Acesso a Outras Nuvens com o Libreswan

1. Usando a Console do AWS ou APIs, crie uma VM Libreswan usando o processo de provisionamento. Use Oracle Linux, CentOS ou Red Hat como sistema operacional principal.

2. Após a nova instância ser iniciada, conecte-se com ela usando SSH e instale o pacote Libreswan:

   sudo yum -y install libreswan

3. Na Console do AWS, desative as verificações de origem e destino na instância da VM do Libreswan clicando com o botão direito do mouse na instância, clicando em Networking e depois em Alterar Origem/Destino Origem/Destino. Quando solicitado, clique em Sim, Desativar.

   

4. Na Libreswan VM, configure o IP_forward para permitir que os clientes AWS enviem e recebam tráfego por meio da Libreswan VM. No arquivo /etc/sysctl.conf, defina os valores a seguir e aplique as atualizações com sudo sysctl -p.

   net.ipv4.ip_forward=1
   net.ipv4.conf.all.accept_redirects = 0
   net.ipv4.conf.all.send_redirects = 0
   net.ipv4.conf.default.send_redirects = 0
   net.ipv4.conf.eth0.send_redirects = 0
   net.ipv4.conf.default.accept_redirects = 0
   net.ipv4.conf.eth0.accept_redirects = 0

5. Na Console do AWS, edite a sua tabela de roteamento do AWS. Adicione uma regra com o CIDR da VCN (172.0.0.0/16) como destino e o ID da instância do AWS Libreswan (i-016ab864b43cb368e nesse exemplo) como alvo.

   

6. Na Console do AWS, ative o tráfego TCP e UDP de entrada nas portas 4500 e 500 para permitir a conexão IPSec VPN Site a Site do Oracle Cloud Infrastructure com a VM AWS Libreswan. Esta tarefa inclui a edição dos grupos de segurança do AWS e das ACLs de rede. Você pode definir o valor de origem como o IP público do sistema Oracle (o ponto final do túnel IPSec de headend da Oracle VPN) em vez de 0.0.0.0/0.

   Para grupos de segurança:

   

   Para ACLs de rede:

   

1. Na Console do sistema Oracle, crie um objeto CPE (customer-premises equipment) que aponte para o endereço IP público da instância do AWS Libreswan (34.200.255.174). Isso éfeito facilmente usando o Auxiliar de Configuração de CPE.

2. Se você ainda não tiver um DRG anexado à sua VCN: na Console do sistema Oracle, crie um DRG e anexe-o à VCN (172.0.0.0/16).

3. Na Console do sistema Oracle, crie uma conexão IPSec e aponte-a para o CIDR da VPC da AWS (10.0.0.0/16). Em outras palavras, ao criar a conexão IPSec, defina a rota estática para o CIDR da AWS VPC.

   Para cada conexão IPSec configurada, o sistema Oracle cria dois túneis e designa estes itens a cada um deles:

   • Ponto final do túnel IPSec de headend da Oracle VPN
   • Segredo compartilhado do túnel da Oracle VPN

   Você pode exibir o status do túnel IPSec e o IP de cabeçalho da Oracle VPN clicando no menu Ações () da conexão IPSec e depois clicando em Exibir Detalhes. Inicialmente, cada túnel permanece no estado DOWN (off-line) porque você ainda tem algumas configurações adicionais para implementar posteriormente na VM do AWS Libreswan.

   Para exibir o segredo compartilhado, clique no menu Ações () de um túnel individual e, em seguida, clique em Exibir Detalhes. Ao lado de Segredo Compartilhado, clique em Mostrar.

4. Na Console do sistema Oracle, edite as regras de segurança da VCN para ativar o tráfego TCP e UDP de entrada nas portas 4500 e 500 como você fez para os grupos de segurança do AWS e as ACLs de rede. Você poderá usar o endereço IP público da VM do AWS Libreswan, em vez de 0.0.0.0/0, se for um IP público persistente. Abra também todos os protocolos e portas para o tráfego de entrada proveniente do CIDR da AWS VPC (10.0.0.0/16). Lembre-se: as listas de segurança são associadas a uma sub-rede; portanto, edite a lista de segurança associada a cada sub-rede que precisa se comunicar com a AWS VPC. Ou, se você estiver usando grupos de segurança de rede da VCN, edite as regras nos NSGs relevantes.

