SWAN之ikev2协议double-nat-net配置测试

IPSecurity 专栏收录该内容
89 篇文章 4 订阅

本测试主要验证分别位于NAT网关moon和sun之后的用户alice和bob建立连接的功能。其中由alice发起连接,moon网关执行SNAT变化,sun网关执行DNAT变化,strongswan在此情况下检测到NAT网关的存在,启用NAT-T功能。最后在NAT网关sun上配置路由,为bob所在网段的主机提供远程服务。本次测试拓扑如下:

在这里插入图片描述

alice主机配置

alice的配置文件:ikev2/double-nat-net/hosts/alice/etc/ipsec.conf,内容如下,keyexchange字段为ikev2,表示采用IKEv2协议。left字段的值%defaultroute意味值由默认路由中获取本端的出口IP地址。right字段指明对端为sun网关,但是rightid字段为bob的ID信息:bob@strongswan.org。bob主机位于网关sun之后,bob主机地址对外不可见。rightsubnet字段指明对端的子网为:10.2.0.0/16。

config setup

conn %default
        ikelifetime=60m
        keylife=20m
        rekeymargin=3m
        keyingtries=1
        keyexchange=ikev2

conn nat-t
        left=%defaultroute
        leftcert=aliceCert.pem
        leftid=alice@strongswan.org
        leftfirewall=yes
        right=PH_IP_SUN
        rightid=bob@strongswan.org
        rightsubnet=10.2.0.0/16
        auto=add

bob的配置文件:ikev2/double-nat-net/hosts/bob/etc/ipsec.conf,内容如下,基本内容与alice主机相同。但是right字段的值为%any,表明接收任何主机发来的连接,此配置不能主动发起连接,需要等待alice的连接请求。rightsubnet字段指明对端的子网为:10.1.0.0/16,即alice主机所在网络。

config setup

conn %default
        ikelifetime=60m
        keylife=20m
        rekeymargin=3m
        keyingtries=1
        keyexchange=ikev2

conn nat-t
        left=%defaultroute
        leftsubnet=10.2.0.0/16
        leftcert=bobCert.pem
        leftid=bob@strongswan.org
        leftfirewall=yes
        right=%any
        rightsubnet=10.1.0.0/16
        auto=add

测试准备阶段

配置文件:ikev2/double-nat-net/pretest.dat内容如下。由于alice和bob主机分别位于网关moon和sun之后,需要在网关上配置NAT策略。对于由moon网关的eth0接口外层的UDP和TCP流量执行SNAT,将地址变换为moon主机的eth0接口IP(192.168.0.1),对于UDP,变换之后的端口范围:1024-1100,对于TCP协议,端口范围:2000-2100。

对于sun网关的需要配置SNAT和DNAT,首先对于bob主动发送的TCP流量,在sun的eth0出口执行SNAT;而对于主动进入eth0接口的UDP流量,执行DNAT,可见后一种DNAT是为IKE协议使用。最后在sun网关上增加到10.1.0.0/16网段的路由,下一跳为bob主机,由bob为整个10.2.0.0/16网段提供远程连接服务。

moon::iptables -t nat -A POSTROUTING -o eth0 -s 10.1.0.0/16 -p udp -j SNAT --to-source PH_IP_MOON:1024-1100
moon::iptables -t nat -A POSTROUTING -o eth0 -s 10.1.0.0/16 -p tcp -j SNAT --to-source PH_IP_MOON:2000-2100
sun::iptables -t nat -A POSTROUTING -o eth0 -s 10.2.0.0/16 -p tcp -j SNAT --to-source PH_IP_SUN:2000-2100
sun::iptables -t nat -A PREROUTING -i eth0 -s PH_IP_MOON -p udp -j DNAT --to-destination PH_IP_BOB
sun::ip route add 10.1.0.0/16 via PH_IP_BOB

