Strongswan / Ipsec múltiplas conexões roadwarrior diferentes sub-redes

Question 1

Só é possível alternar conexões com base na identidade/certificado do servidor se

os clientes enviam uma identidade remota (IDr) em sua solicitação IKE_AUTH, o que muitos clientes não fazem (em particular o Windows), caso contrário, não há identidade correspondente, então a primeira conexão será usada

ou

se os FQDNs mapearem para endereços IP diferentes, que podem ser configurados como endereços locais para as conexões, para que a conexão correta seja selecionada antecipadamente

Answer

Só é possível alternar conexões com base na identidade/certificado do servidor se

os clientes enviam uma identidade remota (IDr) em sua solicitação IKE_AUTH, o que muitos clientes não fazem (em particular o Windows), caso contrário, não há identidade correspondente, então a primeira conexão será usada

ou

se os FQDNs mapearem para endereços IP diferentes, que podem ser configurados como endereços locais para as conexões, para que a conexão correta seja selecionada antecipadamente

Question 2

Acontece que não é possível usar o certificado, pois eles não são usados para identificar usuários no servidor.

Então acabei usando uma solução alternativa descrita emesta respostao que ajuda a avaliar o eap_identiy.

Agora meus clientes usam o mesmo certificado, mas com base nos logins posso decidir qual sub-rede eles usarão.

Meu ipsec.conf agora se parece com isto:

conn eap-shared
   type=tunnel
   ike=aes128-sha1-modp1024
   rightauth=eap-mschapv2
   leftcert=server-cert.pem

conn eap-init
   also=eap-shared
   # this config is used to do the EAP-Identity exchange and the
   # authentication of client and server
   eap_identity=%identity
   # the following is used to force a connection switch after
   # the authentication completed
   rightgroups=thisseemsirrelevant
   auto=add

conn eap-liv
   also=eap-shared
   eap_identity=*@liv-some-domain.com
   rightsourceip=10.200.0.0/16-10.200.254.254/16
   auto=add

conn eap-dev
   also=eap-shared
   eap_identity=*@dev-some-domain.com
   rightsourceip=10.100.0.0/16-10.100.254.254/16
   auto=add

pode não ser a solução mais elegante, mas funciona no meu caso.

Answer

Acontece que não é possível usar o certificado, pois eles não são usados para identificar usuários no servidor.

Então acabei usando uma solução alternativa descrita emesta respostao que ajuda a avaliar o eap_identiy.

Agora meus clientes usam o mesmo certificado, mas com base nos logins posso decidir qual sub-rede eles usarão.

Meu ipsec.conf agora se parece com isto:

conn eap-shared
   type=tunnel
   ike=aes128-sha1-modp1024
   rightauth=eap-mschapv2
   leftcert=server-cert.pem

conn eap-init
   also=eap-shared
   # this config is used to do the EAP-Identity exchange and the
   # authentication of client and server
   eap_identity=%identity
   # the following is used to force a connection switch after
   # the authentication completed
   rightgroups=thisseemsirrelevant
   auto=add

conn eap-liv
   also=eap-shared
   eap_identity=*@liv-some-domain.com
   rightsourceip=10.200.0.0/16-10.200.254.254/16
   auto=add

conn eap-dev
   also=eap-shared
   eap_identity=*@dev-some-domain.com
   rightsourceip=10.100.0.0/16-10.100.254.254/16
   auto=add

pode não ser a solução mais elegante, mas funciona no meu caso.

Question 3

Para múltiplas configurações de conexão com o mesmo método de autenticação, o Strongswan é capaz de selecionar o método adequado com base na identidade do cliente.

Usando duas configurações de conexão, por exemplo:

Ambos do lado direito usando pubkey, podemos usar rightcacomo restrição:

    conn dev-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Develop CA"
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Testing CA"
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

Nesta configuração, o cliente com certificados emitidos por Develop CAselecionará a configuração dev-network_ikev2-certdiretamente.
Se o cliente usar certificados emitidos por Testing CA, o Strongswan selecionará primeiro config dev-network_ikev2-cert, depois produzirá constraint check failed: peer not authenticated by CA 'C=CN, O=Sample, CN=Develop CA'e selecionará o próximo test-network_ikev2-cert.

Ambos do lado direito usando eap-mschapv2, podemos usar eap_identitycomo restrição:

    conn dev-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@dev.com
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@test.com
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

Este é o método usado por Flo. O Strongswan fará uma lógica de verificação semelhante à do pubkey.

Se o cliente estiver usando a identidade *@test.com, o Strongswan selecionará primeiro dev-network_ikev2-eap, depois localizará constraint check failed: EAP identity '*@dev.com' requirede selecionará o próximo test-network_ikev2-eap.

Espero que isso ajude.

Answer

Para múltiplas configurações de conexão com o mesmo método de autenticação, o Strongswan é capaz de selecionar o método adequado com base na identidade do cliente.

Usando duas configurações de conexão, por exemplo:

Ambos do lado direito usando pubkey, podemos usar rightcacomo restrição:

    conn dev-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Develop CA"
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Testing CA"
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

Nesta configuração, o cliente com certificados emitidos por Develop CAselecionará a configuração dev-network_ikev2-certdiretamente.
Se o cliente usar certificados emitidos por Testing CA, o Strongswan selecionará primeiro config dev-network_ikev2-cert, depois produzirá constraint check failed: peer not authenticated by CA 'C=CN, O=Sample, CN=Develop CA'e selecionará o próximo test-network_ikev2-cert.

Ambos do lado direito usando eap-mschapv2, podemos usar eap_identitycomo restrição:

    conn dev-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@dev.com
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@test.com
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

Este é o método usado por Flo. O Strongswan fará uma lógica de verificação semelhante à do pubkey.

Se o cliente estiver usando a identidade *@test.com, o Strongswan selecionará primeiro dev-network_ikev2-eap, depois localizará constraint check failed: EAP identity '*@dev.com' requirede selecionará o próximo test-network_ikev2-eap.

Espero que isso ajude.

Strongswan / Ipsec múltiplas conexões roadwarrior diferentes sub-redes

Responder1

Responder2

Responder3

informação relacionada