web-dev-qa-db-ja.com

IPSec環境用のstrongswanセットアップ

私はテストstrongswan ipsecネットワークをセットアップする目的で2つのvirtualbox ubuntuクローンを作成しました。私はフォローしようとしています このガイド 。 virtualboxマシンはブリッジアダプター上にあり、お互いのIPにpingすることで接続できることを確認します。

基本的に、ドキュメントの説明に従ってネットネット構成を作成しました。左側のマシンで、ipsec.confのrightを、右側のマシンでifconfigを実行したときに表示されるIPに置き換え、正しい。

（簡単な副次的なコメントとして、私は安全なチャネルによって共有されるプライベートシークレットを使用したいと思います、ipresumeこれは対称鍵暗号化スキームを意味します。公開鍵に関するものは安全性がいくぶん低くなるためです。また十分に明確にするため、これは政府がを志向する国にとっての問題ですすべての接続をタップするので、MITMは実際の問題です。私の理解が間違っている場合は、遠慮なく説明してください

技術的な問題に戻ると、月に、秘密の文字列を含む/etc/ipsec.d/moonKey.pemファイルを作成し、次に/etc/ipsec.secretsに作成しました。

: RSA moonKey.pem

パスフレーズなし、moonKey.pemの文字列はクリアテキストであるため

同様に、Sunでは、月と同じ秘密の文字列を含む/etc/ipsec.d/sunKey.pemファイルを作成しました。 *これらはPSKになると想定しています

次にSudo ipsec restartを実行してもエラーは発生しませんが、月から10.2.0.0サブネット全体にpingを実行すると応答がありません。同様に、Sunからも応答がないため、セットアップが失敗したようです。

私が間違っているかもしれないアイデアはありますか？またはこの問題をデバッグする方法？

ところで、これらのタグを作成したかったのですが、まだ十分な担当者がいません。

strongswan秘密共有キーubuntu-10.10

ipsec
3
lurscher

引用するドキュメントに記載されている設定は、証明書ベースの認証に適しています。 ipsec.secretsのRSAタグは、ファイルmoonKey.pemにRSA秘密鍵が含まれていることを意味します。

使用するために必要なこと事前共有キー（PSK）：

  • ipsec.secrets には、PSKタグの後に、引用符で囲まれたシークレット自体が続く行が必要です。このように：192.168.0.1 %any : PSK "v+NkxY9LLZvwj4qCC2o/gGrWDF2d21jL"
  • 証明書を使用していないため、_ ipsec.conf からleftcertおよびrightid行を削除する必要があります。
  • in ipsec.confconnステートメントのすぐ下に行authby=secretを追加して、PSK認証メカニズムを指定します。
  • .pemファイルは必要ありません。

現在、これらの変更をテストすることはできないため、何かを見逃している可能性があります。

補足として、公開鍵暗号方式は対称鍵暗号方式よりも劣っていません。正しく使用すれば、どちらも安全です。

3
Giacomo Verticale