5. Na Console do sistema Oracle, edite as tabelas de roteamento da VCN para adicionar uma regra que tenha o CIDR da AWS VPC (10.0.0.0/16) como bloco CIDR de destino e o DRG criado anteriormente como alvo. Lembre-se: as tabelas de roteamento são associadas a uma sub-rede; por isso, edite a tabela de roteamento associada a cada sub-rede que precisa se comunicar com a AWS VPC.

A configuração do Libreswan usa as variáveis a seguir. Determine os valores antes de continuar a configuração.

• ${cpeLocalIP}: o endereço IP do seu dispositivo Libreswan.
• ${cpePublicIpAddress}: o endereço IP público do Libreswan. Este é o endereço IP da sua interface externa. Dependendo da sua topologia de rede, o valor poderá ser diferente de ${cpeLocalIP}.
• ${oracleHeadend1}: Para o primeiro túnel, o ponto final IP público Oracle obtido da Console do sistema Oracle.
• ${oracleHeadend2}: Para o segundo túnel, o ponto final IP público Oracle obtido da Console do sistema Oracle.
• ${vti1}: o nome da primeira VTI usada. Por exemplo, vti1.
• ${vti2}: O nome da segunda VTI usada. Por exemplo, vti2.
• ${sharedSecret1}: a chave pré-compartilhada para o primeiro túnel. Você pode usar a chave pré-compartilhada fornecida pela Oracle ou pode fornecer a sua própria chave ao configurar a conexão IPSec na Console do sistema Oracle.
• ${sharedSecret2}: a chave pré-compartilhada para o segundo túnel. Você pode usar a chave pré-compartilhada fornecida pela Oracle ou pode fornecer a sua própria chave ao configurar a conexão IPSec na Console do sistema Oracle.
• ${vcnCidrNetwork}: o intervalo de IP da VCN.

A configuração do Libreswan usa o conceito de esquerda e direita para definir os parâmetros de configuração do seu dispositivo CPE local e do gateway remoto. Ambos os lados da conexão (conn na configuração do Libreswan) poderão estar à esquerda ou à direita, mas a configuração dessa conexão deve ser consistente. Nesse exemplo:

• Esquerda: o CPE do seu Libreswan local
• Direita: o headend da Oracle VPN

Use o modelo a seguir para o seu arquivo /etc/ipsec.d/oci-ipsec.conf. O arquivo define os dois túneis que o sistema Oracle cria quando você configura a conexão IPSec.

conn oracle-tunnel-1
     left=${cpeLocalIP}
     # leftid=${cpePublicIpAddress} # See preceding note about 1-1 NAT device
     right=${oracleHeadend1}
     authby=secret
     leftsubnet=0.0.0.0/0 
     rightsubnet=0.0.0.0/0
     auto=start
     mark=5/0xffffffff # Needs to be unique across all tunnels
     vti-interface=${vti1}
     vti-routing=no
     ikev2=no # To use IKEv2, change to ikev2=insist
     ike=aes_cbc256-sha2_384;modp1536
     phase2alg=aes_gcm256;modp1536
     encapsulation=yes
     ikelifetime=28800s
     salifetime=3600s
conn oracle-tunnel-2
     left=${cpeLocalIP}
     # leftid=${cpePublicIpAddress} # See preceding note about 1-1 NAT device
     right=${oracleHeadend2}
     authby=secret
     leftsubnet=0.0.0.0/0
     rightsubnet=0.0.0.0/0
     auto=start
     mark=6/0xffffffff # Needs to be unique across all tunnels
     vti-interface=${vti2}
     vti-routing=no
     ikev2=no # To use IKEv2, change to ikev2=insist
     ike=aes_cbc256-sha2_384;modp1536
     phase2alg=aes_gcm256;modp1536
     encapsulation=yes
     ikelifetime=28800s
     salifetime=3600s

Use o modelo a seguir para o seu arquivo /etc/ipsec.d/oci-ipsec.secrets. Ele contém duas linhas por conexão IPSec (uma linha por túnel).

${cpePublicIpAddress} ${ipAddress1}: PSK "${sharedSecret1}"
${cpePublicIpAddress} ${ipAddress2}: PSK "${sharedSecret2}"

Após definir a sua configuração e os arquivos de segredos, você deverá reiniciar o serviço Libreswan com o comando a seguir.

service ipsec restart

Use o comando ip a seguir para criar rotas estáticas que enviam tráfego para a sua VCN por meio de túneis IPSec. Se você estiver conectado com uma conta de usuário sem privilégios, talvez seja necessário usar sudo antes do comando.

ip route add ${VcnCidrBlock} nexthop dev ${vti1} nexthop dev ${vti2}
ip route show