2017-07-30

[筆記]使用Ubuntu 16.04架設L2TP Over IPSec VPN

Ubuntu在16.04版本之後的套件庫，拿掉了openswan，所以要改用strongswan來設定IPSec，跟之前openswan有些許的不同，參考了這篇之後架設成功，所以趕緊筆記一下~

注意，底下所有指令都用root身分執行，所以就不再打sudo了！

1.系統部分

首先安裝必要套件：
  1. apt-get install strongswan xl2tpd ppp lsof



再來設定轉發相關(打指令，可全部複製貼上)：
  1. echo "net.ipv4.ip_forward = 1" | tee -a /etc/sysctl.conf
  2. echo "net.ipv4.conf.all.accept_redirects = 0" | tee -a /etc/sysctl.conf
  3. echo "net.ipv4.conf.all.send_redirects = 0" | tee -a /etc/sysctl.conf
  4. echo "net.ipv4.conf.default.rp_filter = 0" | tee -a /etc/sysctl.conf
  5. echo "net.ipv4.conf.default.accept_source_route = 0" | tee -a /etc/sysctl.conf
  6. echo "net.ipv4.conf.default.send_redirects = 0" | tee -a /etc/sysctl.conf
  7. echo "net.ipv4.icmp_ignore_bogus_error_responses = 1" | tee -a /etc/sysctl.conf
  8.  
  9. sysctl -p



2.IPSec部分

接著要來設定strongswan，編輯 /etc/ipsec.conf：
  1. config setup
  2.  
  3. conn L2TP-PSK-noNAT
  4.     authby=secret
  5.     #shared secret. Use rsasig for certificates.
  6.  
  7.     auto=add
  8.     #the ipsec tunnel should be started and routes created when the ipsec daemon itself starts.
  9.  
  10.     keyingtries=3
  11.     #Only negotiate a conn. 3 times.
  12.  
  13.     ikelifetime=8h
  14.     keylife=1h
  15.  
  16.     ike=aes256-sha1,aes128-sha1,3des-sha1
  17.  
  18.     type=transport
  19.     #because we use l2tp as tunnel protocol
  20.  
  21.     left=1.2.3.4 #別忘了要改成VPN Server的真實IP喔
  22.     #fill in server IP above
  23.  
  24.     leftprotoport=17/1701
  25.  
  26.     right=%any
  27.     rightprotoport=17/%any
  28.  
  29.     dpddelay=10
  30.     # Dead Peer Dectection (RFC 3706) keepalives delay
  31.  
  32.     dpdtimeout=20
  33.     #  length of time (in seconds) we will idle without hearing either an R_U_THERE poll from our peer, or an R_U_THERE_ACK reply.
  34.  
  35.     dpdaction=clear
  36.     # When a DPD enabled peer is declared dead, what action should be taken. clear means the eroute and SA with both be cleared.


再來修改預先共用金鑰，編輯 /etc/ipsec.secrets，將PASSWORD改成你要的密碼： 
  1. # This file holds shared secrets or RSA private keys for authentication.
  2.  
  3. # RSA private key for this host, authenticating it to any other host
  4. # which knows the public part.
  5. # 將底下PASSWORD改成你要的密碼，別忘了""不可刪除
  6. %any : PSK "PASSWORD"


3.L2TP部分

編輯 /etc/xl2tpd/xl2tpd.conf：
  1. [global]
  2. ipsec saref = yes
  3. saref refinfo = 30
  4.  
  5. ;debug avp = yes
  6. ;debug network = yes
  7. ;debug state = yes
  8. ;debug tunnel = yes
  9.  
  10. [lns default]
  11. ip range = 192.168.1.x-192.168.1.y ;這裡是要配發給client的內部IP區段
  12. local ip = 192.168.1.z ;這裡是VPN Server的內部IP
  13. require chap = yes
  14. refuse pap = yes
  15. require authentication = yes
  16. ;ppp debug = yes
  17. pppoptfile = /etc/ppp/options.xl2tpd
  18. length bit = yes


再來編輯 /etc/ppp/options.xl2tpd：
  1. require-mschap-v2
  2. ms-dns 8.8.8.8
  3. ms-dns 8.8.4.4
  4. auth
  5. mtu 1200
  6. mru 1000
  7. crtscts
  8. hide-password
  9. modem
  10. name l2tpd
  11. proxyarp
  12. lcp-echo-interval 30
  13. lcp-echo-failure 4


增加使用者，編輯 /etc/ppp/chap-secrets：
  1. # Secrets for authentication using CHAP
  2. # client        server  secret                  IP addresses
  3. username        l2tpd   PASSWORD                *

