linux下 IPSec 应用案例

 

====================    A与B主机直接相连 （相对简单）     =============================

准备工作:　

　准备２台电脑（建议linux），每台电脑配置一个虚拟机并以bridaged的模式配置虚拟机网络，如果都弄好了可以看以下内容（配置内容可以看在我之前的几篇文章）

   先来看一下2台电脑的网络配置清单：

 

     机器A1（物理机）有2个网卡 eth0 和 tap0， 还一台虚拟机记为A2有一个网卡 eth0

 

     机器B1（物理机）有2个网卡 eth0 和 tap0， 还一台虚拟机记为B2有一个网卡 eth0

 

Ip地址如下，

      机器           网卡接口                       IP/Mask

      A1                eth0                    192.168.1.11/24

      A1                tap0                    10.0.1.1/24

      A2                eth0                    10.0.1.2/24

 

      B1                eth0                    192.168.1.10/24

      B1                tap0                    10.0.2.1/24

      B2                eth0                    10.0.2.2/24

 

 

１.　安装racoon (一个专用于IPSec的工具.)，　官方网站　http://ipsec-tools.sourceforge.net/

　　　$apt-get install racoon

 2.　在home目录下创建一个spd.txt文档，定义ipsec　tunnel的配置

# Purger la SPD / SAD spdflush; flush; # On ne chiffre pas la loopback spdadd 127.0.0.0/8 127.0.0.0/8 any -P in none; spdadd 127.0.0.0/8 127.0.0.0/8 any -P out none; # Tunnels vers la passerelle 远程机器公共ip　192.168.1.10 # Lan locaux: 10.0.1.0/24 # Lan distant: 10.0.2.0/24 # spadd srcPr destPr any -P out ipsec esp/tunnel/srcPu-destPu/require; #srcPr=>adresse passerelle source 10.0.1.0 #srcPu=>adresse passerelle public 10.0.2.0 spdadd 10.0.1.0/24 1 10.0.2.0/24 any -P out ipsec esp/tunnel/192.168.1.10-192.168.1.11/require; spdadd 10.0.2.0/24 10.0.1.0/24 any -P in ipsec esp/tunnel/192.168.1.11-192.168.1.10/require;

 

3.编辑　racoon 的配置文件

$ vi /etc/racoon/racoon.conf

path pre_shared_key "/localhome/localuser/Bureau/ipsec/psk.txt"; path certificate "/localhome/localuser/Bureau/ipsec/certs"; #目标机器的公共ip地址 remote 192.168.1.11 { exchange_mode main; proposal { encryption_algorithm 3des; hash_algorithm sha1; authentication_method pre_shared_key; dh_group modp1024; } generate_policy off; } #源机器虚拟网 - 目标虚拟网 sainfo address 10.0.1.0/24[any] any address 10.0.2.0/24[any] any { pfs_group modp768; encryption_algorithm 3des; authentication_algorithm hmac_md5; compression_algorithm deflate; }

 

 

４.  在　"/localhome/localuser/Bureau/ipsec"目录下创建　psk.txt

# IPv4/v6 addresses #destination adresse 密码 192.168.12.97 helloWorld 

　　　然后权限更改

　　　$chmod 600 /localhome/clement/Documents/ipsec/psk.txt

           $ chdown root /localhome/clement/Documents/ipsec/psk.txt

5. 输入命令

　　　$setkey -f spd.txt

6.运行racoon，

　　　$racoon -F -d -d  /etc/racoon/racoon.conf

 

7.到此，一台主机配置完成，将另一台主机相同配置，不过把source和dest完全颠倒

 

８.如果所以配置都正确，现在我们从任意一台虚拟机　ping　另一台　虚拟机，数据包采取的IPSec协议（而不是传统的数据包）

 

 

如果你成功模拟了以上例子，有兴趣的话可以看一下如果A与B是通过另一台电脑相连的，那应该设置让从A到B的IPSec包经过C （就是B接受A的数据包，然后转发给B，而这些都也要采取IPSec协议）

====================    A与B主机通过C主机间接相连 （相对复杂）     =========================

当然要配置的文件跟上面的例子一样3个： spd.txt, psk.txt, racoon.conf

 

    机器A1（物理机）有2个网卡 eth0 和 tap0， 还一台虚拟机记为A2有一个网卡 eth0

 

     机器B1（物理机）有2个网卡 eth0 和 tap0， 还一台虚拟机记为B2有一个网卡 eth0

 

     机器C有一个网卡eth0，不需要虚拟机

 

Ip地址清单如下，

      机器           网卡接口                     IP/Mask

      A1                eth0                    192.168.1.11/24

      A1                tap0                    10.0.1.1/24

      A2                eth0                    10.0.1.2/24

 

      B1                eth0                    192.168.1.10/24

      B1                tap0                    10.0.2.1/24

      B2                eth0                    10.0.2.2/24

 

