Accès à d'autres clouds avec Libreswan

1. A l'aide des API ou de la console AWS, créez une machine virtuelle Libreswan en utilisant son processus de provisionnement. Utilisez Oracle Linux, CentOS ou Red Hat comme système d'exploitation principal.

2. Une fois la nouvelle instance démarrée, connectez-vous à celle-ci avec SSH et installez le package Libreswan :

   sudo yum -y install libreswan

3. Sur la console AWS, désactivez les vérifications de source et de destination sur l'instance de machine virtuelle Libreswan en cliquant avec le bouton droit de la souris sur l'instance, puis en cliquant sur Networking et sur Change Source/Dest. Check. A l'invite, cliquez sur Yes, Disable.

   

4. Sur la machine virtuelle Libreswan, configurez IP_forward de façon à permettre aux clients AWS d'envoyer et de recevoir du trafic via la machine virtuelle Libreswan. Dans le fichier /etc/sysctl.conf, définissez les valeurs suivantes et appliquez les mises à jour avec sudo sysctl -p.

   net.ipv4.ip_forward=1
   net.ipv4.conf.all.accept_redirects = 0
   net.ipv4.conf.all.send_redirects = 0
   net.ipv4.conf.default.send_redirects = 0
   net.ipv4.conf.eth0.send_redirects = 0
   net.ipv4.conf.default.accept_redirects = 0
   net.ipv4.conf.eth0.accept_redirects = 0

5. Dans la console AWS, modifiez la table de routage AWS. Ajoutez une règle avec le CIDR de réseau cloud virtuel (172.0.0.0/16) en tant que destination et l'ID de l'instance AWS Libreswan (i-016ab864b43cb368e dans cet exemple) en tant que cible.

   

6. Dans la console AWS, autorisez les trafics TCP et UDP entrants sur les ports 4500 et 500 pour permettre une connexion IPSec de VPN site à site Oracle Cloud Infrastructure à la machine virtuelle AWS Libreswan. Cette tâche inclut la modification des groupes de sécurité AWS et des listes de contrôle d'accès réseau. Vous pouvez définir la valeur source sur l'adresse IP publique Oracle (adresse du tunnel IPSec de la tête de réseau du VPN Oracle) au lieu de 0.0.0.0/0.

   Pour les groupes de sécurité :

   

   Pour les listes de contrôle d'accès réseau :

   

1. Dans la console Oracle, créez un objet CPE (Customer-Premises Equipment) qui pointe vers l'adresse IP publique de l'instance AWS Libreswan (34.200.255.174). Pour ce faire, utilisez l'application d'aide de configuration de CPE.

2. Si aucune passerelle de routage dynamique n'est attachée au réseau cloud virtuel : dans la console Oracle, créez une passerelle de routage dynamique et attachez-la au réseau cloud virtuel (172.0.0.0/16).

3. Dans la console Oracle, créez une connexion IPSec et faites-la pointer vers le CIDR AWS VPC (10.0.0.0/16). En d'autres termes, lorsque vous créez la connexion IPSec, définissez son routage statique sur le CIDR AWS VPC.

   Pour chaque connexion IPSec configurée, Oracle crée deux tunnels et affecte les éléments suivants à chacun d'eux :

   • Adresse du tunnel IPSec de la tête de réseau du VPN Oracle
   • Clé secrète partagée du tunnel VPN Oracle

   Vous pouvez afficher le statut du tunnel IPSec et l'adresse IP de la tête de réseau du VPN Oracle en cliquant sur le menu Actions () de la connexion IPSec, puis sur Afficher les détails. L'état initial de chaque tunnel est DOWN (hors ligne) car vous devez effectuer des étapes de configuration supplémentaires ultérieurement sur la machine virtuelle AWS Libreswan.

   Pour afficher la clé secrète partagée, cliquez sur le menu Actions () d'un tunnel, puis cliquez sur Visualiser les détails. En regard de Clé secrète partagée, cliquez sur Afficher.

4. Dans la console Oracle, modifiez les règles de sécurité du réseau cloud virtuel afin d'autoriser les trafics TCP et UDP entrants sur les ports 4500 et 500 comme vous l'avez fait pour les groupes de sécurité et les listes de contrôle d'accès réseau AWS. Vous pouvez utiliser l'adresse IP publique de la machine virtuelle AWS Libreswan à la place de 0.0.0.0/0 s'il s'agit d'une adresse IP publique persistante. Ouvrez également tous les protocoles et ports au trafic entrant à partir du CIDR AWS VPC (10.0.0.0/16). Rappel : les listes de sécurité sont associées à un sous-réseau, vous devez donc modifier la liste de sécurité associée à chaque sous-réseau devant communiquer avec AWS VPC. Si vous utilisez des groupes de sécurité réseau de réseau cloud virtuel, modifiez les règles des groupes de sécurité réseau correspondants.