別忘了server要填l2tp才行

到這邊就設定完成了，可重啟服務：
  1. ipsec update
  2. ipsec reload
  3. ipsec restart
  4. service xl2tpd restart


設定防火牆，並開放NAT功能，讓連進來的client也可連上網路，請參考底下(來源:鳥哥)：
  1. mkdir -p /usr/local/virus/iptables
  2. vim /usr/local/virus/iptables/iptables.rule
  3.  
  4. ################## 增加底下 ###################
  5. #!/bin/bash
  6.  
  7. # 請先輸入您的相關參數，不要輸入錯誤了！
  8. EXTIF="eth0"             # 這個是可以連上 Public IP 的網路介面
  9. INIF="eth1"              # 內部 LAN 的連接介面；若無則寫成 INIF=""
  10. INNET="192.168.1.0/24" # 若無內部網域介面，請填寫成 INNET=""
  11. export EXTIF INIF INNET
  12.  
  13. # 第一部份，針對本機的防火牆設定！##########################################
  14. # 1. 先設定好核心的網路功能：
  15.   echo "1" > /proc/sys/net/ipv4/tcp_syncookies
  16.   echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
  17.   for i in /proc/sys/net/ipv4/conf/*/{rp_filter,log_martians}; do
  18.         echo "1" > $i
  19.   done
  20.   for i in /proc/sys/net/ipv4/conf/*/{accept_source_route,accept_redirects,send_redirects}; do
  21.         echo "0" > $i
  22.   done
  23.  
  24. # 2. 清除規則、設定預設政策及開放 lo 與相關的設定值
  25.   PATH=/sbin:/usr/sbin:/bin:/usr/bin:/usr/local/sbin:/usr/local/bin; export PATH
  26.   iptables -F
  27.   iptables -X
  28.   iptables -Z
  29.   iptables -P INPUT   DROP
  30.   iptables -P OUTPUT  ACCEPT
  31.   iptables -P FORWARD ACCEPT
  32.   iptables -A INPUT -i lo -j ACCEPT
  33.   iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
  34.  
  35. # 3. 啟動額外的防火牆 script 模組
  36.   if [ -f /usr/local/virus/iptables/iptables.deny ]; then
  37.         sh /usr/local/virus/iptables/iptables.deny
  38.   fi
  39.  
  40.   if [ -f /usr/local/virus/iptables/iptables.allow ]; then
  41.         sh /usr/local/virus/iptables/iptables.allow
  42.   fi
  43.  
  44.   if [ -f /usr/local/virus/httpd-err/iptables.http ]; then
  45.         sh /usr/local/virus/httpd-err/iptables.http
  46.   fi
  47.  
  48. # 4. 允許某些類型的 ICMP 封包進入
  49.   AICMP="0 3 3/4 4 11 12 14 16 18"
  50.   for tyicmp in $AICMP
  51.   do
  52.     iptables -A INPUT -i $EXTIF -p icmp --icmp-type $tyicmp -j ACCEPT
  53.   done
  54.  
  55. # 5. 載入允許進入的service表，用額外檔案以方便單獨設定，就不用每次都要下拉編輯
  56.  if [ -f /usr/local/virus/iptables/iptables.services ]; then
  57.    sh /usr/local/virus/iptables/iptables.services
  58.  fi
  59.  
  60. # 第二部份，針對後端主機的防火牆設定！###############################
  61. # 1. 先載入一些有用的模組
  62.   modules="ip_tables iptable_nat ip_nat_ftp ip_nat_irc ip_conntrack ip_conntrack_ftp ip_conntrack_irc"
  63.   for mod in $modules
  64.   do
  65.       testmod=`lsmod | grep "^${mod} " | awk '{print $1}'`
  66.       if [ "$testmod" == "" ]; then
  67.             modprobe $mod
  68.       fi
  69.   done
  70.  
  71. # 2. 清除 NAT table 的規則吧！
  72.   iptables -F -t nat
  73.   iptables -X -t nat
  74.   iptables -Z -t nat
  75.   iptables -t nat -P PREROUTING  ACCEPT
  76.   iptables -t nat -P POSTROUTING ACCEPT
  77.   iptables -t nat -P OUTPUT      ACCEPT
  78.  
  79. # 3. 若有內部介面的存在 (雙網卡) 開放成為路由器，且為 IP 分享器！
  80.   if [ "$INIF" != "" ]; then
  81.     iptables -A INPUT -i $INIF -j ACCEPT
  82.     echo "1" > /proc/sys/net/ipv4/ip_forward
