আমাজন ভিপিসি এবং লিনাক্স সার্ভারের মধ্যে আইপিএসেক ভিপিএন

9

আমি আমাদের কর্পোরেট নেটওয়ার্ক এবং অ্যামাজনের ভার্চুয়াল প্রাইভেট ক্লাউড, তাদের ভিপিএন সিস্টেম এবং একটি লিনাক্স সার্ভার ব্যবহার করে একটি আইপিসেক ভিপিএন সংযোগ স্থাপনের চেষ্টা করছি। দুর্ভাগ্যক্রমে, আমি খুঁজে পেয়েছি এমন একমাত্র গাইড কীভাবে হোস্ট লিনাক্স মেশিন ব্যবহার করে সুড়ঙ্গ স্থাপন করতে এবং সেই লিনাক্স মেশিনকে ভিপিসি উদাহরণগুলিতে অ্যাক্সেস পেতে যায় সে সম্পর্কে আলোচনা করে, তবে কর্পোরেট নেটওয়ার্কটিতে অ্যাক্সেস পাওয়ার উদাহরণটি কীভাবে পাবেন তা সম্পর্কে আমি অনলাইনে খুঁজে পাব না (বা সেই নেটওয়ার্কের মাধ্যমে ইন্টারনেটের বাকী অংশ)।

নেটওয়ার্ক তথ্য

Local subnet: 10.3.0.0/25
Remote subnet: 10.4.0.0/16

Tunnel 1:
  Outside IP Addresses:
    - Customer Gateway:        : 199.167.xxx.xxx
    - VPN Gateway              : 205.251.233.121

  Inside IP Addresses
    - Customer Gateway         : 169.254.249.2/30
    - VPN Gateway              : 169.254.249.1/30

Tunnel 2:
  Outside IP Addresses:
    - Customer Gateway:        : 199.167.xxx.xxx
    - VPN Gateway              : 205.251.233.122

  Inside IP Addresses
    - Customer Gateway         : 169.254.249.6/30
    - VPN Gateway              : 169.254.249.5/30

আমার /etc/ipsec-tools.conf এখানে:

flush;
spdflush;

spdadd 169.254.249.2/30 169.254.249.1/30 any -P out ipsec
   esp/tunnel/199.167.xxx.xxx-205.251.233.121/require;

spdadd 169.254.249.1/30 169.254.249.2/30 any -P in ipsec
   esp/tunnel/205.251.233.121-199.167.xxx.xxx/require;

spdadd 169.254.249.6/30 169.254.249.5/30 any -P out ipsec
   esp/tunnel/199.167.xxx.xxx-205.251.233.122/require;

spdadd 169.254.249.5/30 169.254.249.6/30 any -P in ipsec
   esp/tunnel/205.251.233.122-199.167.xxx.xxx/require;



spdadd 169.254.249.2/30 10.4.0.0/16 any -P out ipsec
   esp/tunnel/199.167.xxx.xxx-205.251.233.121/require;

spdadd 10.4.0.0/16 169.254.249.2/30 any -P in ipsec
   esp/tunnel/205.251.233.121-199.167.xxx.xxx/require;

spdadd 169.254.249.6/30 10.4.0.0/16 any -P out ipsec
   esp/tunnel/199.167.xxx.xxx-205.251.233.122/require;

spdadd 10.4.0.0/16 169.254.249.6/30 any -P in ipsec
   esp/tunnel/205.251.233.122-199.167.xxx.xxx/require;

আমার /etc/racoon/racoon.conf এখানে:

remote 205.251.233.122 {
        exchange_mode main;
        lifetime time 28800 seconds;
        proposal {
                encryption_algorithm aes128;
                hash_algorithm sha1;
                authentication_method pre_shared_key;
                dh_group 2;
        }
        generate_policy off;
}

remote 205.251.233.121 {
        exchange_mode main;
        lifetime time 28800 seconds;
        proposal {
                encryption_algorithm aes128;
                hash_algorithm sha1;
                authentication_method pre_shared_key;
                dh_group 2;
        }
        generate_policy off;
}

sainfo address 169.254.249.2/30 any address 169.254.249.1/30 any {
    pfs_group 2;
    lifetime time 3600 seconds;
    encryption_algorithm aes128;
    authentication_algorithm hmac_sha1;
    compression_algorithm deflate;
}

sainfo address 169.254.249.6/30 any address 169.254.249.5/30 any {
    pfs_group 2;
    lifetime time 3600 seconds;
    encryption_algorithm aes128;
    authentication_algorithm hmac_sha1;
    compression_algorithm deflate;
}

