Назад | Перейти на главную страницу

IKEv2 Нужна небольшая помощь по Strongswan

Я пытаюсь создать VPN-сервер IKEv2 Strongswan (U5.7.2 / K5.3.0-42-generic) в течение двух дней на моем личном VPS (Ubuntu 19.10), чтобы провести некоторые тесты, прежде чем реализовывать его на оборудовании Unifi моей работы ( Надеюсь, это будет возможно)

Я использовал разные руководства и страницы устранения неполадок, чтобы

Я использую аутентификацию по радиусу (с локальным сервером freeradius) для пользователей

И я столкнулся с этой глупой проблемой, я надеюсь, что один из вас сможет потратить 2 минуты, чтобы помочь мне :)

Я постараюсь быть как можно более подробным, не стесняйтесь обращаться за дополнительной информацией, если это необходимо

Мой ipsec.conf:

config setup
  strictcrlpolicy=yes
  uniqueids=never
conn roadwarrior
  auto=add
  compress=no
  type=tunnel
  keyexchange=ikev2
  fragmentation=yes
  forceencaps=yes

  ike=aes256-sha1-modp1024,aes256gcm16-sha256-ecp521,aes256-sha256-ecp384
  esp=aes256-sha1,aes128-sha256-modp3072,aes256gcm16-sha256,aes256gcm16-ecp384

  dpdaction=clear
  dpddelay=180s
  rekey=no
  left=%any
  leftid=vpsXXXXXX.ovh.net
  leftcert=vpn.example.com.crt.pem
  leftsendcert=always
  leftsubnet=0.0.0.0/0
  right=%any
  rightid=%any
  rightauth=eap-radius
  eap_identity=%identity
  rightdns=8.8.8.8,8.8.4.4
  rightsourceip=10.10.10.0/24
  rightsendcert=never

Мои ipsec.secrets:

vpsXXXXXX.ovh.net : RSA vpn.example.com.key.der

Мои файлы ipsec.d /:

~$ sudo ls /etc/ipsec.d/private/
vpn.example.com.key.der
~$ sudo ls /etc/ipsec.d/certs/
vpn.example.com.crt.pem
~$ sudo ls /etc/ipsec.d/cacerts/
vpnca.crt.der

Я импортировал свой vpnca.crt.der на свой Mac, свой Android (клиент Strongswan), свою Windows 10 Enterprise и Windows 10 Standard друга

На моем Mac и Android все работает нормально, но невозможно установить соединение с Windows.

В swanctl --log:

14[CFG] selected peer config 'roadwarrior'
14[IKE] initiating EAP_IDENTITY method (id 0x00)
14[IKE] peer supports MOBIKE
14[IKE] authentication of 'vpsXXXXXX.ovh.net' (myself) with RSA signature successful
14[IKE] sending end entity cert "C=FR, O=Test Company, CN=vpsXXXXXX.ovh.net"
14[ENC] generating IKE_AUTH response 1 [ IDr CERT AUTH EAP/REQ/ID ]
14[ENC] splitting IKE message (1996 bytes) into 2 fragments
14[ENC] generating IKE_AUTH response 1 [ EF(1/2) ]
14[ENC] generating IKE_AUTH response 1 [ EF(2/2) ]
14[NET] sending packet: from XX.XX.XX.XX[4500] to YY.YY.YY.YY[4500] (1248 bytes)
14[NET] sending packet: from XX.XX.XX.XX[4500] to YY.YY.YY.YY[4500] (816 bytes)

Со стороны Windows отображается обычная ошибка:

"IKE authentication credentials are unacceptable"

В средстве просмотра событий:

CoId={6C88B9D2-54F0-4671-A12D-B506DE75630F}: The user MYWORKDOMAIN\myuser dialed a connection named VPN Connection which has failed. The error code returned on failure is 13801.

