View source for Creazione di una VPN Ipsec Lan2Lan con Debian Lenny

Si utilizza racoon, che  differenza di openswan non crea un'interfaccia ipsec0, ma gestisce tutto a livello di kernel.

==Installazione pacchetti==
 
 sudo apt-get install racoon ipsec-tools


 "Please select the configuration mode for racoon IKE daemon."
 
                                        "direct"

==Overview==

La configurazione si artiola nei seguenti step:
* file configurazione racoon: definisce gli estremi di connessione ed i parametri usati per la stessa
* file di configurazione setkey: definisce le politiche di pseudo-routing per cui attivare la vpn 
* file delle psk: contiene le password di collegamento
* file di startup (sostituibile con "script phase1_up / phase1_down" vedi man racoon.conf): setta il routing e lancia il file setkey
* disabilitazione source nat interfaccia pubblica
* sblocco regole firewall

Da notare che una volta che si lancia racoon, il tunnel non si attiva: è necessario pingare o generare traffico tra le due subnet per attivarlo.

Inoltre occorre disabilitare il natting in uscita sull'interfaccia pubblica verso la subnet di destinazione, altrimenti il tunnel non funziona. 

Questo perchè il traffico verso la subnet remota è instradato tramite la eth1, che natta tutto il traffico con l'ip pubblico.

==VPN Lan2Lan tra due host con eth1 con IP Pubblico==

Schema:

<pre>

Subnet_A
192.168.254.0/24
|
| eth0 192.168.254.254
Firewall_A
| eth1 xx.xx.xx.xx
|
|
Internet
|
|
| eth1 yy.yy.yy.yy
Firewall_B
| eth0 192.168.3.254
|
192.168.3.0/24
Subnet_B
</pre>

===Configurazione Firewall_A ===

Tutta la configurazione è contenuta in
 cd /etc/racoon

====Creazione configurazione racoon====
 sudoedit rvmgal.conf 

<pre>
listen {
        isakmp xx.xx.xx.xx [500];
        # IP pubblico Firewall_A su cui bindare
}              

remote yy.yy.yy.yy {
       # IP Pubblico Firewall_B a cui collegarsi
        exchange_mode main;
        my_identifier address xx.xx.xx.xx;
        # identificatore per trovare la riga della password nel file psk remoto
        initial_contact off;
        proposal {
                encryption_algorithm 3des;
                hash_algorithm md5;
                authentication_method pre_shared_key;
                dh_group 2;
        }
}

sainfo address 192.168.254.0/24 any address 192.168.3.0/24 any {
        # plitiche di connessione Subnet_B-Subnet_A
        pfs_group 2;
        encryption_algorithm 3des;
        authentication_algorithm hmac_md5;
        compression_algorithm deflate;
        lifetime time 28800 sec;
}
</pre>


====File di configurazioen setkey====
Questo file imposta le politiche di autorizzazione al traffico una volta che il tunnel è stato creato:

 sudoedit setkey.conf 

<pre>
#!/usr/sbin/setkey -f
#
# Flush SAD and SPD
flush;
spdflush;

# Create policies for racoon
spdadd 192.168.3.0/24 192.168.254.0/24 any -P in ipsec esp/tunnel/yy.yy.yy.yy-xx.xx.xx.xx/require;
spdadd 192.168.254.0/24 192.168.3.0/24 any -P out ipsec esp/tunnel/xx.xx.xx.xx-yy.yy.yy.yy/require;
</pre>

*'''ATTENZIONE: SE SI DEVONO TRASPORTARE SUBNET DIVERSE, È NECESSARIO CAMBIARE L'ULTIMO PARAMETRO IN unique, ad esempio:'''

