Strongswan / Ipsec 複数のロードウォリアー接続異なるサブネット

Question 1

サーバーのID/証明書に基づいて接続を切り替えることができるのは、次のいずれかの場合のみです。

クライアントはIKE_AUTH要求でリモートID（IDr）を送信しますが、多くのクライアント（特にWindows）はこれを行いません。そうでない場合、一致するIDがないため、最初の接続が使用されます。

または

FQDNが異なるIPアドレスにマッピングされている場合、接続のローカルアドレスとして構成できるため、早い段階で正しい接続が選択されます。

Answer

サーバーのID/証明書に基づいて接続を切り替えることができるのは、次のいずれかの場合のみです。

クライアントはIKE_AUTH要求でリモートID（IDr）を送信しますが、多くのクライアント（特にWindows）はこれを行いません。そうでない場合、一致するIDがないため、最初の接続が使用されます。

または

FQDNが異なるIPアドレスにマッピングされている場合、接続のローカルアドレスとして構成できるため、早い段階で正しい接続が選択されます。

Question 2

証明書はサーバー上のユーザーを識別するために使用されていないため、証明書を使用することはできないことが判明しました。

そこで私は、この答えを評価するのに役立ちますeap_identiy。

現在、クライアントは同じ証明書を使用していますが、ログインに基づいて、どのサブネットを使用するかを決定できます。

私の ipsec.conf は次のようになります。

conn eap-shared
   type=tunnel
   ike=aes128-sha1-modp1024
   rightauth=eap-mschapv2
   leftcert=server-cert.pem

conn eap-init
   also=eap-shared
   # this config is used to do the EAP-Identity exchange and the
   # authentication of client and server
   eap_identity=%identity
   # the following is used to force a connection switch after
   # the authentication completed
   rightgroups=thisseemsirrelevant
   auto=add

conn eap-liv
   also=eap-shared
   eap_identity=*@liv-some-domain.com
   rightsourceip=10.200.0.0/16-10.200.254.254/16
   auto=add

conn eap-dev
   also=eap-shared
   eap_identity=*@dev-some-domain.com
   rightsourceip=10.100.0.0/16-10.100.254.254/16
   auto=add

最もエレガントな解決策ではないかもしれませんが、私の場合にはうまくいきます。

Answer

証明書はサーバー上のユーザーを識別するために使用されていないため、証明書を使用することはできないことが判明しました。

そこで私は、この答えを評価するのに役立ちますeap_identiy。

現在、クライアントは同じ証明書を使用していますが、ログインに基づいて、どのサブネットを使用するかを決定できます。

私の ipsec.conf は次のようになります。

conn eap-shared
   type=tunnel
   ike=aes128-sha1-modp1024
   rightauth=eap-mschapv2
   leftcert=server-cert.pem

conn eap-init
   also=eap-shared
   # this config is used to do the EAP-Identity exchange and the
   # authentication of client and server
   eap_identity=%identity
   # the following is used to force a connection switch after
   # the authentication completed
   rightgroups=thisseemsirrelevant
   auto=add

conn eap-liv
   also=eap-shared
   eap_identity=*@liv-some-domain.com
   rightsourceip=10.200.0.0/16-10.200.254.254/16
   auto=add

conn eap-dev
   also=eap-shared
   eap_identity=*@dev-some-domain.com
   rightsourceip=10.100.0.0/16-10.100.254.254/16
   auto=add

最もエレガントな解決策ではないかもしれませんが、私の場合にはうまくいきます。

Question 3

同じ認証方法を持つ複数の接続構成の場合、Strongswan はクライアントの ID に基づいて適切な構成を選択できます。

たとえば、2 つの conn 構成を使用します。

両方の右側は公開鍵を使用しており、rightca制約として使用できます。

    conn dev-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Develop CA"
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Testing CA"
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

この設定では、によって発行された証明書を持つクライアントが構成を直接Develop CA選択します。dev-network_ikev2-cert
クライアントがによって発行された証明書を使用している場合Testing CA、strongswan は最初に config を選択しdev-network_ikev2-cert、次に output を選択してconstraint check failed: peer not authenticated by CA 'C=CN, O=Sample, CN=Develop CA'、次の 1 つを選択しますtest-network_ikev2-cert。

右側は両方とも eap-mschapv2 を使用しており、eap_identity制約として使用できます。

    conn dev-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@dev.com
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@test.com
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

これは Flo が使用する方法です。Strongswan は pubkey を使用する場合と同様のチェックロジックを実行します。

クライアントがの ID を使用している場合*@test.com、strongswan は最初にを選択しdev-network_ikev2-eap、次にを見つけてconstraint check failed: EAP identity '*@dev.com' required、次の 1 つを選択しますtest-network_ikev2-eap。

これが役に立つことを願っています。

Answer

同じ認証方法を持つ複数の接続構成の場合、Strongswan はクライアントの ID に基づいて適切な構成を選択できます。

たとえば、2 つの conn 構成を使用します。

両方の右側は公開鍵を使用しており、rightca制約として使用できます。

    conn dev-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Develop CA"
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Testing CA"
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

この設定では、によって発行された証明書を持つクライアントが構成を直接Develop CA選択します。dev-network_ikev2-cert
クライアントがによって発行された証明書を使用している場合Testing CA、strongswan は最初に config を選択しdev-network_ikev2-cert、次に output を選択してconstraint check failed: peer not authenticated by CA 'C=CN, O=Sample, CN=Develop CA'、次の 1 つを選択しますtest-network_ikev2-cert。

右側は両方とも eap-mschapv2 を使用しており、eap_identity制約として使用できます。

    conn dev-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@dev.com
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@test.com
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

これは Flo が使用する方法です。Strongswan は pubkey を使用する場合と同様のチェックロジックを実行します。

クライアントがの ID を使用している場合*@test.com、strongswan は最初にを選択しdev-network_ikev2-eap、次にを見つけてconstraint check failed: EAP identity '*@dev.com' required、次の 1 つを選択しますtest-network_ikev2-eap。

これが役に立つことを願っています。

Strongswan / Ipsec 複数のロードウォリアー接続異なるサブネット

答え1

答え2

答え3

関連情報