Auf andere Clouds mit Libreswan zugreifen

1. Erstellen Sie mit der AWS-Konsole oder mit APIs eine Libreswan-VM mithilfe des Provisioning-Prozesses. Verwenden Sie Oracle Linux, CentOS oder Red Hat als Hauptbetriebssystem.

2. Nachdem die neue Instanz gestartet wurde, melden Sie sich bei der Instanz mit SSH an, und installieren Sie das Libreswan-Package:

   sudo yum -y install libreswan

3. Deaktivieren Sie in der AWS-Konsole die Quell- und Zielprüfungen in der Libreswan-VM-Instanz, indem Sie mit der rechten Maustaste auf die Instanz und dann auf Networking und auf Quell-/Zielprüfung ändern klicken. Wenn Sie dazu aufgefordert werden, klicken Sie auf Ja, Deaktivieren.

   

4. Konfigurieren Sie IP_forward auf der Libreswan-VM, damit AWS-Clients Traffic über die Libreswan-VM senden und empfangen können. Legen Sie in der Datei /etc/sysctl.conf die folgenden Werte fest, und wenden Sie die Aktualisierungen mit sudo sysctl -p an.

   net.ipv4.ip_forward=1
   net.ipv4.conf.all.accept_redirects = 0
   net.ipv4.conf.all.send_redirects = 0
   net.ipv4.conf.default.send_redirects = 0
   net.ipv4.conf.eth0.send_redirects = 0
   net.ipv4.conf.default.accept_redirects = 0
   net.ipv4.conf.eth0.accept_redirects = 0

5. Bearbeiten Sie in der AWS-Konsole Ihre AWS-Routentabelle. Fügen Sie eine Regel mit dem VCN-CIDR (172.0.0.0/16) als Ziel und der AWS-Libreswan-Instanz-ID (in diesem Beispiel i-016ab864b43cb368e) als Ziel hinzu.

   

6. Aktivieren Sie in der AWS-Konsole eingehenden TCP- und UDP-Traffic auf den Ports 4500 und 500, um eine Site-to-Site-VPN-IPsec-Verbindung von Oracle Cloud Infrastructure mit der AWS-Libreswan-VM zuzulassen. Diese Aufgabe umfasst das Bearbeiten der AWS-Sicherheitsgruppen und Netzwerk-ACLs. Sie können den Quellwert als öffentliche Oracle-IP (IPSec-Tunnel-Endpunkte des Oracle -VPN-Headends) anstatt 0.0.0.0/0 festlegen.

   Bei Sicherheitsgruppen:

   

   Bei Netzwerk-ACLs:

   

1. Erstellen Sie in der Oracle-Konsole ein Customer Premises Equipment-(CPE-)Objekt, das auf die öffentliche IP-Adresse der Libreswan-AWS-Instanz verweist (34.200.255.174). Dies ist mit dem CPE-Konfigurations-Helper ganz einfach möglich.

2. Wenn noch kein DRG an Ihr VCN angehängt wurde, erstellen Sie in der Oracle-Konsole ein DRG, und hängen Sie es an das VCN (172.0.0.0/16) an.

3. Erstellen Sie eine IPsec-Verbindung in der Oracle-Konsole, und verweisen Sie sie auf das AWS-VPC-CIDR (10.0.0.0/16). Anders ausgedrückt, wenn Sie die IPSec-Verbindung erstellen, setzen Sie die zugehörige statische Route auf das AWS-VPC-CIDR.

   Für jede konfigurierte IPSec-Verbindung erstellt Oracle zwei Tunnel und weist jedem die folgenden Elemente zu:

   • IPSec-Tunnel-Endpunkte des Oracle-VPN-Headends
   • Shared Secret des Oracle-VPN-Tunnels

   Sie können den Tunnelstatus IPSec und die Oracle-VPN-Headend-IP anzeigen, indem Sie auf das Menü Aktionen () für die Verbindung IPSec klicken und dann auf Details anzeigen klicken. Anfänglich befindet sich jeder Tunnel im DOWN-Status (offline), da später noch einige zusätzliche Konfigurationen für die AWS-Libreswan-VM vorzunehmen sind.

   Um das Shared Secret anzuzeigen, klicken Sie auf das Aktionsmenü () für einen einzelnen Tunnel und dann auf Details anzeigen. Klicken Sie neben Shared Secret auf Anzeigen.

4. Bearbeiten Sie in der Oracle-Konsole die Sicherheitsregeln des VCN, um Ingress-TCP- und UDP-Traffic auf den Ports 4500 und 500 zu aktivieren, wie Sie es für die AWS-Sicherheitsgruppen und Netzwerk-ACLs vorgenommen haben. Sie können die öffentliche IP-Adresse der AWS-Libreswan-VM anstelle von 0.0.0.0/0 verwenden, wenn es sich um eine persistente öffentliche IP handelt. Öffnen Sie außerdem alle Protokolle und Ports für Ingress-Traffic aus dem AWS-VPC-CIDR (10.0.0.0/16). Denken Sie daran: Sicherheitslisten sind mit einem Subnetz verknüpft. Bearbeiten Sie daher die Sicherheitsliste für jedes Subnetz, das mit der AWS-VPC kommunizieren muss. Wenn Sie VCN-Netzwerksicherheitsgruppen verwenden, bearbeiten Sie die Regeln in den relevanten NSGs.