<pre>
spdadd 192.168.3.0/24 192.168.254.0/24 any -P in ipsec esp/tunnel/yy.yy.yy.yy-xx.xx.xx.xx/unique;
spdadd 192.168.254.0/24 192.168.3.0/24 any -P out ipsec esp/tunnel/xx.xx.xx.xx-yy.yy.yy.yy/unique;

spdadd 192.168.4.0/24 192.168.254.0/24 any -P in ipsec esp/tunnel/yy.yy.yy.yy-xx.xx.xx.xx/unique;
spdadd 192.168.254.0/24 192.168.4.0/24 any -P out ipsec esp/tunnel/xx.xx.xx.xx-yy.yy.yy.yy/unique;
</pre>

* Se non si fa questo, funzionerà solo al prima subnet, e la seconda smetterà di far passare pacchetti dopo qualche secondo. Vedi [https://sourceforge.net/p/ipsec-tools/mailman/message/25373839/ IPsec Tools / Mailing Lists Problems with racoon when multiple networks are behind a single VPN gateway ]

====File delle PSK====
In questo file si mette la password che deve usare il peer remoto per collegarsi. La password viene matchata con l'identificatore usato nel file di cfg remoto:

 sudoedit psk.txt 

<pre>
...
yy.yy.yy.yy    lapassword
</pre>

* Impostare le permission ,altrimenti ci sono problemi:
 sudo chmod 600 psk.txt

====File di Startup====

Questo file serve per far partire in foreground la VPN per debuggare il collegamento:

 sudoedit startup 

<pre>
#!/bin/bash
# Startup Script
setkey -f /etc/racoon/setkey.conf
route add -net 192.168.3.0/24 gw 192.168.254.254
racoon -d -F -f /etc/racoon/racoon.conf 
echo flush\; | /usr/sbin/setkey -c
echo spdflush\; | /usr/sbin/setkey -c
route del -net 192.168.3.0/24 gw 192.168.254.254
</pre>

====Disabilitazione del SNAT====

Solitamente l'SNAT è composto dalla regola:

<pre>
$IPT -t nat -A POSTROUTING \
        -o $WAN0_IF \
        -j SNAT --to-source $WAN0_IP
</pre>

è possibile sostituirla con questa, che esclude le destinazioni di subnet private:

<pre>
$IPT -t nat -A POSTROUTING \
        -o $WAN0_IF  -d ! 192.168.0.0/16 \
        -j SNAT --to-source $WAN0_IP
</pre>

====Sblocco regole firewall====
*TODO

===Configurazione Firewall_B ===

====Configurazione interfaccia dummy0====
*Se fosse necessario, si può creare un'interfaccia di rete fittizia, ad esempio se si vuole nattare il traffico per farlo provenire da questo indirizzo ip:

 sudoedit /etc/network/interfaces

<pre>
auto dummy0
iface dummy0 inet static
# interfaccia dummy per nat con vpn consorzio triveneto
        address         192.168.3.254
        netmask         255.255.255.0
        post-up         route add -net 10.9.86.0/24 gw 192.168.3.25
        post-down       route del -net 10.9.86.0/24 gw 192.168.3.25
</pre>

In questo modo si imposta automaticamente il routing per l'host di destinazione scelto.

====Creazione configurazione racoon====

 cd /et/racoon

 sudoedit galrvm.conf 

<pre>
# racoon.conf
path pre_shared_key "/etc/racoon/psk.txt";
path certificate "/etc/racoon/certs";

listen {
        isakmp yy.yy.yy.yy [500];
}

remote xx.xx.xx.xx {
        exchange_mode main;
        #exchange_mode aggessive,main;
        my_identifier address yy.yy.yy.yy;
        initial_contact off;
        #nat_traversal on;
        proposal {
                encryption_algorithm 3des;
                hash_algorithm md5;
                authentication_method pre_shared_key;
                dh_group 2;
        }
}

sainfo address 192.168.3.0/24 any address 192.168.254.0/24 any {
        pfs_group 2;
        encryption_algorithm 3des;
        authentication_algorithm hmac_md5;
        compression_algorithm deflate;
        lifetime time 28800 sec;
} 
</pre>
====File di configurazioen setkey====
 sudoedit setkey.rvm 

