IKEv2 IPSec Road Warrior для FreeBSD

[dadv]

В продолжение темы. Заметка о настройке VPN-доступа для клиентских устройств, с тем чтобы давать им удалённый доступ в локальную сеть. В качестве агента IKEv2 используем strongswan-5.9.11_3, плюс для клиенских подключений создаем интерфейсы ipsecX ради удобства настройки MTU, роутинга, диагностики при помощи bpf (tcpdump/tshark/wireshark/etc.), SNMP-статистики и прочего.

Авторизация клиентов методом IKEv2 IPSEC MS-CHAPv2. Условное имя VPN-сервера для клиентов vpn.domain.net.

• Первым делом добавляем в /usr/local/etc/strongswan.d/charon.conf:
  
  install_routes = no
  install_virtual_ip = no
  make_before_break = yes
  retransmit_base = 1
  
  Если у шлюза более одного интерфейса и необходимо, чтобы агент использовал порты 500/4500 только на IP-адресах одного из них, можно также добавить:
  
  interfaces_use = bge0
  
  Для более подробных журналов, туда же:
  
  syslog {
  IKE2 {
  log_level = 9
  }
  daemon {
  ike_name = yes
  knl = 3
  }
  }
  
• 
  Далее создаём /usr/local/etc/swanctl/conf.d/vpn.conf:
  
  connections {
  vpn {
  version = 2
  send_cert = always
  pull = 0
  dpd_delay = 5
  local_addrs = X.X.X.X # IP-адрес, в который ресолвится vpn.domain.net
  # pools = localpool
  pools = radius
  proposals = aes256-sha256-modp2048,aes256-sha256-modp1024,aes256-sha256-modp4096,default
  reauth_time = 43200
  local {
  auth = pubkey
  certs = vpn.domain.net.pem
  id = fqdn:vpn.domain.net
  }
  remote {
  # auth = eap-mschapv2
  auth = eap-radius
  eap_id = %any
  }
  children {
  roadw-eap {
  mode = tunnel
  ipcomp = no
  copy_df = no
  start_action = start
  close_action = clear
  dpd_action = clear
  reqid = 0
  policies = no
  # local_ts = 192.168.1.0/24
  local_ts = 0.0.0.0/0
  remote_ts = dynamic
  
  esp_proposals = aes256-sha256-modp2048,aes256-sha256-modp1024,aes256-sha256-modp4096,default
  rekey_time = 0 # workaroung Windows bug
  updown = /usr/local/etc/swanctl/conf.d/updown.sh
  }
  }
  }
  }
  
  В данном случае предполагается авторизация пользователей по паролю через RADIUS-сервер (для этого strongswan нужно пересобрать из портов, включив опции EAPDYNAMIC и EAPRADIUS, а заодно добавьте какие вам нравятся ещё типа EAPSIMFILE, FARP, IPSECKEY, MEDITATION, UNITY и XAUTH).
  
  При локальной авторизации нужно убрать строчку со словом eap-radius, раскомментировать предыдущую строчку с eap-mschapv2 (то же с именем пула в строчке pools) и добавить описание локального пула IP-адресов для выдачи пользователям в конец файла:
  
  pools {
  localpool {
  addrs = 192.168.1.64-192.168.1.190
  dns = 192.168.1.1
  }
  }
  
  Закомментированный вариант local_ts соответствует доступу через VPN только в указанную сеть, а раскомментированный для хождения через VPN в публичный интернет.
  
  
• 
  При авторизации через RADIUS добавляем в /usr/local/etc/strongswan.d/charon/eap-radius.conf внутрь секции servers {} одну или более секций с произвольными именами, описывающих используемые серверы RADIUS:
  
  myserver {
  address = X.X.X.Y
  port = 1812
  retransmit_base = 1.0
  retransmit_tries = 3
  secret = XXX
  sockets = 5
  nas_identifier = vpn.domain.net
  }
  
  
• 
  И, наконец, создаём исполняемый скрипт /usr/local/etc/swanctl/conf.d/updown.sh:
  
  #!/bin/sh
  PATH=/bin:/sbin:/usr/bin:/usr/sbin
  
  mtu=1460
  me=X.X.X.X # IP-адрес, в который ресолвится vpn.domain.net
  
  case "$PLUTO_CONNECTION" in
  roadw-eap)
  case "$PLUTO_VERB" in
  up-client)
  if [ -n "$PLUTO_REQID" ]; then
  ifname=$(ifconfig -g "r${PLUTO_REQID}g")
  if [ -z "$ifname" ]; then
  ifname=$(ifconfig ipsec create \
  inet $me "$PLUTO_PEER_SOURCEIP" netmask 255.255.255.255 \
  tunnel "$PLUTO_ME" "$PLUTO_PEER" \
  reqid "$PLUTO_REQID" group "r${PLUTO_REQID}g" mtu $mtu \
  description "ikev2: ${PLUTO_XAUTH_ID} \
  $PLUTO_PEER_SOURCEIP $PLUTO_ME $PLUTO_PEER"
  )
  fi
  fi
  ;;
  down-client)
  if [ -n "$PLUTO_REQID" ]; then
  ifname=$(ifconfig -g "r${PLUTO_REQID}g")
  [ -n "$ifname" ] && ifconfig "$ifname" destroy
  fi
  ;;
  esac
  ;;
  esac
  exit 0
  
  
• 
  Осталось только положить секретный ключ от сертификата сервера в формате PEM в файл /usr/local/etc/swanctl/private/vpn.domain.net.key, а сам сертификат также в формате PEM в файл /usr/local/etc/swanctl/x509/vpn.domain.net.pem и запустить агента, прописав в /etc/rc.conf:
  
  strongswan_enable="YES"
  strongswan_interface="vici"
  
  
• 
  И даём команду service strongswan start