5. Bearbeiten Sie in der Oracle-Konsole die Routentabellen des VCN, um eine Regel mit dem AWS-VPC-CIDR (10.0.0.0/16) als Ziel-CIDR-Block und das DRG hinzuzufügen, das Sie zuvor als Ziel erstellt haben. Denken Sie daran: Routentabellen sind mit einem Subnetz verknüpft. Bearbeiten Sie daher die Routentabelle, die mit jedem Subnetz verknüpft ist, das mit der AWS-VPC kommunizieren muss.

In der Libreswan-Konfiguration werden die folgenden Variablen verwendet. Ermitteln Sie die Werte, bevor Sie mit der Konfiguration fortfahren.

• ${cpeLocalIP}: IP-Adresse Ihres Libreswan-Geräts.
• ${cpePublicIpAddress}: Öffentliche IP-Adresse für Libreswan. Dies ist die IP-Adresse Ihrer äußeren Schnittstelle. Je nach Netzwerktopologie kann sich der Wert von ${cpeLocalIP} unterscheiden.
• ${oracleHeadend1}: Öffentlicher Oracle-IP-Endpunkt für den ersten Tunnel, der aus der Oracle-Konsole abgerufen wird.
• ${oracleHeadend2}: Öffentlicher Oracle IP-Endpunkt für den zweiten Tunnel, der aus der Oracle-Konsole abgerufen wird.
• ${vti1}: Name der ersten verwendeten VTI. Beispiel: vti1.
• ${vti2}: Name der zweiten verwendeten VTI. Beispiel: vti2.
• ${sharedSecret1}: Pre-Shared Key für den ersten Tunnel. Sie können den standardmäßig von Oracle bereitgestellten Pre-Shared Key verwenden oder Ihren eigenen Schlüssel angeben, wenn Sie die IPSec-Verbindung in der Oracle-Konsole einrichten.
• ${sharedSecret2}: Pre-Shared Key für den zweiten Tunnel. Sie können den standardmäßig von Oracle bereitgestellten Pre-Shared Key verwenden oder Ihren eigenen Schlüssel angeben, wenn Sie die IPSec-Verbindung in der Oracle-Konsole einrichten.
• ${vcnCidrNetwork}: VCN-IP-Bereich.

Bei der Libreswan-Konfiguration wird das Konzept von links und rechts verwendet, um die Konfigurationsparameter für das lokale CPE-Gerät und das Remote-Gateway zu definieren. Beide Seiten der Verbindung (conn in der Libreswan-Konfiguration) können links oder rechts sein, die Konfiguration für diese Verbindung muss jedoch konsistent sein. In diesem Beispiel:

• Links: Ihr lokales Libreswan-CPE
• Rechts: Das Oracle-VPN-Headend

Verwenden Sie die folgende Vorlage für die Datei /etc/ipsec.d/oci-ipsec.conf. Die Datei definiert die beiden Tunnel, die Oracle erstellt, wenn Sie die IPSec-Verbindung einrichten.

conn oracle-tunnel-1
     left=${cpeLocalIP}
     # leftid=${cpePublicIpAddress} # See preceding note about 1-1 NAT device
     right=${oracleHeadend1}
     authby=secret
     leftsubnet=0.0.0.0/0 
     rightsubnet=0.0.0.0/0
     auto=start
     mark=5/0xffffffff # Needs to be unique across all tunnels
     vti-interface=${vti1}
     vti-routing=no
     ikev2=no # To use IKEv2, change to ikev2=insist
     ike=aes_cbc256-sha2_384;modp1536
     phase2alg=aes_gcm256;modp1536
     encapsulation=yes
     ikelifetime=28800s
     salifetime=3600s
conn oracle-tunnel-2
     left=${cpeLocalIP}
     # leftid=${cpePublicIpAddress} # See preceding note about 1-1 NAT device
     right=${oracleHeadend2}
     authby=secret
     leftsubnet=0.0.0.0/0
     rightsubnet=0.0.0.0/0
     auto=start
     mark=6/0xffffffff # Needs to be unique across all tunnels
     vti-interface=${vti2}
     vti-routing=no
     ikev2=no # To use IKEv2, change to ikev2=insist
     ike=aes_cbc256-sha2_384;modp1536
     phase2alg=aes_gcm256;modp1536
     encapsulation=yes
     ikelifetime=28800s
     salifetime=3600s

Verwenden Sie die folgende Vorlage für die Datei /etc/ipsec.d/oci-ipsec.secrets. Sie enthält zwei Zeilen pro IPSec-Verbindung (eine Zeile pro Tunnel).

${cpePublicIpAddress} ${ipAddress1}: PSK "${sharedSecret1}"
${cpePublicIpAddress} ${ipAddress2}: PSK "${sharedSecret2}"

Nachdem Sie die Konfigurations- und Secrets-Dateien eingerichtet haben, müssen Sie den Libreswan-Service mit dem folgenden Befehl neu starten.

service ipsec restart

Verwenden Sie den folgenden ip-Befehl, um statische Routen zu erstellen, die den Traffic über die IPSec-Tunnel an das VCN senden. Wenn Sie mit einem nicht berechtigten Benutzeraccount angemeldet sind, müssen Sie vor dem Befehl möglicherweise sudo verwenden.

ip route add ${VcnCidrBlock} nexthop dev ${vti1} nexthop dev ${vti2}
ip route show