← Cloudflare One / cloudflare-one / networks / connectors / cloudflare-wan / configuration / third-party

strongSwan

Tento návod vysvětluje, jak nastavit strongSwan společně s Cloudflare WAN (dříve Magic WAN). Naučíte se nakonfigurovat strongSwan, nakonfigurovat tunel IPsec a vytvořit Policy-Based Routing (PBR).

1. Nakonfigurujte kontroly stavu

Nakonfigurujte obousměrné kontroly stavu cíl pro Cloudflare WAN. Pro účely tohoto návodu použijte 172.64.240.252 jako cílovou IP adresu a type jako požadavek.

Toto lze nastavit s API. Například:

curl --request PUT \
https://api.cloudflare.com/client/v4/accounts/{account_id}/magic/ipsec_tunnels/{tunnel_id} \
--header "X-Auth-Email: <EMAIL>" \
--header "X-Auth-Key: <API_KEY>" \
--header "Content-Type: application/json" \
--data '{
  "health_check": {
    "enabled": true,
    "target": "172.64.240.252",
    "type": "request",
    "rate": "mid"
  }
}'

2. Nakonfigurujte strongSwan

Instalace strongSwan ↗. Otevřete například konzoli a spusťte:

sudo apt-get install strongswan -y

Otevřete /etc/strongswan.conf a přidejte následující nastavení:

charon {
    load_modular = yes
    install_routes = no
    install_virtual_ip = no

    plugins {
        include strongswan.d/charon/*.conf
    }
}

include strongswan.d/*.conf

3. Nakonfigurujte soubor IPsec

Otevřete /etc/ipsec.conf a přidejte následující nastavení:

# ipsec.conf - strongSwan IPsec configuration file
config setup
    charondebug="all"
    uniqueids = yes

conn %default
    ikelifetime=24h
    rekey=yes
    reauth=no
    keyexchange=ikev2
    authby=secret
    dpdaction=restart
    closeaction=restart

# Sample VPN connections
conn cloudflare-ipsec
    auto=start
    type=tunnel
    fragmentation=no
    leftauth=psk
    # Private IP of the VM
    left=%any
    # Tunnel ID from dashboard, in this example FQDN is used
    leftid=<YOUR_TUNNEL_ID>.<YOUR_ACCOUNT_ID>.ipsec.cloudflare.com
    leftsubnet=0.0.0.0/0
    # Cloudflare Anycast IP
    right=<YOUR_CLOUDFLARE_ANYCAST_IP>
    rightid=<YOUR_CLOUDFLARE_ANYCAST_IP>
    rightsubnet=0.0.0.0/0
    rightauth=psk
    ike=aes256-sha256-ecp384!
    esp=aes256-sha256-ecp384!
    replay_window=0
    mark_in=42
    mark_out=42
    leftupdown=/etc/strongswan.d/ipsec-vti.sh

Vytvořte Virtual Tunnel Interface (VTI) s IP adresou nakonfigurovanou jako cíl pro kontroly stavu Cloudflare (172.64.240.252) ke směrování paketů IPsec. Otevřete /etc/strongswan.d/.
Vytvořte skript s názvem ipsec-vti.sh a přidejte následující:

#!/bin/bash

set -o nounset
set -o errexit

VTI_IF="vti0"

case "${PLUTO_VERB}" in
    up-client)
        ip tunnel add "${VTI_IF}" local "${PLUTO_ME}" remote "${PLUTO_PEER}" mode vti \
        key "${PLUTO_MARK_OUT%%/*}"
        ip link set "${VTI_IF}" up
        ip addr add 172.64.240.252/32 dev vti0
        sysctl -w "net.ipv4.conf.${VTI_IF}.disable_policy=1"
        sysctl -w "net.ipv4.conf.${VTI_IF}.rp_filter=0"
        sysctl -w "net.ipv4.conf.all.rp_filter=0"
        ip rule add from 172.64.240.252 lookup viatunicmp
        ip route add default dev vti0 table viatunicmp
        ;;
    down-client)
        ip tunnel del "${VTI_IF}"
        ip rule del from 172.64.240.252 lookup viatunicmp
        ip route del default dev vti0 table viatunicmp
        ;;
esac
echo "executed"

4. Přidejte směrování založené na zásadách

Vytvořte Policy-Based Routing (PBR) pro přesměrování návratového provozu zpět přes tunel IPsec. Bez tohoto nastavení se odpovědi ICMP na sondy kontroly stavu odesílané Cloudflare budou vracet přes internet, a ne stejným tunelem IPsec.

Tento tutoriál používá iproute2 ↗ a směrovat IP pakety z 172.64.240.252 k rozhraní tunelu.

Otevřete /etc/iproute2/.
Upravte rt_tables soubor a přidejte číslo a název směrovací tabulky. V tomto příkladu použijte viatunicmp jako název a 200 jako číslo směrovací tabulky.

#
# reserved values
#
255 local
254 main
253 default
0   unspec
200 viatunicmp
#
# local
#
#1  inr.ruhep

Přidejte pravidlo, které bude odpovídat směrovací tabulce. Toto pravidlo systému nařizuje použít směrovací tabulku viatunicmp pokud je zdrojová adresa paketu 172.64.240.252:

ip rule add from 172.64.240.252 lookup viatunicmp

Přidejte trasu do viatunicmp směrovací tabulky. Toto je výchozí trasa přes rozhraní vti0 v viatunicmp tabulka.

ip route add default dev vti0 table viatunicmp

Spusťte IPsec. Můžete také stop, restart, a zobrazte status pro připojení IPsec:

ipsec start

Security Associations (1 up, 0 connecting):
cloudflare-ipsec[1]: ESTABLISHED 96 minutes ago, <IPSEC_TUNNEL_IDENTIFIER>.ipsec.cloudflare.com]...162.159.67.88[162.159.67.88]
cloudflare-ipsec{4}:  INSTALLED, TUNNEL, reqid 1, ESP SPIs: c4e20a95_i c5373d00_o
cloudflare-ipsec{4}:   0.0.0.0/0 === 0.0.0.0/0

5. Zkontrolujte stav připojení

Pomocí tcpdump prozkoumejte stav kontrol stavu iniciovaných z Cloudflare.

sudo tcpdump -i <OUTGOING_INTERFACE> esp and host <TUNNEL_CLOUDFLARE_ENDPOINT_IP>

V tomto příkladu odchozí internetové rozhraní ukazuje, že šifrované pakety IPsec (ESP) z kontrolních sond Cloudflare (jak požadavek, tak odpověď) procházejí tunelem IPsec.

tcpdump zobrazuje pakety šifrované protokolem IPsec ze sond kontroly stavu Cloudflare

Spusťte tcpdump na vti0 a zkontrolujte dešifrované pakety.

sudo tcpdump -i vti0 host 172.64.240.252

Pokud spustíte tcpdump na vti0, můžete zkontrolovat dešifrované pakety