UNIX tech department - Инструкция по настройке VPN-подключения к svpn.mephi.ru в Fedora l2tp

В данной пошаговой инструкции описан способ реализации защищенного VPN соединения по протоколу L2TP через IPSec. Перед началом настойки удостоверьтесь, что у вас есть рабочее соединение с интернетом по какому-либо другому протоколу для установки требуемых пакетов. Возможность автономной установки пакетов в данной инструкции не рассматривается.

Часть I. Настройка IPSec
Часть II. Настройка L2TP на базе xl2tpd
Часть III. Настройка L2TP на базе openl2tp

Часть I. Настройка IPSec

Протокол IPSec имеет два режима - транспортный и туннельный. Туннельный режим хорошо работает за NAT, но сложнее, чем транспортный. Сервер для туннельного режима доступен по адресу «svpn-ipsectunnel.mephi.ru» (85.143.112.49), и для транспортного, соответственно, «svpn-ipsectransport.mephi.ru» (85.143.112.48).

Проверьте наличие поддержки IPSec в вашем ядре: CONFIG_XFRM=y CONFIG_XFRM_USER=y CONFIG_NET_KEY=m CONFIG_INET_AH=m CONFIG_INET_ESP=m CONFIG_INET_IPCOMP=m CONFIG_INET_TUNNEL=m CONFIG_INET_XFRM_MODE_TRANSPORT=m CONFIG_INET_XFRM_MODE_TUNNEL=m CONFIG_CRYPTO=y CONFIG_CRYPTO_NULL=m CONFIG_CRYPTO_SHA1=m CONFIG_CRYPTO_BLOWFISH=m CONFIG_CRYPTO_DEFLATE=m Это можно сделать командой: cat /boot/config-`uname -r` | grep ИМЯ_ПЕРЕМЕННОЙ , например, cat /boot/config-`uname -r` | grep CONFIG_INET_ Если некоторые опции не поддерживаются, вам необходимо переконфигурировать ядро ОС.
Установите пакеты: # yum install ipsec-tools # yum install iptables
Откройте в Интернет-браузере ресурс «svpn.mephi.ru», выберите произвольный логин/пароль и сохраните сертификат. Выберите формат tar. Пусть, пользователь имеет логин omg.
Далее, необходимо извлечь сертификаты стандарта X.509 из архива и переместить их в директорию /etc/racoon/certs: # tar -xvf omg.tar # mv certs/useromg.crt /etc/racoon/certs # mv keys/useromg.key /etc/racoon/certs
Откройте файл /etc/racoon/racoon.conf в текстовом редакторе и заполните его следующим содержимым: log notify; path pre_shared_key "/etc/racoon/psk.txt"; path certificate "/etc/racoon/certs"; remote anonymous { exchange_mode main; certificate_type x509 "useromg.crt" "useromg.key"; verify_cert off; nat_traversal on; generate_policy on; proposal { encryption_algorithm blowfish; hash_algorithm sha1; authentication_method rsasig; dh_group modp1024; } } sainfo anonymous { encryption_algorithm blowfish; authentication_algorithm hmac_sha1; compression_algorithm deflate; }
Откройте файл /etc/*ipsec-tools.conf в текстовом редакторе и заполните его следующим содержимым (случай туннельного режима): #!/usr/sbin/setkey -f flush; spdflush; spdadd 0.0.0.0/0 85.143.112.49/32[1701] udp -P out ipsec esp/tunnel/192.168.57.1-85.143.112.49/require; spdadd 85.143.112.49/32[1701] 0.0.0.0/0 udp -P in ipsec esp/tunnel/85.143.112.49-192.168.57.1/require; или (случай транспортного режима): flush; spdflush; spdadd 0.0.0.0/0 85.143.112.48/32[1701] udp -P out ipsec esp/transport/192.168.57.1-85.143.112.48/require; spdadd 85.143.112.48/32[1701] 0.0.0.0/0 udp -P in ipsec esp/transport/85.143.112.48-192.168.57.1/require; Далее в тексте по умолчанию приведены примеры конфигурационных файлов и команд для туннельного режима. Для транспортного режима необходимо заменить адрес 85.143.112.49 на 85.143.112.48.
Создайте сетевой интерфейс с натированием: # ifconfig lo:0 192.168.57.1 up # iptables -t nat -A POSTROUTING -s 192.168.57.1 -j MASQUERADE
Запустите демон: # setkey -f /etc/ipsec-tools.conf # /etc/init.d/racoon start

Часть II. Настройка L2TP на базе XL2TPd

L2TP соединение в Fedora можно реализовать с использованием пакета xl2tpd, либо openl2tp. Рассмотрим эти случаи по очереди.