Что я сделал на стороне Windows:

Импортируйте сертификат CA в Сертификаты локального компьютера -> Доверенные корневые центры сертификации -> Сертификаты
Создайте VPN-соединение в настройках VPN:
- Имя или адрес сервера: vpsXXXXXX.ovh.net
- Тип VPN: IKEv2
- Тип данных для входа: Пользователь и пароль
В свойствах addaptator ncpa.cpl:
- Безопасность:
  - Шифрование данных: дополнительное шифрование
  - Аутентификация: использовать расширенный протокол аутентификации (EAP): Microsoft: защищенный пароль (EAP-MSCHAPv2) (шифрование включено)
- Сеть: не отмечен IPv6

CA имеет следующие атрибуты:

Verison:
V3
Serial Number:
73fbd6a8d90a33db
Signature algorithm:
sha1RSA
Signature hash algorithm:
sha1
Issuer:
CN = TEST VPS CA
O = Test Company
C = FR
Valid from:
‎Friday, ‎March ‎27, ‎2020 3:15:29 PM
Valid to:
‎Monday, ‎March ‎27, ‎2023 3:15:29 PM
Subject:
CN = TEST VPS CA
O = Test Company
C = FR
Pulic key:
RSA (4096 bits)
Pulic key parameters:
05 00
Subject key identifier:
214851f1fe79e3719be0139fab1799a9d4a08561
Enhanced Key Usage:
Server Authentication (1.3.6.1.5.5.7.3.1)
Basic Constraints:
Subject Type=CA
Path Length Constraint=None
Key Usage:
Information Not Available
Thumbprint:
78e8cc49ab508b8f477b419d369873036be488b4

Атрибуты сертификата VPS:

Version:
3
Serial Number:
3611432227629166526
Signature Algorithm:
sha1WithRSAEncryption
Issuer:
C = FR, O = Test Company, CN = TEST VPS CA
Validity:
Not Before: Mar 27 14:15:31 2020 GMT
Not After : Mar 27 14:15:31 2023 GMT
Subject:
C = FR, O = Test Company, CN = vpsXXXXXX.ovh.net
Public Key Algorithm:
rsaEncryption
RSA Public-Key:
(4096 bit)
X509v3 extensions:
X509v3 Authority Key Identifier:
keyid:21:48:51:F1:FE:79:E3:71:9B:E0:13:9F:AB:17:99:A9:D4:A0:85:61
X509v3 Subject Alternative Name:
DNS:vpsXXXXXX.ovh.net
X509v3 Extended Key Usage:
TLS Web Server Authentication
Signature Algorithm:
sha1WithRSAEncryption

Команды, используемые для создания сертификатов:

ipsec pki --gen --type rsa --size 4096 --outform pem > vpnca.key.pem
ipsec pki --self --flag serverAuth --in vpnca.key.pem --type rsa --digest sha1 \
    --dn "C=FR, O=Test Company, CN=TEST VPS CA" --ca > vpnca.crt.der
ipsec pki --gen --type rsa --size 4096 --outform pem > vpn.example.com.key.pem
ipsec pki --pub --in vpn.example.com.key.pem --type rsa > vpn.example.com.csr
ipsec pki --issue --cacert vpnca.crt.der --cakey vpnca.key.pem --digest sha1 \
    --dn "C=FR, O=Test Company, CN=vpsXXXXXX.ovh.net" \
    --san "vps807542.ovh.net" --flag serverAuth --outform pem \
    < vpn.example.com.csr > vpn.example.com.crt.pem 
openssl rsa -in vpn.example.com.key.pem -out vpn.example.com.key.der -outform DER

cp vpnca.crt.der /etc/ipsec.d/cacerts
cp vpn.example.com.crt.pem /etc/ipsec.d/certs
cp vpn.example.com.key.der /etc/ipsec.d/private

Надеюсь, у вас достаточно информации, и вы сможете мне помочь, потому что я действительно не понимаю, почему моя Windows не отвечает на пакет IKE_AUTH ...

Спасибо за помощь и заботьтесь!