CentOS搭建IPSEC/IKEV2 VPN服务器

Posted on
Words count in article 1,965

一、安装

1、 通过EPEL安装

yum -y install epel-release && yum -y install strongswan strongswan-libipsec

2. 编译安装

1、安装依赖库

1
2
yum update
yum install pam-devel openssl-devel make gcc

2、下载strongswan并解压

1
2
3
wget http://download.strongswan.org/strongswan.tar.gz
tar xzf strongswan.tar.gz
cd strongswan-*

3、编译Strongswan

  • OpenVZ使用如下命令
1
2
3
4
5
./configure  --enable-eap-identity --enable-eap-md5 \
 --enable-eap-mschapv2 --enable-eap-tls --enable-eap-ttls --enable-eap-peap  \
 --enable-eap-tnc --enable-eap-dynamic --enable-eap-radius --enable-xauth-eap  \
 --enable-xauth-pam  --enable-dhcp  --enable-openssl  --enable-addrblock --enable-unity  \
 --enable-certexpire --enable-radattr --enable-tools --enable-openssl --disable-gmp --enable-kernel-libipsec
  • Xen、KVM使用如下命令
1
2
3
4
5
./configure  --enable-eap-identity --enable-eap-md5 \
 --enable-eap-mschapv2 --enable-eap-tls --enable-eap-ttls --enable-eap-peap  \
 --enable-eap-tnc --enable-eap-dynamic --enable-eap-radius --enable-xauth-eap  \
 --enable-xauth-pam  --enable-dhcp  --enable-openssl  --enable-addrblock --enable-unity  \
 --enable-certexpire --enable-radattr --enable-tools --enable-openssl --disable-gmp

4、编译并安装

make; make install

编译完成后如果没有报错,且使用ipsec version指令能出现版本信息,则表示安装成功.

二、配置证书

1、生成CA证书的私钥

1
ipsec pki --gen --outform pem > ca.pem

在Fedora/RH/CentOS的一些包里，ipsec命令被重命名为strongswan。

2、使用私钥，签名CA证书

1
ipsec pki --self --in ca.pem --dn "C=com, O=myvpn, CN=VPN CA" --ca --outform pem > ca.cert.pem

这里 –self 表示自签证书，–in 是输入的私钥，–dn 是判别名，–ca 表示生成 CA。这里需要解释下判别名： - C 表示国家名，同样还有 ST 州/省名，L 地区名，STREET（全大写） 街道名。 - O 表示组织名。 - CN 为通用名。

3、生成服务器证书所需的私钥

1
ipsec pki --gen --outform pem > server.pem

4、用CA证书签发服务器证书

确认访问服务器的IP地址或域名，连接时不可使用其它地址，只能使用证书中的地址，请将下面一句命令中的123.123.123.123替换为自己服务器的IP地址或域名，连接时使用，一共需要替换两处

1
2
3
4
ipsec pki --pub --in server.pem | ipsec pki --issue --cacert ca.cert.pem \
 --cakey ca.pem --dn "C=com, O=myvpn, CN=123.123.123.123" \
 --san="123.123.123.123" --flag serverAuth --flag ikeIntermediate \
 --outform pem > server.cert.pem

注意以上命令中的”C=”和”O=”的值要与第2步CA中的C,O的值保持一致.

5、生成客户端证书所需的私钥

1
ipsec pki --gen --outform pem > client.pem

6、用CA签名客户端证书

1
ipsec pki --pub --in client.pem | ipsec pki --issue --cacert ca.cert.pem --cakey ca.pem --dn "C=com, O=myvpn, CN=VPN Client" --outform pem > client.cert.pem

C,O的值要与上面第2步CA的值一致,CN的值随意。

7、生成pkcs12证书

1
openssl pkcs12 -export -inkey client.pem -in client.cert.pem -name "client" -certfile ca.cert.pem -caname "VPN CA" -out client.cert.p12

8、安装证书

1
2
3
4
5
cp -r ca.cert.pem /etc/strongswan/ipsec.d/cacerts/
cp -r server.cert.pem /etc/strongswan/ipsec.d/certs/
cp -r server.pem /etc/strongswan/ipsec.d/private/
cp -r client.cert.pem /etc/strongswan/ipsec.d/certs/
cp -r client.pem /etc/strongswan/ipsec.d/private/

三、配置Strongswan

1、编辑ipsec.conf文件

vim /etc/strongswan/ipsec.conf

修改为

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
config setup
    uniqueids=never 
conn iOS_cert
    keyexchange=ikev1
    # strongswan version >= 5.0.2, compatible with iOS 6.0,6.0.1
    fragmentation=yes
    left=%defaultroute
    leftauth=pubkey
    leftsubnet=0.0.0.0/0
    leftcert=server.cert.pem
    right=%any
    rightauth=pubkey
    rightauth2=xauth
    rightsourceip=10.31.2.0/24
    rightcert=client.cert.pem
    auto=add
conn android_xauth_psk
    keyexchange=ikev1
    left=%defaultroute
    leftauth=psk
    leftsubnet=0.0.0.0/0
    right=%any
    rightauth=psk
    rightauth2=xauth
    rightsourceip=10.31.2.0/24
    auto=add
conn networkmanager-strongswan
    keyexchange=ikev2
    left=%defaultroute
    leftauth=pubkey
    leftsubnet=0.0.0.0/0
    leftcert=server.cert.pem
    right=%any
    rightauth=pubkey
    rightsourceip=10.31.2.0/24
    rightcert=client.cert.pem
    auto=add
conn windows7
    keyexchange=ikev2
    ike=aes256-sha1-modp1024!
    rekey=no
    left=%defaultroute
    leftauth=pubkey
    leftsubnet=0.0.0.0/0
    leftcert=server.cert.pem
    right=%any
    rightauth=eap-mschapv2
    rightsourceip=10.31.2.0/24
    rightsendcert=never
    eap_identity=%any
    auto=add