<pre>
#!/usr/sbin/setkey -f
#
# Flush SAD and SPD
flush;
spdflush;

# Create policies for racoon
spdadd 192.168.254.0/24 192.168.3.0/24 any -P in ipsec esp/tunnel/xx.xx.xx.xx-yy.yy.yy.yy/require;
spdadd 192.168.3.0/24 192.168.254.0/24 any -P out ipsec esp/tunnel/yy.yy.yy.yy-xx.xx.xx.xx/require;
</pre>

====File delle PSK====
 sudoedit psk.txt 

 ...
 81.72.122.31    lapassword

====File di Startup====
 sudoedit startup.rvm 

<pre>
#!/bin/bash
# Startup Script
setkey -f /etc/racoon/setkey.rvm
route add -net 192.168.254.0/24 gw 192.168.3.254
racoon -d -F -f /etc/racoon/galrvm.conf 
echo flush\; | /usr/sbin/setkey -c
echo spdflush\; | /usr/sbin/setkey -c
route del -net 192.168.254.0/24 gw 192.168.3.254
</pre>

====Disabilitazione del SNAT====
* Idem
====Sblocco regole firewall====
* Idem

==Avvio del tunnel==

* '''RICORDARE CHE IL TUNNEL VIENE SOLO PREDISPOSTO, E VIENE ATTIVATO SOLO QUANDO SI GENERA DEL TRAFFICO !!!'''
* Dal Firewall_A
 cd /etc/racoon
 sudo ./startup 

<pre>
Foreground mode.
2009-12-04 19:04:57: INFO: @(#)ipsec-tools 0.7.1 (http://ipsec-tools.sourceforge.net)
2009-12-04 19:04:57: INFO: @(#)This product linked OpenSSL 0.9.8g 19 Oct 2007 (http://www.openssl.org/)
2009-12-04 19:04:57: INFO: Reading configuration from "/etc/racoon/racoon.conf"
2009-12-04 19:04:57: DEBUG: call pfkey_send_register for AH
2009-12-04 19:04:57: DEBUG: call pfkey_send_register for ESP
2009-12-04 19:04:57: DEBUG: call pfkey_send_register for IPCOMP
2009-12-04 19:04:57: INFO: Resize address pool from 0 to 255
2009-12-04 19:04:57: DEBUG: reading config file /etc/racoon/racoon.conf
2009-12-04 19:04:57: DEBUG: filename: /etc/racoon/rvmgal.conf
2009-12-04 19:04:57: DEBUG: reading config file /etc/racoon/rvmgal.conf
2009-12-04 19:04:57: DEBUG: compression algorithm can not be checked because sadb message doesn't support it.
2009-12-04 19:04:57: DEBUG: getsainfo params: loc='192.168.254.0/24', rmt='192.168.3.0/24', peer='NULL', id=0
2009-12-04 19:04:57: DEBUG: getsainfo pass #2
2009-12-04 19:04:57: DEBUG: open /var/run/racoon/racoon.sock as racoon management.
2009-12-04 19:04:57: INFO: xx.xx.xx.xx[500] used as isakmp port (fd=6)
2009-12-04 19:04:57: INFO: xx.xx.xx.xx[500] used for NAT-T
2009-12-04 19:04:57: DEBUG: pk_recv: retry[0] recv() 
2009-12-04 19:04:57: DEBUG: get pfkey X_SPDDUMP message
2009-12-04 19:04:57: DEBUG: pk_recv: retry[0] recv() 
2009-12-04 19:04:57: DEBUG: get pfkey X_SPDDUMP message
2009-12-04 19:04:57: DEBUG: sub:0xbf93d138: 192.168.3.0/24[0] 192.168.254.0/24[0] proto=any dir=fwd
2009-12-04 19:04:57: DEBUG: db :0x8591880: 192.168.3.0/24[0] 192.168.254.0/24[0] proto=any dir=in
2009-12-04 19:04:57: DEBUG: pk_recv: retry[0] recv() 
2009-12-04 19:04:57: DEBUG: get pfkey X_SPDDUMP message
2009-12-04 19:04:57: DEBUG: sub:0xbf93d138: 192.168.254.0/24[0] 192.168.3.0/24[0] proto=any dir=out
2009-12-04 19:04:57: DEBUG: db :0x8591880: 192.168.3.0/24[0] 192.168.254.0/24[0] proto=any dir=in
2009-12-04 19:04:57: DEBUG: sub:0xbf93d138: 192.168.254.0/24[0] 192.168.3.0/24[0] proto=any dir=out
2009-12-04 19:04:57: DEBUG: db :0x8591ac8: 192.168.3.0/24[0] 192.168.254.0/24[0] proto=any dir=fwd
</pre>