5. Dans la console Oracle, modifiez les tables de routage du réseau cloud virtuel pour ajouter une règle qui possède le CIDR AWS VPC (10.0.0.0/16) en tant que bloc CIDR de destination et la passerelle de routage dynamique précédemment créée en tant que cible. Rappel : les tables de routage sont associées à un sous-réseau, vous devez donc modifier la table de routage associée à chaque sous-réseau devant communiquer avec AWS VPC.

La configuration Libreswan utilise les variables suivantes. Déterminez les valeurs avant de procéder à la configuration.

• ${cpeLocalIP} : adresse IP de votre dispositif Libreswan.
• ${cpePublicIpAddress} : adresse IP publique pour Libreswan. Il s'agit de l'adresse IP de votre interface externe. Selon la topologie du réseau, la valeur peut être différente de ${cpeLocalIP}.
• ${oracleHeadend1} : pour le premier tunnel, adresse IP publique Oracle obtenue à partir de la console Oracle.
• ${oracleHeadend2} : pour le deuxième tunnel, adresse IP publique Oracle obtenue à partir de la console Oracle.
• ${vti1} : nom de la première interface de tunnel virtuel utilisée. Par exemple, vti1.
• ${vti2} : nom de la seconde interface de tunnel virtuel utilisée. Par exemple, vti2.
• ${sharedSecret1} : clé prépartagée du premier tunnel. Vous pouvez utiliser la clé prépartagée par défaut fournie par Oracle ou indiquer votre propre clé lors de la configuration de la connexion IPSec dans la console Oracle.
• ${sharedSecret2} : clé prépartagée du deuxième tunnel. Vous pouvez utiliser la clé prépartagée par défaut fournie par Oracle ou indiquer votre propre clé lors de la configuration de la connexion IPSec dans la console Oracle.
• ${vcnCidrNetwork} : plage d'adresses IP du réseau cloud virtuel.

La configuration Libreswan utilise le concept de gauche et de droite pour définir les paramètres de configuration de l'appareil CPE local et de la passerelle distante. Chaque côté de la connexion (appelée conn dans la configuration Libreswan) peut être un côté gauche ou droit, mais la configuration de cette connexion doit être cohérente. Dans cet exemple :

• Left : votre CPE Libreswan local
• Right : tête de réseau du VPN Oracle

Utilisez le modèle suivant pour votre fichier /etc/ipsec.d/oci-ipsec.conf. Le fichier définit les deux tunnels créés par Oracle lors de la configuration de la connexion IPSec.

conn oracle-tunnel-1
     left=${cpeLocalIP}
     # leftid=${cpePublicIpAddress} # See preceding note about 1-1 NAT device
     right=${oracleHeadend1}
     authby=secret
     leftsubnet=0.0.0.0/0 
     rightsubnet=0.0.0.0/0
     auto=start
     mark=5/0xffffffff # Needs to be unique across all tunnels
     vti-interface=${vti1}
     vti-routing=no
     ikev2=no # To use IKEv2, change to ikev2=insist
     ike=aes_cbc256-sha2_384;modp1536
     phase2alg=aes_gcm256;modp1536
     encapsulation=yes
     ikelifetime=28800s
     salifetime=3600s
conn oracle-tunnel-2
     left=${cpeLocalIP}
     # leftid=${cpePublicIpAddress} # See preceding note about 1-1 NAT device
     right=${oracleHeadend2}
     authby=secret
     leftsubnet=0.0.0.0/0
     rightsubnet=0.0.0.0/0
     auto=start
     mark=6/0xffffffff # Needs to be unique across all tunnels
     vti-interface=${vti2}
     vti-routing=no
     ikev2=no # To use IKEv2, change to ikev2=insist
     ike=aes_cbc256-sha2_384;modp1536
     phase2alg=aes_gcm256;modp1536
     encapsulation=yes
     ikelifetime=28800s
     salifetime=3600s

Utilisez le modèle suivant pour votre fichier /etc/ipsec.d/oci-ipsec.secrets. Il contient deux lignes par connexion à IPSec (une ligne par tunnel).

${cpePublicIpAddress} ${ipAddress1}: PSK "${sharedSecret1}"
${cpePublicIpAddress} ${ipAddress2}: PSK "${sharedSecret2}"

Après avoir configuré vos fichiers de configuration et de clés secrètes, vous devez redémarrer le service Libreswan à l'aide de la commande suivante.

service ipsec restart

Utilisez la commande ip suivante pour créer des routages statiques qui envoient le trafic vers votre réseau cloud virtuel par le biais des tunnels IPSec. Si vous êtes connecté avec un compte utilisateur sans privilège, vous devrez peut-être utiliser sudo avant la commande.

ip route add ${VcnCidrBlock} nexthop dev ${vti1} nexthop dev ${vti2}
ip route show