বিজিপি ঠিকঠাক কাজ করছে, সুতরাং আমি এই কনফিগারগুলি পোস্ট করতে যাচ্ছি না।

এখানে কি কাজ করে

  • লিনাক্স বাক্স থেকে, আমি স্থানীয় শেষ পয়েন্টগুলি (169.254.249.2/169.254.249.6) এবং তাদের দূরবর্তী সমতুল্য (169.254.249.1/169.254.249.5) পিং করতে পারি।
  • আমি ভিপিসি, এসএসএইচ ইত্যাদিতে উদাহরণগুলিও পিং করতে পারি etc.
  • ভিপিসিতে দূরবর্তী দৃষ্টান্তগুলি থেকে, আমি স্থানীয় এবং দূরবর্তী শেষ পয়েন্টগুলিও পিং করতে পারি
  • আমি 10.3.0.0/25 সাবনেটে স্থানীয় সার্ভারগুলিকে পিং করতে পারি না

আমি ধরে নিচ্ছি যে আমি কিছু সহজ অনুপস্থিত, তবে আমি {লোকাল এন্ডপয়েন্ট} <-> {রিমোট সাবনেট mirror, sub স্থানীয় সাবনেট} <-> {রিমোট এন্ডপয়েন্ট mirror ব্যবহার করে, আইপিএস-টুলস.কনফ-এ প্রবেশ করার চেষ্টা করেছি, কিন্তু এটি কাজ করে বলে মনে হচ্ছে না।

আমি যখন {দূরবর্তী উদাহরণ from থেকে {লোকাল সার্ভারে ing পিন করি, তখন পিংসের সময়সীমা শেষ হয়। প্যাকেটগুলি ইথ 0 ইন্টারফেসে দৃশ্যমান (যদিও স্থানীয় নেটওয়ার্কটি ইথ 1 এ রয়েছে)।

গুগল সামান্য সাহায্য হয়েছে; এটি কেবল ওপেনসওয়ান ব্যবহার করার চেষ্টা করছে এমন লোকদের দেখায় বা একই ধরণের সমস্যা থাকলেও হার্ডওয়্যার রাউটারগুলির সাথে বা পুরানো সরঞ্জামগুলি ব্যবহার করে।

vpn  ipsec  amazon-vpc 
— ড্যান উদে
সূত্র
আমি কোনও বিশেষজ্ঞ নই তবে মনে হয় যে এখান থেকে উইকি.ডিবিয়ান.আর.আইপিসিপ যে আইপিস্ক ব্যবহার করার সময় আপনাকে ম্যানুয়ালি রিমোট লোকাল নেটওয়ার্কে রুটগুলি যুক্ত করতে হবে, আমি যদিও ভুল হতে পারি ..
— ইউজার9935353

উত্তর:

3

ঠিক আছে, আমি প্রতারণা করেছি :) আমি অ্যাস্টারো গেটওয়ে ইনস্টল করেছি যা আনুষ্ঠানিকভাবে আমাজন দ্বারা সমর্থিত এবং তারপরে এটি আমার নিজের মডেল করার জন্য ব্যবহার করে। আপনি কেবল অ্যাস্টারো ইউনিটে এসএসএইচ করতে পারেন এবং দেখুন কীভাবে তারা সবকিছু সেট আপ করে। অবশ্যই যদি আপনি এটির জন্য অর্থ প্রদানের মতো মনে করেন তবে আপনি অ্যাস্টারো ইউনিটটির সাথে লেগে থাকতে পারেন।