  83.     if [ "$INNET" != "" ]; then
  84.         for innet in $INNET
  85.         do
  86.             iptables -t nat -A POSTROUTING -s $innet -o $EXTIF -j MASQUERADE
  87.         done
  88.     fi
  89.   fi
  90.  
  91.   # 如果你的 MSN 一直無法連線，或者是某些網站 OK 某些網站不 OK，
  92.   # 可能是 MTU 的問題，那你可以將底下這一行給他取消註解來啟動 MTU 限制範圍
  93.   # iptables -A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss \
  94.   #          --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu
  95.  
  96. # 4. NAT 伺服器後端的 LAN 內對外之伺服器設定
  97. # iptables -t nat -A PREROUTING -p tcp -i $EXTIF --dport 80 \
  98. #          -j DNAT --to-destination 192.168.1.210:80 # WWW
  99.  
  100. # 5. 特殊的功能，包括 Windows 遠端桌面所產生的規則，假設桌面主機為 1.2.3.4
  101. # iptables -t nat -A PREROUTING -p tcp -s 1.2.3.4  --dport 6000 \
  102. #          -j DNAT --to-destination 192.168.100.10
  103. # iptables -t nat -A PREROUTING -p tcp -s 1.2.3.4  --sport 3389 \
  104. #          -j DNAT --to-destination 192.168.100.20
  105.  
  106. # 6. 最終將這些功能儲存下來吧！
  107. #  /etc/init.d/iptables save
  108. # 在Ubuntu不一定有用就是了，就不用啦，反正每次開機都會執行一次
  109. # iptables-save
  110. ########################### END OF iptables.rule #####################
  111.  
  112.  
  113. vim /usr/local/virus/iptables/iptables.allow
  114. ################### 新增底下 #####################
  115. #!/bin/bash
  116.  
  117. # 底下則填寫你允許進入本機的其他網域或主機啊！
  118. #iptables -A INPUT -i $EXTIF -s 1.2.3.4 -j ACCEPT
  119. ########################## END OF iptables.allow #####################
  120.  
  121. vim /usr/local/virus/iptables/iptables.services
  122. ################### 新增底下 ####################
  123. #!/bin/bash
  124.  
  125. # 將妳要對外開啟的服務設定在此
  126.  
  127. # iptables -A INPUT -p TCP -i $EXTIF --dport  21 --sport 1024:65534 -j ACCEPT # FTP
  128. # iptables -A INPUT -p TCP -i $EXTIF --dport  22 --sport 1024:65534 -j ACCEPT # SSH
  129. # iptables -A INPUT -p TCP -i $EXTIF --dport  25 --sport 1024:65534 -j ACCEPT # SMTP
  130. # iptables -A INPUT -p UDP -i $EXTIF --dport  53 --sport 1024:65534 -j ACCEPT # DNS
  131. # iptables -A INPUT -p TCP -i $EXTIF --dport  53 --sport 1024:65534 -j ACCEPT # DNS
  132. # iptables -A INPUT -p TCP -i $EXTIF --dport  80 --sport 1024:65534 -j ACCEPT # WWW
  133. # iptables -A INPUT -p TCP -i $EXTIF --dport 110 --sport 1024:65534 -j ACCEPT # POP3
  134. # iptables -A INPUT -p TCP -i $EXTIF --dport 443 --sport 1024:65534 -j ACCEPT # HTTPS
  135.  
  136. ## !!!!!!這裡是 L2TP Over IPSec VPN 務必開放的Port!!!!!!!! ##
  137. iptables -A INPUT -p UDP -i $EXTIF --dport  500 -j ACCEPT
  138. iptables -A INPUT -p UDP -i $EXTIF --dport  4500 -j ACCEPT
  139. iptables -A INPUT -p UDP -i $EXTIF --dport  1701 -j ACCEPT
  140. ########################## END OF iptables.services #####################
  141.  
  142. chmod 700 /usr/local/virus/iptables/iptables.*


好了之後，編輯/etc/rc.local，增加一行 
  1. /usr/local/virus/iptables/iptables.rule
重新開機就可以囉~
張貼者： 於
標籤： , , , ,

1 則留言:

  1. Max2019年3月3日 下午2:07

    大大您好...我近期根據您的文件配置一個L2TP with IPSec Server，但我配置之後透過Win7去新增一個VPN Client撥接，如果我去Win7的VPN撥接設定一組L2TP"預先共用金鑰"後無法撥接成功，但如果設定"使用憑證進行驗證"就可以，請教這哪邊出了問題?

    回覆刪除

訂閱： 張貼留言 (Atom)