测试阶段

配置文件:ikev2/double-nat-net/evaltest.dat。以下测试语句注意检查alice和bob主机上连接的建立情况,最后在alice主机上ping主机bob验证连通性。

alice::ipsec status 2> /dev/null::nat-t.*ESTABLISHED.*alice@strongswan.org.*bob@strongswan.org::YES
bob::  ipsec status 2> /dev/null::nat-t.*ESTABLISHED.*bob@strongswan.org.*alice@strongswan.org::YES
alice::ipsec status 2> /dev/null::nat-t.*INSTALLED, TUNNEL.*ESP in UDP::YES
bob::  ipsec status 2> /dev/null::nat-t.*INSTALLED, TUNNEL.*ESP in UDP::YES
alice::ping -c 1 PH_IP_SUN1::64 bytes from PH_IP_SUN1: icmp_.eq=1::YES

以下为alice主机上ipsec status的输出结果,可见SA连接的信息:ESP in UDP,以及建立的10.1.0.10/32 到 10.2.0.0/16网段的安全关联。

Connections:
       nat-t:  %any...192.168.0.2  IKEv2
       nat-t:   local:  [alice@strongswan.org] uses public key authentication
       nat-t:    cert:  "C=CH, O=strongSwan Project, OU=Sales, CN=alice@strongswan.org"
       nat-t:   remote: [bob@strongswan.org] uses public key authentication
       nat-t:   child:  dynamic === 10.2.0.0/16 TUNNEL
Security Associations (1 up, 0 connecting):
       nat-t[1]: ESTABLISHED 0 seconds ago, 10.1.0.10[alice@strongswan.org]...192.168.0.2[bob@strongswan.org]
       nat-t[1]: IKEv2 SPIs: 0e2b52d2febd672e_i* 83571a6efc8312d0_r, public key reauthentication in 53 minutes
       nat-t[1]: IKE proposal: AES_CBC_128/HMAC_SHA2_256_128/PRF_HMAC_SHA2_256/CURVE_25519
       nat-t{1}:  INSTALLED, TUNNEL, reqid 1, ESP in UDP SPIs: c92bb65a_i c8374ccf_o
       nat-t{1}:  AES_CBC_128/HMAC_SHA2_256_128, 84 bytes_i (1 pkt, 0s ago), 84 bytes_o (1 pkt, 0s ago), rekeying in 14 minutes
       nat-t{1}:   10.1.0.10/32 === 10.2.0.0/16

以下为alice发送的IKE_SA_INIT报文,源地址为10.1.0.10,源端口为500。IKE_AUTH报文增加了UDP报头,源端口为4500,即NAT-T端口。

在这里插入图片描述

中间NAT设备的检查,由IKE_SA_INIT消息中的负荷字段:NAT_DETECTION_SOURCE_IP和NAT_DETECTION_DESTINATION_IP负责,其内容为对报文原始IP和端口的哈希值,后者为对原始目的IP和端口的哈希值。

在这里插入图片描述

以下为在bob主机上抓取的报文,可见moon主机进行的SNAT变换,将alice发送报文的源IP地址修改为moon接口eth0的IP地址(192.168.0.1),将源端口修改为1037(IKE_SA_INIT报文)或1049(IKE_AUTH报文)。

在这里插入图片描述

以下的ping报文交互(分别为alice和bob主机上的抓包),也为ICMP增加了UDP报头,在alice主机上UDP的端口号使用4500,与IKE_AUTH报文的端口号相同,因此在moon网关上做SNAT变化时,仍然使用源端口1049,目的端口4500。对于ESP报文,在bob主机接收到之后,将丢弃UDP报文。

在这里插入图片描述

以下为bob上ping报文:

在这里插入图片描述

strongswan测试版本: 5.8.1

END

  • 0
    点赞
  • 0
    评论
  • 0
    收藏
  • 一键三连
    一键三连
  • 扫一扫,分享海报

相关推荐
©️2020 CSDN 皮肤主题: 编程工作室 设计师:CSDN官方博客 返回首页
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、C币套餐、付费专栏及课程。

余额充值