VPN через средний / переходный сервер

Если вы используете IPSec в Linux (StrongSwan), маршрутизация политики выполняется с использованием ip xfrm policy: политики с dir out используются, чтобы решить, в какой туннель пересылать пакеты, а политики с dir in и dir fwd используются, чтобы решить, разрешить или отбросить пакет.

Предполагать serverA имеет публичный IP 192.0.2.1 и частный IP 10.0.10.1 (вы можете прикрепить его к петлевому устройству), serverB имеет публичный IP 198.51.100.1 и частный IP 10.0.20.1, а VPN-клиенты получают IP-адрес в сети 10.0.30.0/24. Вы можете установить туннель, используя swanctl.conf на serverA вот так:

connections {
  serverB {
    version = 2
    local_addrs=192.0.2.1
    remote_addrs=198.51.100.1
    local {
        # serverA auth parameters
    }
        # serverB auth parameters
    }
    children {
      tunnel {
        local_ts = 10.0.10.0/24
        remote_ts = 10.0.20.0/24
        start_action = start
        reqid = 10
        priority = 1000
      }
    }
  }
}

а на serverB аналогичная конфигурация с local* и remote* перевернутый.

Обратите внимание, что reqid и priority параметры фиксированы, поэтому их можно использовать в политиках. Это невозможно сделать в ipsec.conf.

Для настройки маршрутизации политики вам необходимо на serverA:

1. Разрешить зашифрованный трафик с IP-адресов в 10.0.30.0/16 на любой IP. Это делается автоматически, если вы установите local_ts = 0.0.0.0/0 в конфигурации подключения VPN-клиентов.

2. Разрешить зашифрованный трафик для 10.0.30.0/24 из туннеля с serverB:

   ip xfrm policy add src 0/0 dst 10.0.30/24 \
       dir fwd priority 2000 \
       tmpl src 198.51.100.1 dst 192.0.2.1 \
       proto esp reqid 10 mode tunnel
   

   Это работает аналогично ACCEPT править в FORWARD цепочка IP.

3. Перенаправить трафик из 10.0.30.0/24 на serverB:

   ip xfrm policy add src 10.0.30/24 dst 0/0 \
       dir out priority 2000 \
       tmpl src 192.0.2.1 dst 198.51.100.1 \
       proto esp reqid 10 mode tunnel
   

Приоритеты выше, чем автоматически устанавливаемые StrongSwan, поэтому, если эти политики установлены, пересылка разрешена. Если вы удалите эти политики, установленные StrongSwan будут разрешать трафик только между 10.0.10.0/24 и 10.0.20.0/24. На serverB вы можете использовать те же политики, просто замените dir out с участием dir fwd.

PS: Конечно, вам также нужны некоторые правила iptables, чтобы serverA и serverB разрешали трафик ESP и IKE:

iptables -I INPUT -p esp -j ACCEPT
iptables -I INPUT -p udp -m multiport --dports 500,4500 -m comment --comment "IKE" -j ACCEPT

и некоторые правила отбрасывания, чтобы пакеты не выходили незашифрованными, если туннель выходит из строя:

iptables -A OUTPUT -o <external_interface> -s 10.0.0.0/16 -m policy --dir out --policy ipsec -j ACCEPT
iptables -A OUTPUT -o <external_interface> -s 10.0.0.0/16 -j DROP

редактировать: Поскольку вы используете ipsec.conf и эквивалентная конфигурация для вышеупомянутого swanctl.conf является:

conn servers {
    left=192.0.2.1
    right=198.51.100.1
    # The appropriate authentication leftauth, leftid, ...
    leftsubnet = 10.0.10.0/24
    rightsubnet = 10.0.20.0/24
    auto = start
    reqid = 10
}

С уважением к swanctl.conf он имеет то преимущество, что он работает без изменений на обоих хостах, но не позволяет устанавливать priority политик, поэтому вам нужно будет проверить, что StrongSwan выбирает для установки более высокого приоритета.

Расширяю мою подсказку в комментарии.

Я знаю, как создавать туннели в OpenVPN, так как использую его для подключения к сети IPv6, но идея должна быть такой же для IPSec.

Я начну с того, с чем я знаком (это IPv6), и покажу, как его можно преобразовать в IPv4.

Хотя дружеский отказ от ответственности:

Я не экспериментировал с многодомной маршрутизацией на IPv4, поэтому ваш пробег может отличаться.

Сервер A - версия IPv6

На моем сервере сетевой интерфейс туннеля OpenVPN называется tun0.

На Сервер А редактировать /etc/iproute2/rt_tables, поэтому у вас есть следующая запись:

200     openvpn

Это создаст специальную таблицу маршрутизации, которую мы можем использовать для маршрутизации VPN. Таблица маршрутизации по умолчанию называется main.

Таблица openvpn будет обрабатывать все пакеты, которые отправляются восходящим потоком (вы -> Интернет), в то время как таблица маршрутизации main будет обрабатывать весь нисходящий трафик (Интернет -> вы).

ip -6 rule add priority 32000 iif tun0 to 2000::/3 table openvpn
ip -6 route add default via <ipv6 address> dev tun1 table openvpn

Обратите внимание, что вам нужно будет добавить правила для любого диапазона IP-адресов, который принадлежит вам.

Предполагая, что диапазон IPv6 2001: db8: cafe :: / 48 принадлежит вам, и у вас есть следующие настройки:

• ссылка клиента vpn находится на 2001: db8: cafe: 1 :: / 64 с клиентом, имеющим IP-адрес 2001: db8: cafe: 1 :: 100
• клиентская локальная сеть - 2001: db8: cafe: 100 :: / 64, что даст правила:

ip -6 route add unreachable 2001:db8:cafe::/48 table main
ip -6 route add 2001:db8:cafe:100::/64 via 2001:db8:cafe:1::100 dev tun0

Сервер A - версия IPv4

Версия IPv4 будет:

Нам по-прежнему нужна выделенная таблица маршрутизации, потому что нам нужно маршрутизировать трафик на основе происхождения, поэтому /etc/iproute2/rt_tables еще нужна запись:

200     openvpn

Предполагая, что правила IPv4 в значительной степени аналогичны IPv6, вы получаете следующие команды для таблицы маршрутизации openvpn:

ip rule add priority 32000 iif tun0 to 0.0.0.0/0 table openvpn
ip route add default via <ipv4 address> dev tun1 table openvpn

Теперь я не уверен, есть ли какие-либо диапазоны IPv4, которые нужно перехватить на этом этапе (например, адреса RFC1918), поскольку общая идея в основном заключается в том, чтобы пересылать все, что входит в интерфейс. tun0 и отправь это на tun1 на диаграмме выше.

Сервер B - версия IPv6

Вот два подхода к перенаправлению трафика IPv6 в Интернет:

• Если вы получили маршрутизируемый пул IPv6 от интернет-провайдера, подключенного к Server B, тогда молодец. Таблица маршрутизации по умолчанию main вероятно, может сделать все за вас.

• Если у вас есть блок IPv6 от, скажем, Hurricane Electric, вам в основном потребуется та же настройка, что и на Server A со специальной таблицей маршрутизации для восходящего потока и с использованием таблицы маршрутизации по умолчанию для нисходящего.

Сервер B - версия IPv4

Здесь, наверное, проще всего лечить Server B как NAT, поэтому вам необходимо замаскировать все пакеты, поступающие из вашей сети, перед их отправкой в ​​Интернет.