networkmanager-strongswan vpn - VPN을 통해 특정 IP 라우팅

Question

스트롱스완정책을 통해 구성된 정책 라우팅을 사용합니다 xfrm.

정책 dir out에는 패킷을 어떻게 처리할지 명시되어 있습니다 172.26.199.18/32. 0.0.0.0/0패킷은 암호화되어 VPN 터널을 통해 전송되어야 합니다.
및 정책은 암호화된 패킷이 들어올 때 수행할 작업을 알려줍니다. 암호 해독 후 ~에서 ~까지 의 패킷이 지정된 터널에서 오지 않으면 해당 패킷은 삭제됩니다 dir in. 일반 텍스트 패킷에는 이 사항이 적용되지 않습니다.dir fwd0.0.0.0/0172.26.199.18/32

VPN 네트워크 사용을 제한하려면 다음 세 가지 해결 방법이 있습니다.

이러한 규칙에 나타나는 네트워크는 IKE 서버와 원격 서버 간에 협상됩니다. NetworkManager 플러그인은 항상 your_ip/32과 사이의 터널을 제안합니다 0.0.0.0/0. 원격 서버가 제안 0.0.0.0/0하고 10.0.0.0/8결과 연결은 your_ip/32와 사이가 됩니다 10.0.0.0/8. 따라서 원격 끝점의 관리자에게 IKE 데몬을 올바르게 구성하도록 요청해야 합니다.

VPN 터널에 NetworkManager 사용을 포기하고 설치할 수 있습니다.charon 시스템간단한 구성 파일(예: )을 만듭니다 /etc/swanctl/conf.d/my_vpn.conf.

connections {
    my_vpn {
        version = 2
        local_addrs=%any
        remote_addrs=vpn********.it
        local {
            auth = eap
            eap_id = your_username
        }
        remote {
            auth = pubkey
            id = server_name
        }
        children {
            my_tunnel {
                #local_ts = dynamic
                remote_ts = remote_network
            }
        }
    }
}

데몬( systemctl reload strongswan-swanctl)을 다시 로드하고 다음을 실행합니다.

swanctl --initiate --ike my_vpn --child my_tunnel

priority자동으로 설치된 것보다 작은 값을 사용하여 암호화되지 않은 트래픽을 허용하는 자체 정책을 추가합니다 . 예:
```
ip xfrm policy add src your_ip/32 dst 192.0.2.0/24 \
    dir out priority 1000
ip xfrm policy add src 192.0.2.0/24 dst your_ip/32 \
    dir in priority 1000
```
에 대한 일반 텍스트 트래픽을 허용합니다 192.0.2.0/24.

Answer 1

스트롱스완정책을 통해 구성된 정책 라우팅을 사용합니다 xfrm.

정책 dir out에는 패킷을 어떻게 처리할지 명시되어 있습니다 172.26.199.18/32. 0.0.0.0/0패킷은 암호화되어 VPN 터널을 통해 전송되어야 합니다.
및 정책은 암호화된 패킷이 들어올 때 수행할 작업을 알려줍니다. 암호 해독 후 ~에서 ~까지 의 패킷이 지정된 터널에서 오지 않으면 해당 패킷은 삭제됩니다 dir in. 일반 텍스트 패킷에는 이 사항이 적용되지 않습니다.dir fwd0.0.0.0/0172.26.199.18/32

VPN 네트워크 사용을 제한하려면 다음 세 가지 해결 방법이 있습니다.

이러한 규칙에 나타나는 네트워크는 IKE 서버와 원격 서버 간에 협상됩니다. NetworkManager 플러그인은 항상 your_ip/32과 사이의 터널을 제안합니다 0.0.0.0/0. 원격 서버가 제안 0.0.0.0/0하고 10.0.0.0/8결과 연결은 your_ip/32와 사이가 됩니다 10.0.0.0/8. 따라서 원격 끝점의 관리자에게 IKE 데몬을 올바르게 구성하도록 요청해야 합니다.

VPN 터널에 NetworkManager 사용을 포기하고 설치할 수 있습니다.charon 시스템간단한 구성 파일(예: )을 만듭니다 /etc/swanctl/conf.d/my_vpn.conf.

connections {
    my_vpn {
        version = 2
        local_addrs=%any
        remote_addrs=vpn********.it
        local {
            auth = eap
            eap_id = your_username
        }
        remote {
            auth = pubkey
            id = server_name
        }
        children {
            my_tunnel {
                #local_ts = dynamic
                remote_ts = remote_network
            }
        }
    }
}

데몬( systemctl reload strongswan-swanctl)을 다시 로드하고 다음을 실행합니다.

swanctl --initiate --ike my_vpn --child my_tunnel

priority자동으로 설치된 것보다 작은 값을 사용하여 암호화되지 않은 트래픽을 허용하는 자체 정책을 추가합니다 . 예:
```
ip xfrm policy add src your_ip/32 dst 192.0.2.0/24 \
    dir out priority 1000
ip xfrm policy add src 192.0.2.0/24 dst your_ip/32 \
    dir in priority 1000
```
에 대한 일반 텍스트 트래픽을 허용합니다 192.0.2.0/24.

networkmanager-strongswan vpn - VPN을 통해 특정 IP 라우팅

답변1

관련 정보