×××是一种新鲜也很没有乐趣的一项技术,感觉很庞大很有容纳性,自己觉得对于现在的大部分应用来说,PPTP 和L2TP 结合IPSec很流行,而它们有各自有不同的特点,但是如果想现在就用×××的话,这两种配置是必须会的。
在有2块网卡的(可以是虚拟网卡)linux上安装openswan,该linux就变成了一个ipsec ***网关,网关后面是各种应用服务器。将其作为服务器端,可以进行两种配置(net to net或者是roadworrier)。
(1)在第一种方式下,客户端也要有一个有两块网卡的linux作为ipsec *** 网关,两端的ipsec ***网关地位是对等的。在两个网关间可以建立隧道,对数据进行加密认证等安全操作。这样两个网关后的计算机之间可以相互ping通,他们之间可以进行安全的通信了。但是网关与另一边网关后的计算机之间不能ping通,所有如果对方是移动用户的话这种方式是不行的,这就产生了第2种方式。
(2)在第二种方式下,如果对方是linux的移动用户(可以是laptop,也可以是智能手机),那么就需要在移动用户上安装openswan,设置成roadworrier连接方式。如果对方是window的移动用户,那就必须安装专门的
***拨号软件了。如果这样觉得麻烦,也可以在服务器端的ipsec ***网关上安装l2tp,使之变成l2tp+ipsec *** 网关,这样客户端就可以直接用window自带的拨号连接了。移动用户拨号成功就建立了和服务器端的***网关的隧道,这样移动用户就可以和网关后的计算机进行安全通信了。
建立***隧道可以通过pptp,l2tp(第2层),ipsec(第3层),ssl(第5层)不同的方式。ipsec的安全性高,但是配置麻烦,pptp/l2tp安全性低,但是配置简单。所以一般的应用只要对安全性要求不高就可以采用pptp/l2tp,如果应用对安全性要求高的话,就必须使用ipsec进行保护了。
pptp和l2tp都是适用于拨号连接的,都是使用ppp协议进行数据帧的封装,然后在普通的ppp帧上加一些包头,其中使用chap和pap进行安全性操作。他们之间的不同主要是pptp要求ip网络,l2tp要求点对点的网络。
采用哪种***要看具体的需求,本文讲述l2tp+ipsec ***的配置,这样不但使用了ipsc 强安全性的特点,还能够方便的兼容window客户端。
本实验的网络结构如下:
有3台计算机,在同一个局域网内
一个是window客户端,ip是192.168.0.187,其网关ip为192.168.0.1
一个是l2tp+ipsec ***网关(系统是2.6.9内核的red hat enterprose linux),它是一台虚拟机,
有一个本地网卡(eth0),还有一个虚拟网卡(eth1)。eth0的ip是192.168.0.115,网关ip是
192.168.0.115。eth1的ip是192.168.2.1,网关ip是192.168.2.1。
一个是***网关维护的一个内网(网段是192.168.2.0/254)上的一台linux服务器(名为jim),上面
安装了一个apache,架设了一个网站。其ip为192.168.2.10,网关ip为192.168.2.1
现在我的目标是使用window客户端安全的读取jim上架设的网站。
在window客户端没有拨号与***网关建立l2tp+ipsec ***隧道前,window客户端与jim处在不同的网段
下,彼此之间不能ping通;并且客户端与***网关之间也不能ping通;在建立隧道后,window客户端与
***网关之间建立了一条隧道,这样客户端与***网关之间就可以ping通了,并且***网关分配给客户端一个内网ip,这样客户端与jim之间也可ping通,这样window客户端就可以访问内网上的jim服务器了,并且这种访问是在ipsec的保护下进行的,所以是安全的。
详细步骤如下:
1.在***网关上架设l2tp服务器:
(1) 安装xl2tpd (不建议安装l2tpd)
(2) 配置xl2tpd
主配置文件在/etc/xl2tpd/xl2tpd.conf
<1> 修改/etc/ppp/chap.secrets (l2tp里面会使用chap对用户的身份进行验证,就相当于拨号时输入的用户名密码的作用一样) 在该文件的最后一行输入 用户名 × 密码 (*表示用户可以使用任意的网段进行拨号,例如 test × “test123456”
<2>修改/etc/ppp/options.l2tp
文件如下:
ipcp-accept-local
ipcp-accept-remote
#ms-dns 202.96.209.6
#需要设置dns,就把上一行的#号去掉
ms-wins 192.168.0.187(window客户端的ip)