2、编辑strongswan.conf文件

vim /usr/local/etc/strongswan.conf

修改为

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
#strongswan.conf - strongSwan configuration file
charon {
    #为了能同时连接多个设备
   duplicheck.enable = no
    #OpenDNS IP
   dns1 = 208.67.222.222
   dns2 = 208.67.220.220
   # for Windows only
   nbns1 = 208.67.222.222
   nbns2 = 208.67.220.220
    #日志配置
   filelog {
           /var/log/strongswan.charon.log {
               time_format = %b %e %T
               default = 2
               append = no
               flush_line = yes
           }
   }
}

3、配置口令

vim /usr/local/etc/ipsec.secrets

输入

1
2
3
4
: RSA server.pem
: PSK "myPSKkey"
: XAUTH "myXAUTHPass"
[用户名] %any : EAP "[密码]"

注意将PSK、XAUTH处的”mykey”编辑为唯一且私密的字符串，并且将[用户名]改为自己想要的登录名，[密码]改为自己想要的密码（[]符号去掉），可以添加多行，得到多个用户。

四、修改系统转发以及防火墙配置

1、编辑/etc/sysctl.conf

将net.ipv4.ip_forward=1一行前面的#号去掉，保存后执行sysctl -p。
如果出现错误信息：

1
2
3
4
5
error: "net.bridge.bridge-nf-call-ip6tables" is an unknown key
error: "net.bridge.bridge-nf-call-iptables" is an unknown key
error: "net.bridge.bridge-nf-call-arptables" is an unknown key
net.netfilter.nf_conntrack_max = 64000
error: permission denied on key 'net.nf_conntrack_max'

则执行：

1
2
3
4
5
6
rm -f /sbin/modprobe
ln -s /bin/true /sbin/modprobe
rm -f /sbin/sysctl
ln -s /bin/true /sbin/sysctl
modprobe bridge
sysctl -p

2、配置iptables

（适用于CentOS 6，CentOS 7系统请问谷娘）

  • OpenVZ执行：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -s 10.31.0.0/24  -j ACCEPT
iptables -A FORWARD -s 10.31.1.0/24  -j ACCEPT
iptables -A FORWARD -s 10.31.2.0/24  -j ACCEPT
iptables -A INPUT -i venet0 -p esp -j ACCEPT
iptables -A INPUT -i venet0 -p udp --dport 500 -j ACCEPT
iptables -A INPUT -i venet0 -p tcp --dport 500 -j ACCEPT
iptables -A INPUT -i venet0 -p udp --dport 4500 -j ACCEPT
iptables -A INPUT -i venet0 -p udp --dport 1701 -j ACCEPT
iptables -A INPUT -i venet0 -p tcp --dport 1723 -j ACCEPT
iptables -A FORWARD -j REJECT
iptables -t nat -A POSTROUTING -s 10.31.0.0/24 -o venet0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 10.31.1.0/24 -o venet0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 10.31.2.0/24 -o venet0 -j MASQUERADE
  • Xen、KVM则执行：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -s 10.31.0.0/24  -j ACCEPT
iptables -A FORWARD -s 10.31.1.0/24  -j ACCEPT
iptables -A FORWARD -s 10.31.2.0/24  -j ACCEPT
iptables -A INPUT -i eth0 -p esp -j ACCEPT
iptables -A INPUT -i eth0 -p udp --dport 500 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 500 -j ACCEPT
iptables -A INPUT -i eth0 -p udp --dport 4500 -j ACCEPT
iptables -A INPUT -i eth0 -p udp --dport 1701 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 1723 -j ACCEPT
iptables -A FORWARD -j REJECT
iptables -t nat -A POSTROUTING -s 10.31.0.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 10.31.1.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 10.31.2.0/24 -o eth0 -j MASQUERADE

3、开机自动载入iptables

service iptables save

五、启动及自启动

  1. 设置自启动

vim /etc/rc.d/rc.local

添加：

/usr/sbin/ipsec start

  1. 启动VPN

/usr/sbin/ipsec start

注意：
如果启动后出现信息：

1
2
3
no netkey IPsec stack detected
no KLIPS IPsec stack detected
no known IPsec stack detected, ignoring!

忽略即可，不影响使用
参考链接：

六、客户端配置

  • iOS
    把 CA 证书和之前做好的 pkcs12（.p12）发邮件给自己。在 iOS 上收邮件，导入两者。然后新建 IPSec VPN服务器，和 openSUSE 的要求一样，都是 IP 或都是 URL。账户和密码写 ipsec.secrets 里 XAUTH 前后的那两个。如果要使用证书，证书选刚才的那个。否则可以不使用证书，输入 ipsec.secrets 里设置的 PSK 密码。

七、其他

  • 服务端日志（用于调试）

/var/log/strongswan-charon.log

strongswan 的 charon daemon 启动后，会初始化并加载之前你定义好的 conn，这部分 log 是没有必要去读的。当然在你配置有问题时可能就有必要了，但当配置有问题的时候，systemctl start strongswan.service 会失败，systemctl status strongswan.service 就会指出你配置问题所在的行号（=。=）…
所以你只要去查找「added configuration ‘windows7’」，这里 windows7 是你配置的最后一个 conn 的名称，然后从那里往下看就好了。
另外连接失败是会把连接状态从 CONNECTING 变为 DELETEING 的，DELETEING 又会刷一大堆日志，但那些日志都是没用的。

Todo: