Strongswan / Ipsec 多个 roadwarrior 连接不同的子网

Question 1

只有在以下情况下才可以根据服务器身份/证书切换连接：

客户端在其 IKE_AUTH 请求中发送远程身份 (IDr)，许多客户端不会这样做（特别是 Windows），否则就没有身份可匹配，因此将使用第一个连接

或者

如果 FQDN 映射到不同的 IP 地址，则可以将其配置为连接的本地地址，以便尽早选择正确的连接

Answer

只有在以下情况下才可以根据服务器身份/证书切换连接：

客户端在其 IKE_AUTH 请求中发送远程身份 (IDr)，许多客户端不会这样做（特别是 Windows），否则就没有身份可匹配，因此将使用第一个连接

或者

如果 FQDN 映射到不同的 IP 地址，则可以将其配置为连接的本地地址，以便尽早选择正确的连接

Question 2

事实证明，使用证书是不可能的，因为它们不用于识别服务器上的用户。

所以我最终使用了一个解决方法，该解决方法在这个答案这有助于评估eap_identiy。

现在我的客户使用相同的证书，但根据登录信息，我可以决定他们将使用哪个子网。

我的 ipsec.conf 现在看起来像这样：

conn eap-shared
   type=tunnel
   ike=aes128-sha1-modp1024
   rightauth=eap-mschapv2
   leftcert=server-cert.pem

conn eap-init
   also=eap-shared
   # this config is used to do the EAP-Identity exchange and the
   # authentication of client and server
   eap_identity=%identity
   # the following is used to force a connection switch after
   # the authentication completed
   rightgroups=thisseemsirrelevant
   auto=add

conn eap-liv
   also=eap-shared
   eap_identity=*@liv-some-domain.com
   rightsourceip=10.200.0.0/16-10.200.254.254/16
   auto=add

conn eap-dev
   also=eap-shared
   eap_identity=*@dev-some-domain.com
   rightsourceip=10.100.0.0/16-10.100.254.254/16
   auto=add

可能不是最优雅的解决方案，但对我来说是有效的。

Answer

事实证明，使用证书是不可能的，因为它们不用于识别服务器上的用户。

所以我最终使用了一个解决方法，该解决方法在这个答案这有助于评估eap_identiy。

现在我的客户使用相同的证书，但根据登录信息，我可以决定他们将使用哪个子网。

我的 ipsec.conf 现在看起来像这样：

conn eap-shared
   type=tunnel
   ike=aes128-sha1-modp1024
   rightauth=eap-mschapv2
   leftcert=server-cert.pem

conn eap-init
   also=eap-shared
   # this config is used to do the EAP-Identity exchange and the
   # authentication of client and server
   eap_identity=%identity
   # the following is used to force a connection switch after
   # the authentication completed
   rightgroups=thisseemsirrelevant
   auto=add

conn eap-liv
   also=eap-shared
   eap_identity=*@liv-some-domain.com
   rightsourceip=10.200.0.0/16-10.200.254.254/16
   auto=add

conn eap-dev
   also=eap-shared
   eap_identity=*@dev-some-domain.com
   rightsourceip=10.100.0.0/16-10.100.254.254/16
   auto=add

可能不是最优雅的解决方案，但对我来说是有效的。

Question 3

对于具有相同身份验证方法的多个连接配置，Strongswan 能够根据客户端的身份选择适当的配置。

例如使用两个 conn 配置：

右边都使用公钥，我们可以用它rightca作为约束：

    conn dev-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Develop CA"
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Testing CA"
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

在这种设置中，具有颁发的证书的客户端Develop CA将直接选择配置dev-network_ikev2-cert。
如果客户端使用颁发的证书Testing CA，strongswan 将首先选择配置dev-network_ikev2-cert，然后输出constraint check failed: peer not authenticated by CA 'C=CN, O=Sample, CN=Develop CA'，然后选择下一个test-network_ikev2-cert。

右侧均采用 eap-mschapv2，我们可以将其用作eap_identity约束：

    conn dev-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@dev.com
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@test.com
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

这是Flo使用的方法。Strongswan将执行与使用公钥类似的检查逻辑。

如果客户端使用身份*@test.com，strongswan 将首先选择dev-network_ikev2-eap，然后找到constraint check failed: EAP identity '*@dev.com' required并选择下一个test-network_ikev2-eap。

希望这会有所帮助。

Answer

对于具有相同身份验证方法的多个连接配置，Strongswan 能够根据客户端的身份选择适当的配置。

例如使用两个 conn 配置：

右边都使用公钥，我们可以用它rightca作为约束：

    conn dev-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Develop CA"
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-cert
        rightauth=pubkey
        rightca="C=CN, O=Sample, CN=Testing CA"
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

在这种设置中，具有颁发的证书的客户端Develop CA将直接选择配置dev-network_ikev2-cert。
如果客户端使用颁发的证书Testing CA，strongswan 将首先选择配置dev-network_ikev2-cert，然后输出constraint check failed: peer not authenticated by CA 'C=CN, O=Sample, CN=Develop CA'，然后选择下一个test-network_ikev2-cert。

右侧均采用 eap-mschapv2，我们可以将其用作eap_identity约束：

    conn dev-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@dev.com
        rightsourceip=10.100.0.0/16
        rightdns=8.8.8.8
    
    conn test-network_ikev2-eap
        rightauth=eap-mschapv2
        eap_identity=*@test.com
        rightsourceip=10.200.0.0/16
        rightdns=8.8.8.8

这是Flo使用的方法。Strongswan将执行与使用公钥类似的检查逻辑。

如果客户端使用身份*@test.com，strongswan 将首先选择dev-network_ikev2-eap，然后找到constraint check failed: EAP identity '*@dev.com' required并选择下一个test-network_ikev2-eap。

希望这会有所帮助。

Strongswan / Ipsec 多个 roadwarrior 连接不同的子网

答案1

答案2

答案3

相关内容