      C                  eth0                     192.168.1.12/24

以下在A主机上操作：

1. 更改文件 spd.txt

 # Purger la SPD / SAD existante spdflush; flush; # 本地 loopback 不加密 spdadd 127.0.0.0/8 127.0.0.0/8 any -P in none; spdadd 127.0.0.0/8 127.0.0.0/8 any -P out none; # LANs locaux: 10.0.1.0/24 et 10.0.2.0/24 # LAN distant: 192.168.12.102/24 192.168.12.109/24 #定义主机（A ：11）跟C：10 的规则，因为A没有跟B直接相连 #从虚拟网络10.0.1.0 到 10.0.2.0 发出的数据包从 本机A：11 到 C：12 #从虚拟网络10.0.2.0 到 10.0.1.0 发出的数据包从 本机C：12 到 A：11 spdadd 10.0.1.0/24 10.0.2.0/24 any -P out ipsec esp/tunnel/192.168.1.11-192.168.1.12/require; spdadd 10.0.2.0/24 10.0.1.0/24 any -P in ipsec esp/tunnel/192.168.1.12-192.168.1.11/require;

 

2.更改文件 psk.txt

#定义跟C主机的秘密，因为跟B不在相连 192.168.1.12 helloWorld

 

3.更改 racoon.conf

 

path pre_shared_key "/localhome/localuser/Bureau/ipsec/psk.txt"; path certificate "/localhome/localuser/Bureau/ipsec/certs"; #目标机器C公共地址 remote 192.168.1.12 { exchange_mode main,aggressive; proposal { encryption_algorithm 3des; hash_algorithm sha1; authentication_method pre_shared_key; dh_group modp1024; } generate_policy off; } # 源 réseau - 目的 réseau sainfo address 10.0.1.0/24[any] any address 10.0.2.0/24[any] any { pfs_group modp768; encryption_algorithm 3des; authentication_algorithm hmac_md5; compression_algorithm deflate; }

以下在B 主机上操作：

跟A机器一样，只是在3个文件中出现A机器地址192.168.1.11 的地方换成B机器地址192.168.1.10

 

 

以下在C主机上操作：

C机器前提是已经按照了 racoon， 3个文件所在路径也跟AB相同

 

spd.txt 配置

#SPD / SAD spdflush; flush; spdadd 127.0.0.0/8 127.0.0.0/8 any -P in none; spdadd 127.0.0.0/8 127.0.0.0/8 any -P out none; #C：12 与A ：11机器的规则 #C 192.168.1.12 发送给A 192.168.1.11 一个 （从VPN 10.0.2.0 到 10.0.1.0）IPSec协议包 spdadd 10.0.2.0/24 10.0.1.0/24 any -P out ipsec esp/tunnel/192.168.1.12-192.168.1.11/require; #C可以从A192.168.1.11 收到一个 （从VPN 10.0.1.0 到 10.0.2.0） spdadd 10.0.1.0/24 10.0.2.0/24 any -P in ipsec esp/tunnel/192.168.1.11-192.168.1.12/require; #C ：12 与B：10机器的规则 #C 192.168.1.12 发送给B 192.168.1.10 一个 （从VPN 10.0.1.0 到 10.0.2.0）IPSec协议包 spdadd 10.0.1.0/24 10.0.2.0/24 any -P out ipsec esp/tunnel/192.168.1.12-192.168.1.10/require; #C可以从B 192.168.1.10 收到一个 （从VPN 10.0.2.0 到 10.0.1.0） spdadd 10.0.2.0/24 10.0.1.0/24 any -P in ipsec esp/tunnel/192.168.1.10-192.168.1.12/require;

 

racoon.conf 配置

path pre_shared_key "/localhome/localuser/Bureau/ipsec/psk.txt"; path certificate "/localhome/localuser/Bureau/ipsec/certs"; #C 与 A的tunnel设置 remote 192.168.1.11 { exchange_mode main; proposal { encryption_algorithm 3des; hash_algorithm sha1; authentication_method pre_shared_key; dh_group modp1024; } generate_policy off; } #源虚拟网络 - 目的虚拟网络 sainfo address 10.0.2.0/24[any] any address 10.0.1.0/24[any] any { pfs_group modp768; encryption_algorithm 3des; authentication_algorithm hmac_md5; compression_algorithm deflate; } #C 与 B的tunnel设置 remote 192.168.1.10 { exchange_mode main; proposal { encryption_algorithm 3des; hash_algorithm sha1; authentication_method pre_shared_key; dh_group modp1024; } generate_policy off; } #源虚拟网络 - 目的虚拟网络 sainfo address 10.0.1.0/24[any] any address 10.0.2.0/24[any] any { pfs_group modp768; encryption_algorithm 3des; authentication_algorithm hmac_md5; compression_algorithm deflate; }

 

spk.txt

#C需要2个tunnel， 分别与 A 、B # 每一个tunne都需要一个密匙，我们都用 helloworld #与A 192.168.1.11 helloworld #与B 192.168.1.10 helloworld

 

 

好，到这里3台主机的IPSec配置都完成， 分别在3台电脑运行racoon

. 输入命令

　　　$setkey -f spd.txt

运行racoon，

　　　$racoon -F -d -d  /etc/racoon/racoon.conf

 

现在从A的虚拟机 A2 ping B2ip：10.0.2.1（可以在3台主机上运行 Wireshark，并监视eth0网络接口 ），如果在B机上看到收到 icmp 来自10.0.1.1 的数据包，就说明设置成功

如果不成功也不要泄气，肯定是因为某台电脑3个文件设置出问题了，因为ip太多混淆很正常

 

 

 

ＰＳ：　IPSec-tools还不完善