Как реализовать тунель между Centos и Mikrotik?

Question

[Никита Решетняк]

Доброго времени суток! ПОдскажите пожалуйста способ организации сего соединения, ну или ссыль на действенный мануал. В чем суть имеем железо стоящее в дата центре. наружу смотрит виртуалка с Centosом выступающая в роли шлюза. Так же имеется 3 офиса связанные IPsec (тик2011 тик2011 тик3011). Вопрос как их можно подвязать к железке в дата центре. Заранее спасибо

Answer 1

[Дмитрий]

Микротик поддерживает целый ворох VPN технологий(ipsec, l2tp, ovpn, ipip). Выбирайте тот который лучше знаете как настраивать на вашем шлюзе.

Answer 2

[CityCat4]

Я использую IPSec. Со стороны микротика он уже есть, со стороны центоса ставится пакет strongswan. У швана очень подробная документация, вагоны примеров.
Минусы - шифрование делается в ядре, для понимания того, как ходят пакеты, нужно иметь полную схему (где указано, в какой момент пакеты шифруются).
(Плюсы - есть примеры конфигов, могу поделиться :) )

Comments

[Никита Решетняк]

Спасибо, уже вроде настроил GRE+енот. Туннель поднялся пинги на туннельные адреса ходят, а за туннель в цент пока нет

[CityCat4]

trjflash, енот на центосе? Ох, натрахался я с ним на FreeBSD... Смотрите или маршрутизацию или правила файрволла

[Никита Решетняк]

CityCat4, Может подскажете как правильно жахнуть маршруты и правила а то уже много времени потерял не пашет... Ни из за центоса не виден тик ни с тика не видать сеть за центосом. Тик тестовый все открыто

[Никита Решетняк]

CityCat4, Не, енот помер, буду пробовать шван тогда... Говоришь есть примеры конфигов )))

[CityCat4]

trjflash, Не знаю, как работает GRE, но вот IPSec проходит тик дважды - как впрочем и iptables тоже - первый раз зашифрованный, второй раз расшифрованый. Поэтому фактически для IPSec маршрутизация не нужна - ее заменяет policy. Там главное NAT-ом пакет не поломать :) потому что у IPSec есть контрольная сумма, а после NAT - она сходиться перестает и пакет отбрасывается :)
Примеры есть. Я целую тестовую сеть строил - тик, за которым тачка, центос, за которым тачка.

[Никита Решетняк]

CityCat4, Да тож построил ищу мануал

[CityCat4]

trjflash, у швана преогромная документация

[Никита Решетняк]

CityCat4, Да видал уже, охота как то по простому для начала, а там уже на работающем посмотрю

[CityCat4]

trjflash, ну там и по простому есть - два узла на текстовых паролях. А потом посложнее... а потом как у меня - на сертифтикатах :)

[Никита Решетняк]

CityCat4, Слушая я чет не догоняю, вроде настроил, даже тик перестал ошибки кидать. Но Шван говорит ESTABLISHED тик на вкладке Installed SAs колонки Auth и Encruption пустые, хотя когда енотом настраивал там стоял алгоритм. Пинга нет на тунельные адреса ни оттуда ни туда

[root@CentOSGATE etc]# strongswan statusall
Status of IKE charon daemon (strongSwan 5.7.1, Linux 3.10.0-862.el7.x86_64, x86_64):
uptime: 63 seconds, since Dec 01 18:01:18 2018
malloc: sbrk 1720320, mmap 0, used 584000, free 1136320
worker threads: 11 of 16 idle, 5/0/0/0 working, job queue: 0/0/0/0, scheduled: 4
loaded plugins: charon pkcs11 tpm aes des rc2 sha2 sha1 md4 md5 mgf1 random nonce x509 revocation constraints acert pubkey pkcs1 pkcs7 pkcs8 pkcs12 pgp dnskey sshkey pem openssl gcrypt fips-prf gmp curve25519 chapoly xcbc cmac hmac ctr ccm gcm curl attr kernel-netlink resolve socket-default farp stroke vici updown eap-identity eap-sim eap-aka eap-aka-3gpp eap-aka-3gpp2 eap-md5 eap-gtc eap-mschapv2 eap-dynamic eap-radius eap-tls eap-ttls eap-peap xauth-generic xauth-eap xauth-pam xauth-noauth dhcp led duplicheck unity counters
Listening IP addresses:
172.17.192.241
172.17.190.1
192.168.10.1
Connections:
mikrotik: 172.17.192.241...172.17.192.252 IKEv1, dpddelay=30s
mikrotik: local: [172.17.192.241] uses pre-shared key authentication
mikrotik: remote: [172.17.192.252] uses pre-shared key authentication
mikrotik: child: dynamic[gre] === dynamic[gre] TRANSPORT, dpdaction=restart
Security Associations (1 up, 0 connecting):
mikrotik[1]: ESTABLISHED 62 seconds ago, 172.17.192.241[172.17.192.241]...172.17.192.252[172.17.192.252]
mikrotik[1]: IKEv1 SPIs: 489c7e5dc0d62de6_i* a8ff69b0a4a4d5a1_r, pre-shared key reauthentication in 23 hours
mikrotik[1]: IKE proposal: AES_CBC_128/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_2048

config setup

conn %default
# keyexchange=ikev2

conn mikrotik

# Try connect on daemon start
auto=start
# Authentication by PSK (see ipsec.secret)
authby=secret
# Disable compression
compress=no
# Re-dial setings
closeaction=clear
dpddelay=30s
dpdtimeout=150s
dpdaction=restart
# ESP Authentication settings (Phase 2)
esp=aes128-sha1-modp2048,aes256-sha1-modp2048
# UDP redirects
forceencaps=no
# IKE Authentication and keyring settings (Phase 1)
ike=aes128-sha1-modp2048,aes256-sha1-modp2048
ikelifetime=86400s
keyingtries=%forever
lifetime=3600s
# Internet Key Exchange (IKE) version
# Default: Charon - ikev2, Pluto: ikev1
keyexchange=ikev1
# connection type
type=transport
# Peers
left=172.17.192.241
right=172.17.192.252
# Protocol type. May not work in numeric then need set 'gre'
leftprotoport=47
rightprotoport=47<->

[CityCat4]

Отвечу вечером. В настройках тика Local address мне кажется излишним - у меня его нигде нет. И DH группу можно брать послабее - у меня стоит modp1024 - но это все смотрится по логам швана - прошла фаза 2 или нет.
На закладке Installed SAs в колонке Encr должен быть выбранный алгоритм, на закладке Auth - выбранный метод подписи (там может быть none), счетчики в Current Bytes должнеы обновляться, когда пинг проходит. И на закладке Policies в столбце PH2 State если фаза 2 прошла успешно - стоит established

[CityCat4]

Есть предположение, что policy неверно, если это tunnel, а не transport. В src.address и dst. address в этом случае должны стоять внутренние подсетки. А реальные адреса концов туннеля - на закладке action, в полях sa src address и sa dst address

[Никита Решетняк]

Окай, завтра буду глядеть