Strongswan / Ipsec 다중 roadwarrior 연결 다양한 서브넷

Question 1

다음 중 하나에 해당하는 경우에만 서버 ID/인증서를 기반으로 연결을 전환할 수 있습니다.

클라이언트는 IKE_AUTH 요청에 원격 ID(IDr)를 보내는데, 많은 클라이언트는 이를 보내지 않습니다(특히 Windows). 그렇지 않으면 일치하는 ID가 없으므로 첫 번째 연결이 사용됩니다.

또는

FQDN이 다른 IP 주소에 매핑되는 경우 연결에 대한 로컬 주소로 구성되어 올바른 연결이 조기에 선택될 수 있습니다.

Answer

다음 중 하나에 해당하는 경우에만 서버 ID/인증서를 기반으로 연결을 전환할 수 있습니다.

클라이언트는 IKE_AUTH 요청에 원격 ID(IDr)를 보내는데, 많은 클라이언트는 이를 보내지 않습니다(특히 Windows). 그렇지 않으면 일치하는 ID가 없으므로 첫 번째 연결이 사용됩니다.

또는

FQDN이 다른 IP 주소에 매핑되는 경우 연결에 대한 로컬 주소로 구성되어 올바른 연결이 조기에 선택될 수 있습니다.

Question 2

인증서는 서버에서 사용자를 식별하는 데 사용되지 않으므로 인증서를 사용하는 것이 불가능하다는 것이 밝혀졌습니다.

그래서 나는 다음에 설명된 해결 방법을 사용하게 되었습니다.이 답변를 평가하는 데 도움이 됩니다 eap_identiy.

이제 내 클라이언트는 동일한 인증서를 사용하지만 로그인을 기반으로 클라이언트가 사용할 서브넷을 결정할 수 있습니다.

내 ipsec.conf는 이제 다음과 같습니다.

conn eap-shared
   type=tunnel
   ike=aes128-sha1-modp1024
   rightauth=eap-mschapv2
   leftcert=server-cert.pem

conn eap-init
   also=eap-shared
   # this config is used to do the EAP-Identity exchange and the
   # authentication of client and server
   eap_identity=%identity
   # the following is used to force a connection switch after
   # the authentication completed
   rightgroups=thisseemsirrelevant
   auto=add

conn eap-liv
   also=eap-shared
   eap_identity=*@liv-some-domain.com
   rightsourceip=10.200.0.0/16-10.200.254.254/16
   auto=add

conn eap-dev
   also=eap-shared
   eap_identity=*@dev-some-domain.com
   rightsourceip=10.100.0.0/16-10.100.254.254/16
   auto=add

가장 우아한 솔루션은 아닐 수도 있지만 제 경우에는 작동합니다.

Answer

인증서는 서버에서 사용자를 식별하는 데 사용되지 않으므로 인증서를 사용하는 것이 불가능하다는 것이 밝혀졌습니다.

그래서 나는 다음에 설명된 해결 방법을 사용하게 되었습니다.이 답변를 평가하는 데 도움이 됩니다 eap_identiy.

이제 내 클라이언트는 동일한 인증서를 사용하지만 로그인을 기반으로 클라이언트가 사용할 서브넷을 결정할 수 있습니다.

내 ipsec.conf는 이제 다음과 같습니다.

conn eap-shared
   type=tunnel
   ike=aes128-sha1-modp1024
   rightauth=eap-mschapv2
   leftcert=server-cert.pem

conn eap-init
   also=eap-shared
   # this config is used to do the EAP-Identity exchange and the
   # authentication of client and server
   eap_identity=%identity
   # the following is used to force a connection switch after
   # the authentication completed
   rightgroups=thisseemsirrelevant
   auto=add

conn eap-liv
   also=eap-shared
   eap_identity=*@liv-some-domain.com
   rightsourceip=10.200.0.0/16-10.200.254.254/16
   auto=add

conn eap-dev
   also=eap-shared
   eap_identity=*@dev-some-domain.com
   rightsourceip=10.100.0.0/16-10.100.254.254/16
   auto=add

가장 우아한 솔루션은 아닐 수도 있지만 제 경우에는 작동합니다.

Question 3

동일한 인증 방법을 사용하는 여러 연결 구성의 경우 Strongswan은 클라이언트의 신원을 기반으로 적절한 구성을 선택할 수 있습니다.

예를 들어 두 개의 conn 구성을 사용합니다.

pubkey를 사용하는 양쪽 오른쪽 모두 rightca제약 조건으로 사용할 수 있습니다.

    conn dev-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Develop CA"
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Testing CA"
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

이 설정에서는 에서 발급한 인증서를 가진 클라이언트가 Develop CA구성을 직접 선택합니다 dev-network_ikev2-cert.
클라이언트가 에서 발행한 인증서를 사용하는 경우 Testing CAStrongswan은 먼저 구성을 선택한 dev-network_ikev2-cert후 출력 constraint check failed: peer not authenticated by CA 'C=CN, O=Sample, CN=Develop CA'하고 다음 항목을 선택합니다 test-network_ikev2-cert.

eap-mschapv2를 사용하는 양쪽 오른쪽 모두 eap_identity제약 조건으로 사용할 수 있습니다.

    conn dev-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@dev.com
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@test.com
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

이것이 Flo가 사용하는 방법입니다. Strongswan은 pubkey를 사용하는 것과 유사한 검사 논리를 수행합니다.

클라이언트가 에서 ID를 사용하는 경우 *@test.comStrongswan은 먼저 을 선택한 dev-network_ikev2-eap후 해당 항목을 찾아 constraint check failed: EAP identity '*@dev.com' required다음 항목을 선택합니다 test-network_ikev2-eap.

이것이 도움이 되기를 바랍니다.

Answer

동일한 인증 방법을 사용하는 여러 연결 구성의 경우 Strongswan은 클라이언트의 신원을 기반으로 적절한 구성을 선택할 수 있습니다.

예를 들어 두 개의 conn 구성을 사용합니다.

pubkey를 사용하는 양쪽 오른쪽 모두 rightca제약 조건으로 사용할 수 있습니다.

    conn dev-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Develop CA"
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Testing CA"
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

이 설정에서는 에서 발급한 인증서를 가진 클라이언트가 Develop CA구성을 직접 선택합니다 dev-network_ikev2-cert.
클라이언트가 에서 발행한 인증서를 사용하는 경우 Testing CAStrongswan은 먼저 구성을 선택한 dev-network_ikev2-cert후 출력 constraint check failed: peer not authenticated by CA 'C=CN, O=Sample, CN=Develop CA'하고 다음 항목을 선택합니다 test-network_ikev2-cert.

eap-mschapv2를 사용하는 양쪽 오른쪽 모두 eap_identity제약 조건으로 사용할 수 있습니다.

    conn dev-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@dev.com
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@test.com
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

이것이 Flo가 사용하는 방법입니다. Strongswan은 pubkey를 사용하는 것과 유사한 검사 논리를 수행합니다.

클라이언트가 에서 ID를 사용하는 경우 *@test.comStrongswan은 먼저 을 선택한 dev-network_ikev2-eap후 해당 항목을 찾아 constraint check failed: EAP identity '*@dev.com' required다음 항목을 선택합니다 test-network_ikev2-eap.

이것이 도움이 되기를 바랍니다.

Strongswan / Ipsec 다중 roadwarrior 연결 다양한 서브넷

답변1

답변2

답변3

관련 정보