— Petter
সূত্র
1
আপনি কি দয়া করে আপনার সমাধানটি বিস্তারিতভাবে বলতে পারেন? "নিজের নিজের মডেল" বলতে কী বোঝ? আমি একই সমস্যার উপর আটকে আছি, এবং আপনি কীভাবে এটি সমাধান করেছেন তাতে আগ্রহী, ধন্যবাদ!
— সর্বাধিক
3

এটা বের করে আনা। আমার আইপিস্ক-টুলস.কমকে এটিতে পরিবর্তন করতে হয়েছিল:

flush;
spdflush;

# Generic routing
spdadd 10.4.0.0/16 10.3.0.0/25 any -P in  ipsec esp/tunnel/205.251.233.121-199.167.xxx.xxx/require;
spdadd 10.3.0.0/25 10.4.0.0/16 any -P out ipsec esp/tunnel/199.167.xxx.xxx-205.251.233.121/require;

# Tunnel 1
spdadd 169.254.249.1/30 169.254.249.2/30 any -P in  ipsec esp/tunnel/205.251.233.121-199.167.xxx.xxx/require;
spdadd 169.254.249.2/30 169.254.249.1/30 any -P out ipsec esp/tunnel/199.167.xxx.xxx-205.251.233.121/require;

spdadd 10.4.0.0/16 169.254.249.2/30 any -P in  ipsec esp/tunnel/205.251.233.121-199.167.xxx.xxx/require;
spdadd 169.254.249.2/30 10.4.0.0/16 any -P out ipsec esp/tunnel/199.167.xxx.xxx-205.251.233.121/require;

# Tunnel 2
spdadd 169.254.249.5/30 169.254.249.6/30 any -P in  ipsec esp/tunnel/205.251.233.122-199.167.xxx.xxx/require;
spdadd 169.254.249.6/30 169.254.249.5/30 any -P out ipsec esp/tunnel/199.167.xxx.xxx-205.251.233.122/require;

spdadd 10.4.0.0/16 169.254.249.6/30 any -P in  ipsec esp/tunnel/205.251.233.122-199.167.xxx.xxx/require;
spdadd 169.254.249.6/30 10.4.0.0/16 any -P out ipsec esp/tunnel/199.167.xxx.xxx-205.251.233.122/require;

এবং আমার racoon.conf এ এতে পরিবর্তন করুন:

path pre_shared_key "/etc/racoon/psk.txt";

remote 205.251.233.122 {
        exchange_mode main;
        lifetime time 28800 seconds;
        proposal {
                encryption_algorithm aes128;
                hash_algorithm sha1;
                authentication_method pre_shared_key;
                dh_group 2;
        }
        generate_policy off;
}

remote 205.251.233.121 {
        exchange_mode main;
        lifetime time 28800 seconds;
        proposal {
                encryption_algorithm aes128;
                hash_algorithm sha1;
                authentication_method pre_shared_key;
                dh_group 2;
        }
        generate_policy off;
}

sainfo address 169.254.249.2/30 any address 169.254.249.1/30 any {
    pfs_group 2;
    lifetime time 3600 seconds;
    encryption_algorithm aes128;
    authentication_algorithm hmac_sha1;
    compression_algorithm deflate;
}

sainfo address 169.254.249.6/30 any address 169.254.249.5/30 any {
    pfs_group 2;
    lifetime time 3600 seconds;
    encryption_algorithm aes128;
    authentication_algorithm hmac_sha1;
    compression_algorithm deflate;
}

sainfo address 10.3.0.0/25 any address 10.4.0.0/16 any {
    pfs_group 2;
    lifetime time 3600 seconds;
    encryption_algorithm aes128;
    authentication_algorithm hmac_sha1;
    compression_algorithm deflate;
}

যাইহোক, এই কনফিগারেশনটি আমি বুঝতে পেরেছি কেবল প্রথম টানেলের (xxx121 এর মাধ্যমে) কেবল 10.3.0.0/25 এবং 10.4.0.0/16 এর মধ্যে ট্র্যাফিকের পথ চলবে। আমি উত্তরটি আপডেট করব যখন আমি তা খুঁজে বের করব।