* Idem sul Firewall_B

* '''Pingare ora dal Firewall_A selezionando come sorgente l'interfaccia interna, o meglio dalla Lan_A:'''

 ping -I eth0 192.168.3.254
 
<pre>
...
2009-12-04 19:24:52: DEBUG: pfkey UPDATE succeeded: ESP/Tunnel 83.211.75.50[0]->81.72.122.31[0] spi=142357427(0x87c33b3)
2009-12-04 19:24:52: INFO: IPsec-SA established: ESP/Tunnel 83.211.75.50[0]->81.72.122.31[0] spi=142357427(0x87c33b3)
2009-12-04 19:24:52: DEBUG: ===
2009-12-04 19:24:52: DEBUG: pk_recv: retry[0] recv()
2009-12-04 19:24:52: DEBUG: get pfkey ADD message
2009-12-04 19:24:52: INFO: IPsec-SA established: ESP/Tunnel 81.72.122.31[500]->83.211.75.50[500] spi=137500065(0x83215a1)
2009-12-04 19:24:52: DEBUG: ===
</pre>

==Controllo del tunnel==
* Lanciare startup, e controllare che il setkey abbia messo le regole:

 sudo setkey -D
 No SAD entries.

 sudo setkey -D -P

<pre>
192.168.3.0/24[any] 192.168.254.0/24[any] any
        in ipsec
        esp/tunnel/yy.yy.yy.yy-xx.xx.xx.xx/require
        created: Dec  4 19:37:05 2009  lastused:                     
        lifetime: 0(s) validtime: 0(s)
        spid=1512 seq=1 pid=2632
        refcnt=1
192.168.3.0/24[any] 192.168.254.0/24[any] any
        fwd ipsec
        esp/tunnel/yy.yy.yy.yy-xx.xx.xx.xx/require
        created: Dec  4 19:37:05 2009  lastused:                     
        lifetime: 0(s) validtime: 0(s)
        spid=1522 seq=2 pid=2632
        refcnt=1
192.168.254.0/24[any] 192.168.3.0/24[any] any
        out ipsec
        esp/tunnel/xx.xx.xx.xx-yy.yy.yy.yy/require
        created: Dec  4 19:37:05 2009  lastused:                     
        lifetime: 0(s) validtime: 0(s)
        spid=1529 seq=0 pid=2632
        refcnt=1
</pre>

* Una volta attivato il tunnel, lo si può verificare con:

