Accès à d'autres nuages avec Libreswan

1. À l'aide de la console ou des API AWS, créez une machine virtuelle Libreswan en utilisant son processus de provisionnement. Utilisez Oracle Linux, CentOS ou Red Hat comme système d'exploitation principal.

2. Après le démarrage de la nouvelle instance, connectez-vous à l'aide de SSH et installez le paquetage Libreswan :

   sudo yum -y install libreswan

3. Dans la console AWS, désactivez les contrôles de la source et de la destination de l'instance de machine virtuelle Libreswan en cliquant avec le bouton droit de la souris sur l'instance, en cliquant sur Networking (Réseau), puis sur Change Source/Dest. (Changer le contrôle de la source/dest). . Lorsque vous y êtes invité, cliquez sur Yes, Disable (Oui, désactiver).

   

4. Dans la machine virtuelle Libreswan, configurez IP_forward pour permettre aux clients AWS d'envoyer et de recevoir du trafic par l'intermédiaire de la machine virtuelle Libreswan. Dans le fichier /etc/sysctl.conf, définissez les valeurs suivantes et appliquez les mises à jour avec sudo sysctl -p.

   net.ipv4.ip_forward=1
   net.ipv4.conf.all.accept_redirects = 0
   net.ipv4.conf.all.send_redirects = 0
   net.ipv4.conf.default.send_redirects = 0
   net.ipv4.conf.eth0.send_redirects = 0
   net.ipv4.conf.default.accept_redirects = 0
   net.ipv4.conf.eth0.accept_redirects = 0

5. Dans la console AWS, modifiez la table de routage AWS. Ajoutez une règle avec comme destination le CIDR du réseau VCN (172.0.0.0/16) et comme cible l'ID instance Libreswan AWS (i-016ab864b43cb368e dans cet exemple).

   

6. Dans la console AWS, activez le trafic TCP et UDP entrant sur les ports 4500 et 500 pour permettre une connexion IPSec de RPV site à site d'Oracle Cloud Infrastructure avec la machine virtuelle AWS Libreswan. Cette tâche comprend la modification des groupes de sécurité et des listes de contrôle d'accès réseau AWS. Vous pouvez régler la valeur source à l'adresse IP publique Oracle (le point d'extrémité du tunnel IPSec de la tête de réseau du RPV Oracle) au lieu de 0.0.0.0/0.

   Pour les groupes de sécurité :

   

   Pour les listes de contrôle d'accès réseau :

   

1. Dans la console Oracle, créez un objet d'équipement local d'abonné (CPE) qui pointe vers l'adresse IP publique de l'instance AWS Libreswan (34.200.255.174). Pour ce faire, utilisez l'application d'aide pour la configuration de l'équipement local d'abonné.

2. Si aucune passerelle DRG n'est encore associée à votre réseau VCN : Dans la console Oracle, créez une passerelle DRG puis associez-la au réseau VCN (172.0.0.0/16).

3. Dans la console Oracle, créez une connexion IPSec et faites-l a pointer vers le CIDR du RPV AWS (10.0.0.0/16). En d'autres termes, lorsque vous créez la connexion IPSec, réglez sa route statique avec le CIDR du VPC AWS.

   Pour chaque connexion IPSec configurée, Oracle crée deux tunnels et affecte les éléments suivants à chacun :

   • Point d'extrémité du tunnel IPSec de tête de réseau du RPV Oracle
   • Clé secrète partagée du tunnel du RPV d'Oracle

   Vous pouvez voir le statut du tunnel IPSec et l'adresse IP de la tête de réseau du RPV Oracle en cliquant sur le menu Actions () pour la connexion IPSec, puis sur Voir les détails. Au départ, chaque tunnel se trouve à l'état DOWN (hors ligne) car il vous reste encore des opérations de configuration à effectuer plus tard sur la machine virtuelle Libreswan AWS.

   Pour voir la clé secrète partagée, cliquez sur le menu Actions () d'un tunnel individuel, puis sur Voir les détails. Cliquez sur Show (Afficher) à côté de Shared Secret (Secret partagé).

4. Dans la console Oracle, modifiez les règles de sécurité du réseau VCN pour activer le trafic TCP et UDP entrant sur les ports 4500 et 500, comme vous l'avez fait pour les groupes de sécurité et les listes de contrôle d'accès réseau AWS. Vous pouvez utiliser l'adresse IP publique de la machine virtuelle Libreswan AWS et non 0.0.0.0/0 s'il s'agit d'une adresse IP publique persistante. Ouvrez également tous les protocoles et ports pour le trafic entrant à partir du CIDR du VPC AWS (10.0.0.0/16). Rappel : Les listes de sécurité sont associées à un sous-réseau. Modifiez donc la liste de sécurité associée à chaque sous-réseau qui doit communiquer avec le nuage VPC AWS. Ou, si vous utilisez des groupes de sécurité de réseau VCN, modifiez les règles dans les groupes NSG correspondants.

