े सर्कोलस्पाई = हां पैरामीटर है, जिसमें सख्त CRL जाँच शामिल है। और एक अन्य कनेक्शन का वर्णन करें:

conn rkn
    left = %defaultroute
    right = rkn.example.com
    leftcert = fullchain.pem
    leftsendcert = always
    leftauth = pubkey
    rightauth = pubkey
    rightrsasigkey = /etc/strongswan/ipsec.d/certs/rkn.exapmle.com.pem
    leftid = "CN=ipsecgw.example.com"
    rightid = "CN=rkn.example.com"
    leftsubnet = %dynamic
    rightsubnet = %dynamic
    type = transport
    ike = aes256gcm16-sha384-x25519!
    esp = aes256gcm16-sha384-x25519!
    auto = route
    dpdaction = restart

कन्फ़िगल्स लगभग मिरर किए गए हैं। चौकस पाठक पहले से ही कुछ बिंदुओं पर ध्यान दे सकता है:

बायां / राइट्सबनेट =% डायनेमिक - स्ट्रांग्सवान को निर्देश देता है कि साथियों के बीच सभी प्रकार के यातायात के लिए नीतियां लागू करें
rightrsasigkey. IKE SA IKE AUTH ERROR , Strongswan RSA- . openssl. (ipsecgw RKN) sudo /usr/bin/openssl rsa -in /etc/letsencrypt/live/ipsecgw.example.com/privkey.pem -pubout > ~/ipsecgw.example.com.pem sudo /usr/bin/openssl rsa -in /etc/letsencrypt/live/rkn.example.com/privkey.pem -pubout > ~/rkn.example.com.pem, scp ,

फ़ायरवॉल और ऑटो-नवीनीकरण प्रमाणपत्रों को कॉन्फ़िगर करना न भूलें। दोनों सर्वरों पर स्ट्रोंगस्वान को फिर से शुरू करने के बाद, जीआरई सुरंग के दूर किनारे को शुरू करें और एक सफल कनेक्शन देखें। VPS (rkn) पर:

sudo strongswan status
Routed Connections:
         rkn{1}:  ROUTED, TRANSPORT, reqid 1
         rkn{1}:   5.5.5.5/32 === 1.1.1.1/32
Security Associations (1 up, 0 connecting):
         rkn[33]: ESTABLISHED 79 minutes ago, 5.5.5.5[CN=rkn.example.com]...1.1.1.1[CN=ipsecgw.example.com]
         rkn{83}:  INSTALLED, TRANSPORT, reqid 1, ESP SPIs: cb4bc3bb_i c4c35a5a_o
         rkn{83}:   5.5.5.5/32 === 1.1.1.1/32

और मेजबान की तरफ ipsecgw

बिगाड़ने वाला

Routed Connections:
         rkn{1}:  ROUTED, TRANSPORT, reqid 1
         rkn{1}:   1.1.1.1/32 === 5.5.5.5/32
Security Associations (4 up, 0 connecting):
remote-access[10]: ESTABLISHED 5 seconds ago, 1.1.1.1[CN=ipsecgw.example.com]...4.4.4.4[phone]
remote-access{12}:  INSTALLED, TUNNEL, reqid 7, ESP in UDP SPIs: c7a31be1_i a231904e_o
remote-access{12}:   0.0.0.0/0 === 10.1.1.1/32
    keenetic[8]: ESTABLISHED 22 minutes ago, 1.1.1.1[keenetic@router.home.local]...3.3.3.3[root@router.keenetic.local]
    keenetic{11}:  INSTALLED, TUNNEL, reqid 6, ESP SPIs: cfc1b329_i c01e1b6e_o
    keenetic{11}:   10.0.0.0/23 === 10.0.4.0/24
        mama[4]: ESTABLISHED 83 minutes ago, 1.1.1.1[mama@router.home.local]...2.2.2.2[root@router.mama.local]
        mama{8}:  INSTALLED, TUNNEL, reqid 3, ESP in UDP SPIs: c4a5451a_i ca67c223_o
        mama{8}:   10.0.0.0/23 10.1.1.0/24 === 10.0.3.0/24
         rkn[3]: ESTABLISHED 83 minutes ago, 1.1.1.1[CN=ipsecgw.example.com]...5.5.5.5[CN=rkn.example.com]
         rkn{7}:  INSTALLED, TRANSPORT, reqid 1, ESP SPIs: c4c35a5a_i cb4bc3bb_o
         rkn{7}:   1.1.1.1/32 === 5.5.5.5/32

सुरंग स्थापित है, पिंग चलते हैं, tcpdump में यह दिखाई देता है कि केवल ईएसपी मेजबानों के बीच जाता है। ऐसा करना संभव होगा। लेकिन आप अंत तक सब कुछ जांचे बिना आराम नहीं कर सकते। हम VPS और ... के लिए प्रमाणपत्र फिर से जारी करने की कोशिश कर रहे हैं

