IPsec sous debian avec strongswan - Historique des versions

Pfoo le 21 décembre 2022 à 22:20

2022-12-21T22:20:07Z

← Version précédente		Version du 22 décembre 2022 à 00:20
Ligne 9 :		Ligne 9 :
	</pre>		</pre>

	Note : sous Openvz, vous aurez aussi besoin du paquet <code>libcharon-extra-plugins</code> qui fournit l'implémentation <code>kernel-libipsec</code>		Note : sous Openvz, vous aurez aussi besoin du paquet <code>libcharon-extra-plugins</code> qui fournit l'implémentation <code>kernel-libipsec</code> (au travers d'une interface TUN au lieu de VTI)

	=Tunnel VTI, authentifié par clés RSA, compatible avec pfsense=		=Tunnel VTI, authentifié par clés RSA, compatible avec pfsense=

Pfoo le 21 décembre 2022 à 22:19

2022-12-21T22:19:47Z

← Version précédente		Version du 22 décembre 2022 à 00:19
Ligne 6 :		Ligne 6 :

	<pre>		<pre>
	~~aptitude~~ install strongswan strongswan-swanctl		apt install strongswan strongswan-swanctl
	</pre>		</pre>

			Note : sous Openvz, vous aurez aussi besoin du paquet <code>libcharon-extra-plugins</code> qui fournit l'implémentation <code>kernel-libipsec</code>

	=Tunnel VTI, authentifié par clés RSA, compatible avec pfsense=		=Tunnel VTI, authentifié par clés RSA, compatible avec pfsense=

Pfoo : /* création de l'interface */

2022-07-12T20:34:25Z

création de l'interface

← Version précédente		Version du 12 juillet 2022 à 22:34
Ligne 110 :		Ligne 110 :
	<code>okey</code> et <code>ikey</code> (qui peuvent être substitué par un seul et unique <code>key</code>) doivent être équivalent à la <code>mark</code> défini dans ipsec.conf		<code>okey</code> et <code>ikey</code> (qui peuvent être substitué par un seul et unique <code>key</code>) doivent être équivalent à la <code>mark</code> défini dans ipsec.conf
	<br><br>		<br><br>

			NB : si vous montez un tunnel avec des IPv6, il faudra utiliser : <code>ip -6 tunnel add ipsec0 local $LOCAL_IP remote $REMOTE_IP mode vti6 okey 42 ikey 42</code>

	A ce stade, seul le tunnel sera joignable (10.66.10.1 et 10.66.10.2) car ipsec a installé une policy restrictive (<code>ip xfrm policy</code>).<br>		A ce stade, seul le tunnel sera joignable (10.66.10.1 et 10.66.10.2) car ipsec a installé une policy restrictive (<code>ip xfrm policy</code>).<br>
	Si d'autres ranges doivent être joignable de part et d'autres du VPN (ce qui est probable sinon vous n'utiliseriez pas VTI), vous avez deux solutions : désactiver l'installation automatique des policy et installer votre policy manuellement, ou modifier la configuration d'ipsec.		Si d'autres ranges doivent être joignable de part et d'autres du VPN (ce qui est probable sinon vous n'utiliseriez pas VTI), vous avez deux solutions : désactiver l'installation automatique des policy et installer votre policy manuellement, ou modifier la configuration d'ipsec.

Pfoo : /* Logs */

2022-02-10T09:47:49Z

Logs

← Version précédente		Version du 10 février 2022 à 11:47
Ligne 153 :		Ligne 153 :

	Le fichier <code>/path/to/ipsec.updown</code> doit être exécutable.		Le fichier <code>/path/to/ipsec.updown</code> doit être exécutable.

			==Sécurisation iptables==
			Pour n'autoriser que le serveur distant à contacter le démon ipsec, vous aurez besoin de l'une (ou des deux) lignes suivantes dans votre firwall iptables :
			<pre>
			iptables -t filter -A INPUT -i ens192 -p udp -m multiport --dports 500,4500 -s $REMOTE_IP -j ACCEPT
			iptables -t filter -A INPUT -i ens192 -p esp -s $REMOTE_IP -j ACCEPT
			</pre>

	==Logs==		==Logs==

Pfoo : /* Logs */

2022-02-10T09:45:32Z

Logs

← Version précédente		Version du 10 février 2022 à 11:45
Ligne 155 :		Ligne 155 :

	==Logs==		==Logs==
	~~Dans~~ le fichier <code>/etc/strongswan.d/charon-logging.conf</code> :		Afin de réduire un peu la taille des logs, modifiez cela dans le fichier <code>/etc/strongswan.d/charon-logging.conf</code> :
	<pre>		<pre>
	syslog {		syslog {