— ড্যান উদে
সূত্র
আমিও এই সমস্যাটির সাথে কিছু সময়ের জন্য আটকে আছি এবং আপনার উত্তরটি সত্যই সহায়তা করেছে। আপনি কি উভয় টানেলের উপর দিয়ে রাউটিং করার জন্য কোনও সমাধান নিয়ে এসেছেন? আমি অন্যান্য টানেল আইপি'র সাথে 'জেনেরিক রাউটিং' অংশগুলি যুক্ত করেছি তবে এটি পরীক্ষা করে দেখিনি।
— উইল
উভয় টানেলের উপর দিয়ে রাউটিংয়ের জন্য আমি কোনও ভাল সমাধান পাইনি, তবে আমি মনে করি এটি একটি প্রসঙ্গে বোধগম্য। এখানে ধারণাটি রিডানডেন্সি সরবরাহ করা এবং আদর্শভাবে এটি উভয় প্রান্তে অপ্রয়োজনীয় অন্তর্ভুক্ত করবে। আপনি দ্বিতীয় টানেলের উপর একটি পৃথক সার্ভার সেট আপ করতে এবং আপনার ভিপিএনগুলিতে দুটি রুট সরবরাহ করতে পারেন (উদাহরণস্বরূপ, প্রতিটি বাক্সে একটি করে দুটি রুট দিয়ে আপনার স্ট্যান্ডার্ড সার্ভার সরবরাহ করে)। হয় তা হয়, বা আপনি কোনও ধরণের মনিটরিং সিস্টেমের সাহায্যে ম্যানুয়াল ফেইলওভারটি ট্রিগার করেন। উভয়ই সমাধান সত্যিই 'অনুকূল' নয়, তবে প্রথমটি আপনার পক্ষ থেকে পাশাপাশি রিডানডেন্সি সরবরাহ করে।
— ড্যান উদে
0

সেটকি কনফিগারেশনের জন্য "ব্যবহার" এর পরিবর্তে "প্রয়োজনীয়" ব্যবহার করার কারণটি কি আপনি জানেন? আপনি কী এটাও জানেন যে আমি দূরবর্তী এবং সেনফো বিভাগের মধ্যে বিবৃতিগুলি কী অর্ডারে রেখেছি এবং ভুল করে কিছু বিবৃতি নকল করে দিচ্ছি কিনা তা বিবেচনা করে? উদাহরণ স্বরূপ:

#original
remote 205.251.233.121 {
        exchange_mode main;
        lifetime time 28800 seconds;
        proposal {
                encryption_algorithm aes128;
                hash_algorithm sha1;
                authentication_method pre_shared_key;
                dh_group 2;
        }
        generate_policy off;
}

বনাম

#edited
remote 205.251.233.121 {
        generate_policy off;                           #moved/duplicated
        lifetime time 28800 seconds;
        proposal {
                dh_group 2;                           #moved
                encryption_algorithm aes128;
                hash_algorithm sha1;
                authentication_method pre_shared_key;
        }
         exchange_mode main;                      #moved
        generate_policy off;                   #duplicated/moved
}

উভয় টানেলের উপর দিয়ে কীভাবে ট্র্যাফিক প্রবাহিত হবে তা কী আপনি খুঁজে পেয়েছেন?

কোন গাইডেন্স জন্য আপনাকে ধন্যবাদ।

— DPfiler
সূত্র
সার্ভারফল্টে আপনাকে স্বাগতম। দেখে মনে হচ্ছে আপনি অন্য পোস্টারের প্রশ্নের উত্তর বিভাগে একটি প্রশ্ন জিজ্ঞাসা করার চেষ্টা করছেন। আপনার যদি নতুন প্রশ্ন থাকে তবে দয়া করে এটি সার্ভারফল্ট ডট কম এ গিয়ে বড় প্রশ্নে "প্রশ্ন জিজ্ঞাসা করুন" বোতামটি ক্লিক করে একটি নতুন প্রশ্ন হিসাবে পোস্ট করুন।
— ভিজোনস
আমি, অনুসরণ করার জন্য আপনাকে ধন্যবাদ।
— ডিপিফেলার
আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.