महाराज, यह सब टूट गया है

हम लेट्स एनक्रिप्ट की एक अप्रिय विशेषता को समझना और ठोकर खाना शुरू करते हैं, जो कि बाकी सब में सुंदर है - प्रमाण पत्र के किसी भी पुनर्जागरण के साथ, इससे जुड़ी निजी कुंजी भी बदल जाती है। निजी कुंजी बदल गई है - और जनता बदल गई है। पहली नज़र में, स्थिति हमारे लिए निराशाजनक है: भले ही हम सर्टिफिकेट में हुक का उपयोग करके प्रमाण पत्र को फिर से जारी करने के दौरान सार्वजनिक कुंजी को आसानी से निकाल सकते हैं और एसएसएच के माध्यम से दूरस्थ पक्ष में इसे पारित कर सकते हैं, यह स्पष्ट नहीं है कि दूरस्थ स्ट्रेंथन को इसे कैसे पढ़ा जाए। लेकिन मदद वहां से आई जहां उन्होंने इंतजार नहीं किया - सिस्टमड फाइल सिस्टम में बदलाव की निगरानी कर सकता है और घटना से जुड़ी सेवाओं को चला सकता है। हम इसका फायदा उठाएंगे।

हम प्रत्येक प्रतिबंधित मेजबानों पर सबसे अधिक प्रतिबंधित अधिकारों के साथ एक कीवाचर सेवा उपयोगकर्ता बनाएंगे, उनमें से प्रत्येक के लिए SSH कुंजियाँ बनाएंगे और उन्हें मेजबान के बीच आदान-प्रदान करेंगे।

Ipsecgw.example.com होस्ट पर, / ऑप्ट / ipsec-pubkey निर्देशिका बनाएँ जिसमें हम 2 स्क्रिप्ट रखते हैं।

sudo vi /opt/ipsec-pubkey/pubkey-copy.sh

#!/bin/sh
if [ ! -f /home/keywatcher/ipsecgw.example.com.pem ]; then
  /usr/bin/openssl rsa -in /etc/letsencrypt/live/ipsecgw.example.com/privkey.pem -pubout > /home/keywatcher/ipsecgw.example.com.pem;
  /usr/bin/chown keywatcher:keywatcher /home/keywatcher/ipsecgw.example.com.pem;
  /usr/bin/chmod 0600 /home/keywatcher/ipsecgw.example.com.pem;
  sudo -u keywatcher /usr/bin/scp /home/keywatcher/ipsecgw.example.com.pem rkn.example.com:/home/keywatcher/ipsecgw.example.com.pem;
  status=$?;
  if [ $status -eq 0 ]; then
    rm -f /home/keywatcher/ipsecgw.example.com.pem;
    logger "Public key ipsecgw.example.com.pem has been successfully uploaded to remote host";
  else
    logger "Public key ipsecgw.example.com.pem has not been uploaded to remote host due to error";
  fi
  else
    logger "Public key ipsecgw.example.com.pem already exist on /home/keywatcher directory, something went wrong";
fi
exit 0

sudo vi /opt/ipsec-pubkey/key-updater.sh

#!/bin/sh
/usr/bin/cp /home/keywatcher/rkn.example.com.pem /etc/strongswan/ipsec.d/certs/rkn.example.com.pem
/usr/bin/chown root:root /etc/strongswan/ipsec.d/certs/rkn.example.com.pem
/usr/bin/chmod 0600 /etc/strongswan/ipsec.d/certs/rkn.example.com.pem
logger "Public key of server rkn.example.com has been updated, restarting strongswan daemon to re-read it"
/usr/bin/systemctl restart strongswan
exit 0

VPS (होस्ट rkn.example.com) पर, हम इसी तरह उसी नाम से एक डायरेक्टरी बनाते हैं, जिसमें हम समान स्क्रिप्ट भी बनाते हैं, जिससे केवल की का नाम बदल जाता है। कोड, के तहत लेख को अव्यवस्थित करने के लिए नहीं

स्पॉइलर

sudo vi /opt/ipsec-pubkey/pubkey-copy.sh

#!/bin/sh
if [ ! -f /home/keywatcher/rkn.example.com.pem ]; then
  /usr/bin/openssl rsa -in /etc/letsencrypt/live/rkn.example.com/privkey.pem -pubout > /home/keywatcher/rkn.example.com.pem;
  /usr/bin/chown keywatcher:keywatcher /home/keywatcher/rkn.example.com.pem;
  /usr/bin/chmod 0600 /home/keywatcher/rkn.example.com.pem;
  sudo -u keywatcher /usr/bin/scp /home/keywatcher/rkn.example.com.pem ipsecgw.example.com:/home/keywatcher/rkn.example.com.pem;
  status=$?;
  if [ $status -eq 0 ]; then
    rm -f /home/keywatcher/rkn.example.com.pem;
    logger "Public key rkn.example.com.pem has been successfully uploaded to remote host";
  else
    logger "Public key rkn.example.com.pem has not been uploaded to remote host";
  fi
  else
    logger "Public key rkn.example.com.pem already exist on /home/keywatcher directory, something went wrong";
fi
exit 0

sudo vi /opt/ipsec-pubkey/key-updater.sh


#!/bin/bash
/usr/bin/cp /home/keywatcher/ipsecgw.example.com.pem /etc/strongswan/ipsec.d/certs/ipsecgw.example.com.pem;
/usr/bin/chown root:root /etc/strongswan/ipsec.d/certs/ipsecgw.example.com.pem
/usr/bin/chmod 0600 /etc/strongswan/ipsec.d/certs/ipsecgw.example.com.pem
logger "Public key of server ipsecgw.example.com has been updated, restarting connection"
/usr/bin/systemctl restart strongswan
exit 0