Откройте терминал с правами суперпользователя (root). Если в вашей системе это запрещено из соображений безопасности, вам следует выполнять все действия с использованием утилиты sudo.
Проверьте наличие поддержки PPP в вашем ядре: CONFIG_PPP=y Это можно сделать командой: cat /boot/config-`uname -r` | grep CONFIG_PPP Если некоторые опции не поддерживаются, вам необходимо переконфигурировать ядро ОС.
Проверьте наличие «ppp» устройства. При отсутствии его необходимо создать: # cd /dev # ls -ld ppp # mknod /dev/ppp c 108 0 # chmod 660 ppp
Установите пакеты: # yum install xl2tpd
Отправьте письмо с просьбой выдать логин/пароль для L2TP подключения на voip@mephi.ru. Пусть, вы получили логин foo и пароль bar (Не путайте с omg / smb !)
Откройте в текстовом редакторе файл /etc/xl2tpd/xl2tpd.conf и допишите в конец: [global] access control = yes auth file=/etc/ppp/chap-secrets debug avp = yes debug network = yes debug state = yes debug tunnel = yes [lac mephi] lns = svpn-ipsectunnel.mephi.ru # or "svpn-ipsectransport.mephi.ru" in case of "transport" mode redial = yes redial timeout = 10 require authentication = no ppp debug = yes pppoptfile = /etc/ppp/options.xl2tpd require chap = yes refuse pap = yes autodial = yes name = foo
Создайте файл: # touch /etc/ppp/options.xl2tpd со следующим содержимым: unit 0 remotename l2tp ipparam mephi connect /bin/true mru 1400 mtu 1400 nodeflate nobsdcomp persist maxfail 0 nopcomp noaccomp nodefaultroute noreplacedefaultroute #debug #proxyarp name foo refuse-pap refuse-eap refuse-chap refuse-mschap require-mschap-v2 noauth
Откройте в текстовом редакторе файл «/etc/ppp/options», найдите строку «auth» и закомментируйте её. # Require the peer to authenticate itself before allowing network # packets to be sent or received. # Please do not disable this setting. It is expected to be standard in # future releases of pppd. Use the call option (see manpage) to disable # authentication for specific peers. #auth
Допишите в конец файла «/etc/ppp/chap-secrets»: foo * bar *
Проверьте, загружен ли у вас модуль ядра ppp-generic комaндой lsmod. Если нет, загрузите его # lsmod | grep ppp_generic || ( echo 'ppp_generic' >>/etc/modules; modprobe ppp-generic; echo 'loaded' )
Откройте в текстовом редакторе файл /etc/ppp/*ip-up и допишите перед exit 0: #!/bin/bash PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin DEFAULT_GW=$(netstat -nr | awk '{if($1=="0.0.0.0" && $3=="0.0.0.0") print $2}' | head -1) route add -net svpn.mephi.ru/31 gw "$DEFAULT_GW" route add -net 10.0.57.0/24 gw $5
Запустите демон: # /etc/init.d/xl2tpd start После этого таблица маршрутизации должна выглядеть примерно так: # route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 10.0.57.1 0.0.0.0 255.255.255.255 UH 0 0 0 ppp0 85.143.112.48 10.4.254.1 255.255.255.254 UGH 0 0 0 eth0 10.4.254.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0 10.0.57.0 10.0.57.1 255.255.255.0 UG 0 0 0 ppp0
Проверьте доступность удалённого PtP хоста: # ping 10.0.57.1 PING 10.0.57.1 (10.0.57.1) 56(84) bytes of data. 64 bytes from 10.0.57.1: icmp_req=1 ttl=63 time=0.745 ms 64 bytes from 10.0.57.1: icmp_req=2 ttl=63 time=0.617 ms 64 bytes from 10.0.57.1: icmp_req=3 ttl=63 time=0.650 ms 64 bytes from 10.0.57.1: icmp_req=4 ttl=63 time=0.606 ms ^C --- 10.0.57.1 ping statistics --- 4 packets transmitted, 4 received, 0% packet loss, time 3003ms rtt min/avg/max/mdev = 0.606/0.654/0.745/0.060 ms Если сервер доступен, то настройка соединения прошла успешно.

