ПР. Организация защищённого канала

Кратко:

• VPN (Virtual Private Network) используется для защиты передаваемых данных между локальной инфраструктурой и облаком.
• VPN-туннель - канал передачи данных между двумя узлами, VPN-шлюзом и VPN-клиентом.
• Для создания VPN-туннеля необходимо идентифицировать узлы, определить протоколы и алгоритмы шифрования.
• IPSec (Internet Protocol Security) - популярный стандарт для создания VPN-туннелей.
• В статье представлен урок по настройке IPSec VPN-туннеля между двумя VPN-шлюзами с использованием демона strongSwan.
• Для практической работы необходимы сеть и подсеть в Yandex Cloud, тестовая виртуальная машина без публичного IP-адреса и две VPN-инстанса (одна для создания IPSec-инстанса, другая для использования в качестве удалённого шлюза).
• В статье представлены шаги по настройке IPSec-шлюзов и проверке созданного VPN-туннеля.

Практическая работа. Организация защищённого канала

1. Перед созданием туннеля узлы идентифицируют друг друга, чтобы удостовериться, что шифрованные данные будут отправлены на нужный узел.
2. На обоих узлах нужно заранее определить, какие протоколы будут использоваться для шифрования и обеспечения целостности данных.
3. Узлы сверяют настройки, чтобы договориться об используемых алгоритмах. Если настройки разные, туннель не создаётся.
4. Если сверка прошла успешно, то создаётся ключ, который используется для симметричного шифрования.

Шаг 1. Создание ресурсов

1. Откройте ваш каталог, нажмите кнопку Создать ресурс и выберите пункт Виртуальная машина.
2. В поле Имя задайте имя ВМ, например ipsec-instance.
3. Выберите зону доступности, где находится подсеть, к которой будет подключён IPSec-инстанс, и тестовая ВМ.
4. В разделе Выбор образа/загрузочного диска перейдите в блок Cloud Marketplace и выберите образ IPSec-инстанс.

5. В блоке Сетевые настройки выберите нужную сеть, подсеть и назначьте ВМ публичный IP-адрес из списка или автоматически.

6. В блоке Доступ укажите логин и SSH-ключ для доступа к ВМ.
7. Нажмите кнопку Создать ВМ.

Шаг 2. Настраиваем IPSec

1. Подключитесь к ВМ IPSec-инстанс по SSH:

   ssh <имя пользователя>@130.193.32.25

2. Откройте конфигурацию IPSec:

   sudo nano /etc/ipsec.conf

3. В разделе config setup файла конфигурации задайте следующие параметры:

   config setup
           charondebug="all"
           uniqueids=yes
           strictcrlpolicy=no

4. Добавьте новый раздел с описанием тестового соединения, например conn cloud-to-hq.
5. Задайте параметры тестового соединения:

6. Укажите остальные настройки, консультируясь с документацией strongSwan и учитывая настройки удалённого шлюза.
7. У вас должна получиться примерно такая конфигурация:

   conn cloud-to-hq
           authby=secret
           left=%defaultroute
           leftid=130.193.32.25
           leftsubnet=10.128.0.0/24
           right=1.1.1.1
           rightsubnet=192.168.0.0/24
           ike=aes256-sha2_256-modp1024!
           esp=aes256-sha2_256!
           keyingtries=0
           ikelifetime=1h
           lifetime=8h
           dpddelay=30
           dpdtimeout=120
           dpdaction=restart
           auto=start

8. Сохраните изменения и закройте файл.
9. Откройте файл /etc/ipsec.secrets и укажите в нём пароль для установки соединения:

   130.193.32.25 1.1.1.1 : PSK "<пароль>"

10. Перезапустите strongSwan:

    sudo systemctl restart strongswan-starter

Шаг 3. Настраиваем статическую маршрутизацию

1. Откройте сервис Virtual Private Cloud в каталоге, где требуется создать статический маршрут.
2. Выберите раздел Таблицы маршрутизации в панели слева и нажмите кнопку Создать таблицу маршрутизации.
3. Задайте имя таблицы маршрутизации, выберите сеть, в которой требуется её создать, и нажмите кнопку Добавить маршрут.
4. В открывшемся окне введите префикс подсети назначения на удалённой стороне, в примере это 192.168.0.0/24.

5. В поле Next hop укажите внутренний IP-адрес IPSec-шлюза и нажмите кнопку Добавить.
6. Нажмите кнопку Создать таблицу маршрутизации.
7. Чтобы использовать статические маршруты, нужно привязать таблицу маршрутизации к подсети. Для этого в разделе Подсети, в строке нужной подсети, нажмите кнопку … и в открывшемся меню выберите пункт Привязать таблицу маршрутизации.

8. В открывшемся окне выберите созданную таблицу и нажмите кнопку Привязать. Созданный маршрут можно применять и к другим подсетям этой сети.

Шаг 4. Настраиваем IPSec на другом шлюзе

1. Настройте strongSwan аналогично первому IPSec-шлюзу, но с зеркальными настройками IP-адресов и подсетей в файле /etc/ipsec.conf. Должна получиться такая конфигурация:

   conn hq-to-cloud
           authby=secret
           left=%defaultroute
           leftid=1.1.1.1
           leftsubnet=192.168.0.0/24
           right=130.193.32.25
           rightsubnet=10.128.0.0/24
           ike=aes256-sha2_256-modp1024!
           esp=aes256-sha2_256!
           keyingtries=0
           ikelifetime=1h
           lifetime=8h
           dpddelay=30
           dpdtimeout=120
           dpdaction=restart
           auto=start

2. Укажите пароль для соединения в файле /etc/ipsec.secrets, указав IP-адреса шлюзов в обратном порядке:

   1.1.1.1 130.193.32.25 : PSK "<пароль>"

3. Перезапустите strongSwan:

   sudo systemctl restart strongswan-starter

Шаг 5. Проверяем, что всё работает

sudo ipsec status

Security Associations (1 up, 0 connecting):
hq-to-cloud[3]: ESTABLISHED 29 minutes ago, 10.128.0.26[130.193.33.12]...192.168.0.23[1.1.1.1]
hq-to-cloud{3}:  INSTALLED, TUNNEL, reqid 3, ESP in UDP SPIs: c7fa371d_i ce8b91ad_o
hq-to-cloud{3}:   10.128.0.0/24 === 192.168.0.0/24

sudo journalctl -u strongswan-starter

systemctl status strongswan-starter