#noccp
auth
crtscts
idle 1800
mtu 1200
mru 1200
#mtu需要小于1500。也可以设成其它值,如1300
nodefaultroute
debug
lock
connect-delay 5000
logfile /var/log/l2tpd.log
proxyarp
<3>修改主配置文件/etc/xl2tpd/xl2tpd.conf (;表示注释)
文件如下:
[global]
listen-addr = 192.168.0.115 (#网关的eth0的ip,网关通过该网卡监听window客户端的连接
请求)
port=1701
auth file = /etc/ppp/chap-secrets
[lns default]
;exclusive = no
ip range = 192.168.2.128-192.168.2.254 (#window客户端连接上后给客户端的内网ip,现在
网关后的内网网段时192.168.2.0/254)
;ip range即l2tp拨号成功后分配给客户端的ip地址范围。
local ip = 192.168.0.115
;lac = 0.0.0.0-255.255.255.255
require chap = yes
refuse pap = yes
require authentication = yes
name = ×××Gateway
ppp debug = yes
pppoptfile = /etc/ppp/options.l2tp
length bit = yes
至此,l2tp就配置完成了。
2.在***网关上架设ipsec服务器
(1)安装openswan
安装之前,需要修改配置。在/etc/sysctl.conf文件中,找到
net.ipv4.ip_forward = 0
net.ipv4.conf.default.rp_filter = 1
改为:
net.ipv4.ip_forward = 1
net.ipv4.conf.default.rp_filter = 0
然后执行sysctl -p使之生效。
安装就是老套了,只是要注意内核的版本,在2.6的内核上安装不需要再打其它的补丁,只需要直接安
装openswan的源代码就好了,在2.4的版本上安装由于内核没有对ipsec堆栈支持需要打openswan的
klips补丁和nat补丁,较麻烦。所以建议在2.6.9的内核版本上安装openswan。
(2) 配置openswan(就是配置认证方式,可以时rsa或者是x.509,这里采用x.509认证方式)
其主配置文件为/etc/ipsec.conf,/etc/ipsec.secrets(ipsec 也进行认证,l2tp的认证可
以省略了)
其配置目录在/etc/ipsec.d 里面是对x.509证书的配置。
/etc/ipsec.d/cacerts 存放X.509认证的根证书
/etc/ipsec.d/certs 存放X.509客户端证书
/etc/ipsec.d/private 存放X.509认证私钥
/etc/ipsec.d/crls 存放X.509证书撤消列表(只配置x.509证书认证,下面不需要)
/etc/ipsec.d/ocspcerts 存放X.500 OCSP证书
/etc/ipsec.d/passwd XAUTH密码文件
/etc/ipsec.d/policies 存放Opportunistic Encryption策略组
采用openssl产生ca证书,***网关上的证书,客户端的证书。
建立如下目录/root/ca/demoCA,demoCA存放ca存放ca证书和撤销列表。而网关证书与认证私钥,客
户端证书与私钥放在ca下。
现使用以下命令在/root/ca/demoCA下产生ca根证书cacert.pem和其私钥cakey.pem 和crl表
crl.pem,
openssl req –x509 –days 3650 –newkey rsa:1024 –keyout cakey.pem –out cacert.pem
进入demonca目录:
mkdir newcerts
touch index.txt
echo “01” > serial
openssl ca -gencrl -out crl.pem
然后在/root/ca/下使用以下命令产生网关的认证私钥***gateway.key和证书***gateway.cert
Openssl req –newkey rsa:1024 –keyout ***gateway.key –out ***gatewayreq.pem
Openssl ca –in ***gatereq.pem –days 365 –out ***gateway.cert –notext