Pfoo : /* Automatisation */

2022-02-10T09:45:02Z

Automatisation

@@ Ligne 153 : / Ligne 153 : @@
 Le fichier <code>/path/to/ipsec.updown</code> doit être exécutable.
 =Plus d'informations=
 https://wiki.strongswan.org/projects/strongswan/wiki/SecurityRecommendations

Pfoo : /* Automatisation */

2022-02-10T09:42:53Z

Automatisation

← Version précédente		Version du 10 février 2022 à 11:42
Ligne 146 :		Ligne 146 :

	==Automatisation==		==Automatisation==
	Vous pouvez crée une copie de <code>/usr/lib/ipsec/_updown</code>.		Vous pouvez crée une copie de <code>/usr/lib/ipsec/_updown</code>.<br>
	Les sections qui nous intéressent ici sont <code>up-client:</code> et <code>down-client:</code>		Les sections du fichier qui nous intéressent ici sont <code>up-client:</code> et <code>down-client:</code>

			Pour invoquer automatiquement le fichier, il faut ajouter cette directive à votre <code>conn</code> dans <code>/etc/ipsec.conf</code> :
			<pre>leftupdown = /path/to/ipsec.updown</pre>

			Le fichier <code>/path/to/ipsec.updown</code> doit être exécutable.

	=Plus d'informations=		=Plus d'informations=
	https://wiki.strongswan.org/projects/strongswan/wiki/SecurityRecommendations		https://wiki.strongswan.org/projects/strongswan/wiki/SecurityRecommendations

Pfoo : /* Note */

2022-02-10T09:40:22Z

Note

← Version précédente		Version du 10 février 2022 à 11:40
Ligne 135 :		Ligne 135 :

	===Note===		===Note===
	Dans les faits, la documentation recommande de définir <code>left\|rightsubnet=0.0.0.0/0</code>. Cette configuration est tout à fait valable du moment que vous montez un tunnel dans lequel vous maîtrisez totalement la configuration des deux démons ipsec. Si l'un des démons est, par exemple, géré par pfsense, cette configuration risque de ne pas fonctionner correctement.		Dans les faits, la documentation recommande de définir <code>left\|rightsubnet=0.0.0.0/0</code> (et uniquement cela). Cette configuration est tout à fait valable du moment que vous montez un tunnel dans lequel vous maîtrisez totalement la configuration des deux démons ipsec. Si l'un des démons est, par exemple, géré par pfsense, cette configuration risque de ne pas fonctionner correctement.

	==Routage==		==Routage==

Pfoo : /* Automatisation */

2021-05-15T17:41:31Z

Automatisation

← Version précédente		Version du 15 mai 2021 à 19:41
Ligne 148 :		Ligne 148 :
	Vous pouvez crée une copie de <code>/usr/lib/ipsec/_updown</code>.		Vous pouvez crée une copie de <code>/usr/lib/ipsec/_updown</code>.
	Les sections qui nous intéressent ici sont <code>up-client:</code> et <code>down-client:</code>		Les sections qui nous intéressent ici sont <code>up-client:</code> et <code>down-client:</code>

			=Plus d'informations=
			https://wiki.strongswan.org/projects/strongswan/wiki/SecurityRecommendations

Pfoo : /* Routage */

2021-05-15T17:40:49Z

Routage

← Version précédente		Version du 15 mai 2021 à 19:40
Ligne 142 :		Ligne 142 :

	Cela fait passer les paquets par le tunnel VTI, qui applique la mark (42 ici), et la marqué détectée permet au paquet de passer par ipsec.		Cela fait passer les paquets par le tunnel VTI, qui applique la mark (42 ici), et la marqué détectée permet au paquet de passer par ipsec.

			N'oubliez pas d'activer le forwarding ip si nécessaire (<code>/proc/sys/net/ipv4/ip_forward</code>)

	==Automatisation==		==Automatisation==
	Vous pouvez crée une copie de <code>/usr/lib/ipsec/_updown</code>.		Vous pouvez crée une copie de <code>/usr/lib/ipsec/_updown</code>.
	Les sections qui nous intéressent ici sont <code>up-client:</code> et <code>down-client:</code>		Les sections qui nous intéressent ici sont <code>up-client:</code> et <code>down-client:</code>

IPsec sous debian avec strongswan - Historique des versions

Pfoo le 21 décembre 2022 à 22:20

Pfoo le 21 décembre 2022 à 22:19

Pfoo : /* création de l'interface */

Pfoo : /* Logs */

Pfoo : /* Logs */

Pfoo : /* Automatisation */

Pfoo : /* Automatisation */

Pfoo : /* Note */

Pfoo : /* Automatisation */

Pfoo : /* Routage */

Pfoo : /* création de l'interface */

Pfoo : /* Logs */

Pfoo : /* Logs */

Pfoo : /* Automatisation */

Pfoo : /* Automatisation */

Pfoo : /* Note */

Pfoo : /* Automatisation */

Pfoo : /* Routage */