Часть III. Настройка L2TP на базе OpenL2TP

Откройте терминал с правами суперпользователя (root). Если в вашей системе это запрещено из соображений безопасности, вам следует выполнять все действия с использованием утилиты sudo.
Проверьте наличие поддержки PPP over L2TP в вашем ядре: CONFIG_PPP=y CONFIG_PPPOL2TP=y Это можно сделать командой: cat /boot/config-`uname -r` | grep ИМЯ_ПЕРЕМЕННОЙ , например, cat /boot/config-`uname -r` | grep CONFIG_PPP Если некоторые опции не поддерживаются, вам необходимо переконфигурировать ядро ОС.
Проверьте наличие «ppp» устройства. При отсутствии его необходимо создать: # cd /dev # ls -ld ppp # mknod /dev/ppp c 108 0 # chmod 660 ppp
Установите или обновите пакет OpenL2TP: # yum install openl2tp
Отправьте письмо с просьбой выдать логин/пароль для L2TP подключения на voip@mephi.ru. Пусть, вы получили логин foo и пароль bar (Не путайте с omg / smb !)
Создайте файл «/etc/ppp/ip-up.d/mephivpn.sh»: cat <<EOF > /etc/ppp/ip-up.d/mephivpn.sh #!/bin/bash PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin DEFAULT_GW=$(netstat -nr | awk '{if($1=="0.0.0.0" && $3=="0.0.0.0") print $2}' | head -1) route add -net svpn.mephi.ru/31 gw "$DEFAULT_GW" route add -net 10.0.57.0/24 gw $5 EOF
Сделайте скрипт исполняемым: # chmod +x /etc/ppp/ip-up.d/mephivpn.sh
Запустите демон # /etc/init.d/openl2tpd start
Запустите утилиту настройки OpenL2TP: # l2tpconfig > system modify deny_remote_tunnel_creates=yes tunnel_establish_timeout=60 session_establish_timeout=30 tunnel_persist_pend_timeout=60 session_persist_pend_timeout=30 > peer profile modify profile_name=default lac_lns=lac > ppp profile modify profile_name=default mru=1400 mtu=1400 default_route=no proxy_arp=no auth_pap=no auth_chap=no auth_mschapv1=no auth_mschapv2=yes auth_eap=no > tunnel create tunnel_name=mephi dest_ipaddr=svpn-ipsectunnel.mephi.ru use_udp_checksums=off persist=yes > session create tunnel_name=mephi session_name=mephi user_name=foo user_password=bar Проверьте состояние соединения: > system show status L2TP service status:- tunnels: 1, sessions: 1 > user list TunId SesId User Create Time 17767 9158 foo Thu Jul 5 13:45:10 2012 > session show tunnel_id=17767 session_id=9158 Session 9158 on tunnel 17767:- type: LAC Incoming Call, state: ESTABLISHED created at: Jul 5 16:22:18 2012 created by admin: YES, peer session id: 17432 ppp user name: foo ppp interface name: ppp0 data sequencing required: O use data sequence numbers: OFF trace flags: NONE framing types: SYNC ASYNC bearer types: DIGITAL ANALOG connect speed: 1000000 use ppp proxy: NO Peer configuration data:- data sequencing required: OFF framing types: SYNC bearer types: ANALOG connect speed: 54000000 data rx packets: 593, rx bytes: 608676, rx errors: 1 data tx packets: 135, tx bytes: 40145, tx errors: 0 Если в строке state: указано ESTABLISHED, то конфигурирование пакета прошло успешно. Сохраните файл с настройками: > config save file=/etc/openl2tpd.conf > exit # После этого таблица маршрутизации должна выглядеть примерно так: # route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 10.0.57.1 0.0.0.0 255.255.255.255 UH 0 0 0 ppp0 85.143.112.48 10.4.254.1 255.255.255.254 UGH 0 0 0 eth0 10.4.254.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0 10.0.57.0 10.0.57.1 255.255.255.0 UG 0 0 0 ppp0
Проверьте доступность ptp сервера: # ping 10.0.57.1 PING 10.0.57.1 (10.0.57.1) 56(84) bytes of data. 64 bytes from 10.0.57.1: icmp_req=1 ttl=63 time=0.745 ms 64 bytes from 10.0.57.1: icmp_req=2 ttl=63 time=0.617 ms 64 bytes from 10.0.57.1: icmp_req=3 ttl=63 time=0.650 ms 64 bytes from 10.0.57.1: icmp_req=4 ttl=63 time=0.606 ms ^C --- 10.0.57.1 ping statistics --- 4 packets transmitted, 4 received, 0% packet loss, time 3003ms rtt min/avg/max/mdev = 0.606/0.654/0.745/0.060 ms Если сервер доступен, то настройка соединения прошла успешно.