Strongswan / Ipsec 多個roadwarrior連接不同子網

Question 1

只有在以下情況下才可以根據伺服器身分/憑證切換連接

客戶端在 IKE_AUTH 請求中發送遠端身份 (IDr)，許多客戶端不會發送遠端身份 (IDr)（特別是 Windows），否則，沒有可匹配的身份，因此將使用第一個連接

或者

如果 FQDN 對應到不同的 IP 位址，則可以將其設定為連接的本機位址，以便儘早選擇正確的連接

Answer

只有在以下情況下才可以根據伺服器身分/憑證切換連接

客戶端在 IKE_AUTH 請求中發送遠端身份 (IDr)，許多客戶端不會發送遠端身份 (IDr)（特別是 Windows），否則，沒有可匹配的身份，因此將使用第一個連接

或者

如果 FQDN 對應到不同的 IP 位址，則可以將其設定為連接的本機位址，以便儘早選擇正確的連接

Question 2

事實證明，不可能使用該證書，因為它們不用於識別伺服器上的使用者。

所以我最終使用了一種解決方法，其中描述了這個答案這有助於評估eap_identiy.

現在我的客戶使用相同的證書，但根據登入我可以決定他們將使用哪個子網路。

我的 ipsec.conf 現在看起來像這樣：

conn eap-shared
   type=tunnel
   ike=aes128-sha1-modp1024
   rightauth=eap-mschapv2
   leftcert=server-cert.pem

conn eap-init
   also=eap-shared
   # this config is used to do the EAP-Identity exchange and the
   # authentication of client and server
   eap_identity=%identity
   # the following is used to force a connection switch after
   # the authentication completed
   rightgroups=thisseemsirrelevant
   auto=add

conn eap-liv
   also=eap-shared
   eap_identity=*@liv-some-domain.com
   rightsourceip=10.200.0.0/16-10.200.254.254/16
   auto=add

conn eap-dev
   also=eap-shared
   eap_identity=*@dev-some-domain.com
   rightsourceip=10.100.0.0/16-10.100.254.254/16
   auto=add

可能不是最優雅的解決方案，但適用於我的情況。

Answer

事實證明，不可能使用該證書，因為它們不用於識別伺服器上的使用者。

所以我最終使用了一種解決方法，其中描述了這個答案這有助於評估eap_identiy.

現在我的客戶使用相同的證書，但根據登入我可以決定他們將使用哪個子網路。

我的 ipsec.conf 現在看起來像這樣：

conn eap-shared
   type=tunnel
   ike=aes128-sha1-modp1024
   rightauth=eap-mschapv2
   leftcert=server-cert.pem

conn eap-init
   also=eap-shared
   # this config is used to do the EAP-Identity exchange and the
   # authentication of client and server
   eap_identity=%identity
   # the following is used to force a connection switch after
   # the authentication completed
   rightgroups=thisseemsirrelevant
   auto=add

conn eap-liv
   also=eap-shared
   eap_identity=*@liv-some-domain.com
   rightsourceip=10.200.0.0/16-10.200.254.254/16
   auto=add

conn eap-dev
   also=eap-shared
   eap_identity=*@dev-some-domain.com
   rightsourceip=10.100.0.0/16-10.100.254.254/16
   auto=add

可能不是最優雅的解決方案，但適用於我的情況。

Question 3

對於具有相同身份驗證方法的多個 conn 配置，Strongswan 能夠根據客戶端的身份選擇正確的配置。

例如使用兩個 conn 配置：

右側都使用 pubkey，我們可以將其用作rightca約束：

    conn dev-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Develop CA"
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Testing CA"
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

在此設定中，具有頒發憑證的用戶端Develop CA將直接選擇配置dev-network_ikev2-cert。
如果客戶端使用strongswan頒發的證書Testing CA，strongswan會先選擇config dev-network_ikev2-cert，然後輸出constraint check failed: peer not authenticated by CA 'C=CN, O=Sample, CN=Develop CA'，並選擇下一項test-network_ikev2-cert。

右側均使用 eap-mschapv2，我們可以將其用作eap_identity約束：

    conn dev-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@dev.com
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@test.com
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

這是Flo使用的方法。 Strongswan 將執行與使用 pubkey 類似的檢查邏輯。

如果客戶端使用身份*@test.com，strongswan將首先選擇dev-network_ikev2-eap，然後找到該constraint check failed: EAP identity '*@dev.com' required，並選擇下一個test-network_ikev2-eap。

希望這會有所幫助。

Answer

對於具有相同身份驗證方法的多個 conn 配置，Strongswan 能夠根據客戶端的身份選擇正確的配置。

例如使用兩個 conn 配置：

右側都使用 pubkey，我們可以將其用作rightca約束：

    conn dev-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Develop CA"
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Testing CA"
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

在此設定中，具有頒發憑證的用戶端Develop CA將直接選擇配置dev-network_ikev2-cert。
如果客戶端使用strongswan頒發的證書Testing CA，strongswan會先選擇config dev-network_ikev2-cert，然後輸出constraint check failed: peer not authenticated by CA 'C=CN, O=Sample, CN=Develop CA'，並選擇下一項test-network_ikev2-cert。

右側均使用 eap-mschapv2，我們可以將其用作eap_identity約束：

    conn dev-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@dev.com
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@test.com
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

這是Flo使用的方法。 Strongswan 將執行與使用 pubkey 類似的檢查邏輯。

如果客戶端使用身份*@test.com，strongswan將首先選擇dev-network_ikev2-eap，然後找到該constraint check failed: EAP identity '*@dev.com' required，並選擇下一個test-network_ikev2-eap。

希望這會有所幫助。

Strongswan / Ipsec 多個roadwarrior連接不同子網

答案1

答案2

答案3

相關內容