看了一次strongswan ipsec的设置.

看了一次strongswan ipsec的设置.

---

这次的设置要求是:
Linux 中 strongwans与hillstone防火墙 stoneOS 建立ipsec连接.
network-network进行通信. 要求Linux可以同时与多台防火墙进行通信.

---

一 网络结构如下:
linux
地址 192.168.100.252 内网段为 10.0.1.0/24
防火墙1
地址 192.168.100.253 网网段为 10.0.2.0/24
防火墙1
地址 192.168.100.254 网网段为 10.0.3.0/24

---

二 设置
Linux端的设置:
Debian Linux 11 中运行 libstrongswan 5.9.1-1+deb11u3

apt-get install strongswan libcharon-extra-plugins
软件文档在 https://strongswan.org/

配置文件:
ipsec.conf

config setup

conn c1-c1
keyexchange=ikev1
#aggressive = yes
left=192.168.100.252
leftsubnet=10.0.1.0/24
rightsubnet=10.0.2.0/24
right=192.168.100.253
esp=aes256-sha256-modp1024
ike=aes256-sha256-modp1024
compress=no
rightauth=psk
leftauth=psk
auto=start

conn c2-c2
keyexchange=ikev1
aggressive = yes
left=192.168.100.252
leftsubnet=10.0.1.0/24
rightsubnet=10.0.3.0/24
rightid=@254
esp=aes256-sha256-modp1024
ike=aes256-sha256-modp1024
compress=no
rightauth=psk
leftauth=psk
auto=start

配置说明.
连接 c1-c1(防火墙1)
使用ikev1. main模式. IPsec连接IP为192.168.100.252. 这端的网段是 10.0.1/0/24.
对端的网段是 10.0.2.0/24. 连接的对端为192.168.100.253
二阶段提议 aes256-sha256-modp1024. 一阶段提议 aes256-sha256-modp1024
两端的认证方式都为 psk

连接 c2-c2(防火墙2)
与防火墙1的差别在于. 使用野蛮模式. 对端使用FQDN名字做认证. 非主动连接.

在ipsec.secrets 分别设置好两个对端的认证psk.

防火墙1的设置
ikev1
接口
主模式
静态IP
对端地址 192.168.100.252
本地id ipv4 192.168.100.253
对端id ipv4 192.168.100.252
p1提议 psk-sha256-aes256-g2
psk ****

高级
发起者
NAT-T no

ipsec
tunnel
10.0.2.0/24 10.0.1.0/24 Any
p2提议 esp-sha256-aes256-g2 无压缩

防火墙2的设置
主要差别在 野蛮模式. 主动发起连接
本端的类型使用FQDN .值为 254

---

三 其他信息:

1. strongswan与hillstone stoneOS中的 DH group写法不同.
   以下是IPsec中DH(Diffie-Hellman）组的信息：
   DH Group 1：使用768位素数p，提供大约80位的安全强度。
   DH Group 2：使用1024位素数p，提供大约100位的安全强度。
   DH Group 5：使用1536位素数p，提供大约120位的安全强度。
   DH Group 14：使用2048位素数p，提供大约112位的安全强度。
   DH Group 15：使用3072位素数p，提供大约128位的安全强度。
   DH Group 16：使用4096位素数p，提供大约150位的安全强度。
   DH Group 19：使用256位素数p，提供大约128位的安全强度。
   DH Group 20：使用384位素数p，提供大约192位的安全强度。
   DH Group 21：使用521位素数p，提供大约256位的安全强度。

2. 个人感觉ike版本方面. 如果可能尽量使用v2版.

3. strongswan直接写ipsec.conf的配置方法已经过时. 可以考虑学习一下swanctl. 我这里主要是进行一下测试就没花太多时间.

4. strongswan 5.x中 默认不开启 野蛮模式的psk认证方式. 原因是安全问题.

Q: Does strongSwan support IKEv1 Aggressive Mode?
A: Since version 5.0.0 the answer is yes. However, the strongSwan developers still recommend to avoid its use with pre-shared keys. This is due to a known weakness of the protocol. With Aggressive Mode, a hash of the pre-shared key is transmitted in clear-text.
i_dont_care_about_security_and_use_aggressive_mode_psk = yes

---

四 一些废话
这次的配置只是进行简单测试. 目前没有实际使用. 就算是复杂一次ipsec相关的知识吧.
linux中 ike部分的程序有很多. 记得上次我看的还是 racoon.这次发现主流使用的程序已经是 strongswan了.