然后将ca证书与网关证书与私钥放进网关上的openswan的相依目录下:
cp cacert.pem /etc/ipsec.d/cacerts
cp ***gateway.cert /etc/ipsec.d/certs
cp ***gateway.key /etc/ipsec.d/private
在做完了这些准备后,
以同样方法为window客户端生成证书与私钥。
开始写ipsec.conf了。
<1> 编辑***网关上的/etc/ipsec.secerts,在此文件最后加上一行
: RSA /etc/ipsec.d/private/***gateway.key "读取此key的密码"
<2> 编辑***网关上的/etc/ipsec.conf
version 2.0
config setup
interfaces=%defaultroute
nat_traversal=yes
virtual_private=%v4:192.168.0.0/16,%v4:10.0.0.0/8,%v4:172.16.0.0/12,%v4:!192.168.0.0/24
conn %default
compress=yes
authby=rsasig
disablearrivalcheck=no
leftrsasigkey=%cert
rightrsasigkey=%cert
keyingtries=1
conn l2tpx509
pfs=no
auto=add
left=192.168.0.115
leftcert=***gateway.cert
leftprotoport=17/1701
right=%any
rightca=%same
rightprotoport=17/%any
include /etc/ipsec.d/examples/no_oe.conf
<3> 输入命令service ipsec restart重启ipsec服务。
输入命令 xl2tpd -D 以前台模式启动L2TPD服务。
***网关配置完毕。
接着配置window客户端来测试与***网关之间的隧道建立情况:
导出CA和Win端的证书:
在网关的/root/ca下,用以下命令将CA证书cacertpem的格式转化为p12文件:
openssl pkcs12 -export -in democA/cacert.pem -inkey demoCA/private/cakey.pem -out demoCA.p12
输入读取CA密钥的密码,然后再指定导出p12文件中的证书(为下一步将ca证书导入到window上的mmc需要该密码)需要的密码,再确认此密码即可。
然后导出win端的证书:
openssl pkcs12 -export -in purewinter.cert -inkey purewinter.key -out purewinter.p12
把这两个文件通过安全方式复制到Windows客户端。
导入证书:
运行mmc,添加删除管理单元->添加->证书->计算机账户->本地计算机->完成。
在证书:本地计算机里,选择个人->所有任务->导入,导入两个p12证书。把CA的证书由个人拖到“受信任的根证书颁发机构”里。
添加拨号连接:
网络连接->创建一个新连接->连接到我工作场所的网络->虚拟专用网络连接->随意输入一个名字->不拨初始连接->192.168.0.115->完成。
右键点此连接,选属性-网络-×××类型选择为L2TP IPSec ×××,选定TCP/IP协议,属性-高级,去掉“在远程网络上使用默认网关”的勾。确定。双击此连接,输入用户名test,密码test123456进行拨号。如果顺利,就拨号成功了。(有些系统拨号时会发生789错误,这是因为这些系统在启动时默认启动了一个ipsec服务,所以你再要启动一个ipsec时拒绝,这就需要修改注册表)。在×××Gateway的tcpdump可以看到加密信息在传输,L2TPD的输出中可以看到Call established with 192.168.0.187...等字样。此时在客户端ping网关发现可以ping通了,还发现客户端获得了一个***内网ip 192.168.2.128,在Jim上输入service httpd start启动Apache服务,然后在Win客户端的浏览器中输入http://192.168.2.10/,就可以看到Jim上架设的网站了。如果没有架设,可能看到Apache的默认页面,或者看到403禁止访问,Apache 2.x.x的信息。至此L2TP的IPSec ×××架设成功。
如果外网的window客户端想要连接网关,那么网关就需要安装配置在具有外网ip的计算机上。
转载于:https://blog.51cto.com/29498359/1907555