 sudo setkey -D
<pre>
yy.yy.yy.yy xx.xx.xx.xx 
        esp mode=tunnel spi=33087045(0x01f8de45) reqid=0(0x00000000)
        E: 3des-cbc  5331ab5c fd398df6 61eefef7 911f8a48 70e951d1 b8b322a8
        A: hmac-md5  ba6f7322 f4b5abd5 043ef7c3 1820a510
        seq=0x00000000 replay=4 flags=0x00000000 state=mature 
        created: Dec  4 19:41:17 2009   current: Dec  4 19:41:22 2009
        diff: 5(s)      hard: 28800(s)  soft: 23040(s)
        last: Dec  4 19:41:18 2009      hard: 0(s)      soft: 0(s)
        current: 420(bytes)     hard: 0(bytes)  soft: 0(bytes)
        allocated: 5    hard: 0 soft: 0
        sadb_seq=1 pid=2896 refcnt=0
xx.xx.xx.xx yy.yy.yy.yy 
        esp mode=tunnel spi=173685099(0x0a5a396b) reqid=0(0x00000000)
        E: 3des-cbc  caae5f4d 88ea3646 b4927c2c 26fd3163 c35b2753 a1c1b84b
        A: hmac-md5  f63d761d 50f9e552 a798e46d 931de1d0
        seq=0x00000000 replay=4 flags=0x00000000 state=mature 
        created: Dec  4 19:41:17 2009   current: Dec  4 19:41:22 2009
        diff: 5(s)      hard: 28800(s)  soft: 23040(s)
        last: Dec  4 19:41:18 2009      hard: 0(s)      soft: 0(s)
        current: 420(bytes)     hard: 0(bytes)  soft: 0(bytes)
        allocated: 5    hard: 0 soft: 0
        sadb_seq=0 pid=2896 refcnt=0
</pre>

==Gestione della connessione con gli script init.d==
Per automatizzare la cosa, vengono usati due script initd, uno per le Security Policy e l'altro per Racoon.

===Inizializzazione delle Security Policy===
* Editare il file di configurazione
 sudoedit /etc/ipsec-tools.conf 

<pre>
# Flush SAD and SPD
flush;
spdflush;

# Create policies for racoon
spdadd 192.168.254.0/24 192.168.3.0/24 any -P in ipsec esp/tunnel/xx.xx.xx.xx-yy.yy.yy.yy/require;
spdadd 192.168.3.0/24 192.168.254.0/24 any -P out ipsec esp/tunnel/yy.yy.yy.yy-xx.xx.xx.xx/require;
</pre>

* Impostare l'avvio automatico:
 sudo update-rc.d -f setkey remove

 sudo update-rc.d setkey start 40 S . stop 89 1 . start 34 0 6 .
  Adding system startup for /etc/init.d/setkey ...
    /etc/rc1.d/K89setkey -> ../init.d/setkey
    /etc/rc0.d/S34setkey -> ../init.d/setkey
    /etc/rc6.d/S34setkey -> ../init.d/setkey
    /etc/rcS.d/S40setkey -> ../init.d/setkey

'''Verifica /etc/default/setkey'''

* Impostare le policy
 sudo invoke-rc.d setkey restart

 Reloading IPsec SA/SP database: done.

===Gestione Racoon con script ===

* Impostare il livello di debug:
 sudoedit /etc/default/racoon 

 ...
 CONFIG_MODE="direct"
 # Arguments to pass to racoon (ignored when config mode is racoon-tool)
 RACOON_ARGS="-d -d"
 ...

* Editare il file di configurazione di racoon, che contenga solo:
 sudoedit /etc/racoon/racoon.conf 

 include "/etc/racoon/galrvm.conf";

* Impostare gli startup link per lo script:
 sudo update-rc.d -f racoon remove

 sudo update-rc.d racoon start 40 S . stop 89 1 . start 34 0 6 .
 Adding system startup for /etc/init.d/racoon ...
   /etc/rc1.d/K89racoon -> ../init.d/racoon
   /etc/rc0.d/S34racoon -> ../init.d/racoon
   /etc/rc6.d/S34racoon -> ../init.d/racoon
   /etc/rcS.d/S40racoon -> ../init.d/racoon

* Avviare la vpn
 sudo invoke-rc.d racoon restart

==Riferimenti==
*[http://www.fukt.bsnet.se/~teddy/debian-ipsec Debian IPsec Micro‐Howto]
*[http://www.zeroshell.net/forum/viewtopic.php?t=2057 VPN lan-to-lan ipsec - Piccola guida]
*[http://ramnik.net/wp/?p=3 » IPSec How-to Debian]