नए प्रमाणपत्र जारी करते समय कुंजी के सार्वजनिक भाग को निकालने और दूरस्थ होस्ट में कॉपी करने के लिए pubkey-copy.sh स्क्रिप्ट की आवश्यकता होती है। ऐसा करने के लिए, दोनों सर्वर पर / etc / letencrypt / नवीनीकरण-हुक / परिनियोजित निर्देशिका में, एक और माइक्रोस्क्रिप्ट बनाएँ:


#!/bin/sh
/opt/ipsec-pubkey/pubkey-copy.sh > /dev/null 2>&1
/usr/bin/systemctl restart strongswan
exit 0

समस्या का आधा हल हो गया है, प्रमाण पत्र फिर से जारी किए जाते हैं, सार्वजनिक कुंजियों को सर्वर के बीच निकाला जाता है और कॉपी किया जाता है, और समय आ गया है कि इसकी पथ इकाइयों के साथ सिस्टमैड किया जाए।

/ Etc / systemd / system निर्देशिका में ipsecgw.example.com सर्वर पर, keyupdater.pp फ़ाइल बनाएं

[Unit]
Wants=strongswan.service
[Path]
PathChanged=/home/keywatcher/rkn.example.com.pem
[Install]
WantedBy=multi-user.target

इसी तरह VPS होस्ट पर:

[Unit]
Wants=strongswan.service
[Path]
PathChanged=/home/keywatcher/ipsecgw.example.com.pem
[Install]
WantedBy=multi-user.target

और अंत में, प्रत्येक सर्वर पर हम इस इकाई से जुड़ी एक सेवा बनाते हैं, जिसे तब लॉन्च किया जाएगा जब शर्त (PathChanged) पूरी हो जाएगी - फ़ाइल को बदलना और रिकॉर्डिंग के बाद इसे बंद करना। हम फाइल /etc/systemd/system/keyupdater.service बनाते हैं और लिखते हैं:

[Unit]
Description= Starts the IPSec key updating script
Documentation= man:systemd.service
[Service]
Type=oneshot
ExecStart=/opt/ipsec-pubkey/key-updater.sh
[Install]
WantedBy=multi-user.target

Sudo systemctl daemon-reload के साथ systemd विन्यास को फिर से पढ़ना न भूलें और sudo systemctl के माध्यम से पथ इकाइयों को autostart असाइन करें keyupdater.path && sudo systemctl start keyupdater सक्षम करें।

जैसे ही दूरस्थ होस्ट keywatcher उपयोगकर्ता होम डायरेक्टरी के लिए सार्वजनिक कुंजी वाली फ़ाइल लिखता है और फ़ाइल डिस्क्रिप्टर बंद हो जाता है, systemd अपने आप संबंधित सेवा शुरू कर देगा, जो कुंजी को वांछित स्थान पर कॉपी कर देगा और स्ट्रांगस्वान को पुनः आरंभ करेगा। सुरंग को दूसरी तरफ की सही सार्वजनिक कुंजी का उपयोग करके स्थापित किया जाएगा।

आप साँस छोड़ते और परिणाम का आनंद ले सकते हैं।

एक निष्कर्ष के बजाय

जैसा कि हमने अभी देखा ~~नरक~~ IPSec उतना डरावना नहीं है जितना कि इसे चित्रित किया गया है। वर्णित सभी को पूरी तरह से परिचालन कॉन्फ़िगरेशन है जो वर्तमान में उपयोग में है। बहुत अधिक ज्ञान के बिना भी, आप एक वीपीएन को कॉन्फ़िगर कर सकते हैं और मज़बूती से अपने डेटा की रक्षा कर सकते हैं।

बेशक, iptables सेटअप के क्षण लेख के दायरे के बाहर बने रहे, लेकिन लेख खुद ही पहले से ही निकला हुआ था, और iptables के बारे में बहुत कुछ लिखा जा चुका है।

लेख में ऐसे बिंदु हैं जो सुधार किए जा सकते हैं, यह स्ट्रांग्सवन डेमॉन को फिर से शुरू करने से इनकार कर सकता है, इसके कॉन्फ़िगरेशन और प्रमाण पत्र को फिर से पढ़ना, लेकिन मैं इसे हासिल नहीं कर सका।

हालाँकि, डेमॉन के पुनरारंभ में डर नहीं है: साथियों के बीच एक या दो पिंग खो जाते हैं, मोबाइल क्लाइंट कनेक्शन को स्वयं पुनर्स्थापित करते हैं।

मुझे आशा है कि टिप्पणी में सहकर्मी सही समाधान का संकेत देंगे।

IPSec सर्वशक्तिमान