5. Dans la console Oracle, modifiez les tables de routage du réseau VCN pour ajouter une règle où le CIDR du VPC AWS (10.0.0.0/16) est le bloc CIDR de destination, et la passerelle DRG que vous avez créée précédemment, la cible. Rappel : Les tables de routage sont associées à un sous-réseau. Modifiez donc la table de routage associée à chaque sous-réseau qui doit communiquer avec le nuage VPC AWS.

La configuration de Libreswan utilise les variables suivantes. Déterminez les valeurs avant de poursuivre la configuration.

• ${cpeLocalIP} : Adresse IP de votre appareil Libreswan.
• ${cpePublicIpAddress} : Adresse IP publique de Libreswan. Il s'agit de l'adresse IP de votre interface externe. Selon la topologie de votre réseau, la valeur peut être différente de ${cpeLocalIP}.
• ${oracleHeadend1} : Pour le premier tunnel, point d'extrémité de l'adresse IP publique Oracle obtenu de la console Oracle.
• ${oracleHeadend2} : Pour le second tunnel, point d'extrémité de l'adresse IP publique Oracle obtenu de la console Oracle.
• ${vti1} : Nom de la première interface VTI utilisée. Par exemple, vti1.
• ${vti2} : Nom de la seconde interface VTI utilisée. Par exemple, vti2.
• ${sharedSecret1} : Clé prépartagée du premier tunnel. Vous pouvez utiliser la clé prépartagée fournie par Oracle par défaut ou fournir votre propre clé lorsque vous configurez la connexion IPSec dans la console Oracle.
• ${sharedSecret2} : Clé prépartagée du second tunnel. Vous pouvez utiliser la clé prépartagée fournie par Oracle par défaut ou fournir votre propre clé lorsque vous configurez la connexion IPSec dans la console Oracle.
• ${vcnCidrNetwork} : Intervalle d'adresses IP du réseau VCN.

La configuration Libreswan utilise le concept de gauche et de droite pour définir les paramètres de configuration de votre équipement local d'abonné (CPE) et de la passerelle distante. N'importe quel côté de la connexion (conn dans la configuration de Libreswan) peut être la gauche ou la droite, mais la configuration de cette connexion doit être cohérente. Dans cet exemple :

• Gauche : Votre CPE Libreswan local
• Droite : Tête de réseau du RPV Oracle

Utilisez le modèle suivant pour votre fichier /etc/ipsec.d/oci-ipsec.conf. Ce fichier définit les deux tunnels créés par Oracle lors de la configuration de la connexion IPSec.

conn oracle-tunnel-1
     left=${cpeLocalIP}
     # leftid=${cpePublicIpAddress} # See preceding note about 1-1 NAT device
     right=${oracleHeadend1}
     authby=secret
     leftsubnet=0.0.0.0/0 
     rightsubnet=0.0.0.0/0
     auto=start
     mark=5/0xffffffff # Needs to be unique across all tunnels
     vti-interface=${vti1}
     vti-routing=no
     ikev2=no # To use IKEv2, change to ikev2=insist
     ike=aes_cbc256-sha2_384;modp1536
     phase2alg=aes_gcm256;modp1536
     encapsulation=yes
     ikelifetime=28800s
     salifetime=3600s
conn oracle-tunnel-2
     left=${cpeLocalIP}
     # leftid=${cpePublicIpAddress} # See preceding note about 1-1 NAT device
     right=${oracleHeadend2}
     authby=secret
     leftsubnet=0.0.0.0/0
     rightsubnet=0.0.0.0/0
     auto=start
     mark=6/0xffffffff # Needs to be unique across all tunnels
     vti-interface=${vti2}
     vti-routing=no
     ikev2=no # To use IKEv2, change to ikev2=insist
     ike=aes_cbc256-sha2_384;modp1536
     phase2alg=aes_gcm256;modp1536
     encapsulation=yes
     ikelifetime=28800s
     salifetime=3600s

Utilisez le modèle suivant pour votre fichier /etc/ipsec.d/oci-ipsec.secrets. Il contient deux lignes par connexion IPSec (une ligne par tunnel).

${cpePublicIpAddress} ${ipAddress1}: PSK "${sharedSecret1}"
${cpePublicIpAddress} ${ipAddress2}: PSK "${sharedSecret2}"

Après avoir paramétré vos fichiers de configuration et de secrets, vous devez redémarrer le service Libreswan avec la commande suivante.

service ipsec restart

Utilisez la commande ip suivante pour créer des routes statiques qui envoient le trafic à votre réseau VCN au moyen des tunnels IPSec. Si vous êtes connecté avec un compte d'utilisateur sans privilèges, il vous faudra peut-être ajouter sudo avant la commande.

ip route add ${VcnCidrBlock} nexthop dev ${vti1} nexthop dev ${vti2}
ip route show