Strongswan zu strongswan ikev1 site to site vti - Versionsgeschichte

Thomas.will: /* Szenario */

2025-04-04T15:40:01Z

Szenario

Thomas.will: /* IPsec-VTI mit StrongSwan und swanctl unter Debian */

2025-04-04T15:39:31Z

IPsec-VTI mit StrongSwan und swanctl unter Debian

Thomas.will: /* deb114 */

2025-04-04T15:19:00Z

deb114

Thomas.will: /* deb113 */

2025-04-04T15:18:23Z

deb113

Thomas.will: Die Seite wurde neu angelegt: „=IPsec-VTI mit StrongSwan und swanctl unter Debian= ==Szenario== {| class="wikitable" ! Einstellung !! deb113 !! deb114 |- | '''WAN-IP''' || 192.168.6.113 ||…“

2025-04-04T15:12:22Z

Die Seite wurde neu angelegt: „=IPsec-VTI mit StrongSwan und swanctl unter Debian= ==Szenario== {| class="wikitable" ! Einstellung !! deb113 !! deb114 |- | '''WAN-IP''' || 192.168.6.113 ||…“

Neue Seite

=IPsec-VTI mit StrongSwan und swanctl unter Debian=

==Szenario==
{| class="wikitable"
! Einstellung !! deb113 !! deb114
|-
| '''WAN-IP''' || 192.168.6.113 || 192.168.6.114
|-
| '''Tunnel-IP''' || 169.254.100.1 || 169.254.100.2
|-
| '''Internes Netz''' || 172.16.113.0/24 || 172.16.114.0/24
|-
| '''PSK''' || colspan="2" | 123Start$
|}

==Pakete installieren==
* apt install strongswan-swanctl strongswan-charon

==IP-Forwarding aktivieren==
* echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
* sysctl -p

==VTI-Setup-Skript erstellen==
Datei: /usr/local/sbin/setup-vti.sh (auf beiden Seiten unterschiedlich)

===deb113===
<pre>
#!/bin/bash
ip link add vti10 type vti local 192.168.6.113 remote 192.168.6.114 key 10
ip addr add 169.254.100.1/30 dev vti10
ip link set vti10 up
ip route add 172.16.114.0/24 dev vti10
</pre>

===deb114===
<pre>
#!/bin/bash
ip link add vti10 type vti local 192.168.6.114 remote 192.168.6.113 key 10
ip addr add 169.254.100.2/30 dev vti10
ip link set vti10 up
ip route add 172.16.113.0/24 dev vti10
</pre>

* chmod +x /usr/local/sbin/setup-vti.sh

==Systemd-Unit für VTI==
Datei: /etc/systemd/system/ipsec-vti10.service (identisch auf beiden Hosts)
<pre>
[Unit]
Description=VTI interface for IPsec (vti10)
After=network-online.target
Wants=network-online.target

[Service]
Type=oneshot
ExecStart=/usr/local/sbin/setup-vti.sh
RemainAfterExit=yes

[Install]
WantedBy=multi-user.target
</pre>

* systemctl daemon-reexec
* systemctl enable ipsec-vti10.service
* systemctl start ipsec-vti10.service

==strongswan.conf==
Datei: /etc/strongswan.d/strongswan.conf
<pre>
charon {
install_routes = no
install_virtual_ip = no
}
</pre>

==swanctl.conf==
Datei: /etc/swanctl/swanctl.conf

===deb113===
<pre>
connections {
it113-it114 {
version = 2
proposals = aes256-sha256-modp4096
local_addrs = 192.168.6.113
remote_addrs = 192.168.6.114

local {
id = 192.168.6.113
}
remote {
id = 192.168.6.114
}

children {
vti-child {
local_ts = 0.0.0.0/0
remote_ts = 0.0.0.0/0
esp_proposals = aes256-sha256-modp4096
mode = tunnel
start_action = trap
dpd_action = clear
reqid = 10
policies = no
updown = /usr/lib/ipsec/_updown_vti
}
}

send_cert = never
mobike = no
}
}

secrets {
ike-1 {
id-1 = 192.168.6.113
id-2 = 192.168.6.114
secret = "123Start$"
}
}
</pre>

===deb114===
<pre>
connections {
it114-it113 {
version = 2
proposals = aes256-sha256-modp4096
local_addrs = 192.168.6.114
remote_addrs = 192.168.6.113

local {
id = 192.168.6.114
}
remote {
id = 192.168.6.113
}

children {
vti-child {
local_ts = 0.0.0.0/0
remote_ts = 0.0.0.0/0
esp_proposals = aes256-sha256-modp4096
mode = tunnel
start_action = trap
dpd_action = clear
reqid = 10
policies = no
updown = /usr/lib/ipsec/_updown_vti
}
}

send_cert = never
mobike = no
}
}

secrets {
ike-1 {
id-1 = 192.168.6.114
id-2 = 192.168.6.113
secret = "123Start$"
}
}
</pre>

==Start und Prüfung==
* systemctl enable strongswan-swanctl
* systemctl start strongswan-swanctl
* swanctl --load-all
* swanctl --initiate --child vti-child

==Verbindung prüfen==
* ip a → vti10 muss IP haben
* ping 172.16.114.1 → von deb113 aus
* swanctl --list-sas → zeigt aktive Security Associations

==Firewall-Hinweis==
UDP-Port 500 und 4500 müssen auf beiden Seiten offen sein.

==Hinweis==
Die VTI-Interfaces werden über systemd automatisch eingerichtet. Der StrongSwan-Dienst übernimmt anschließend den Tunnelbetrieb. Routing erfolgt manuell über das VTI.

==Links==
* https://wiki.strongswan.org/projects/strongswan/wiki/VirtualTunnelInterface
* https://wiki.opnsense.org/manual/how-tos/ipsec-s2s-vti.html

← Nächstältere Version		Version vom 4. April 2025, 15:40 Uhr
Zeile 27:		Zeile 27:

	Diese Konfiguration erlaubt vollständige Kontrolle über die Weiterleitung und ermöglicht z. B. auch Policy-Routing oder Gateways im Failover-Betrieb.		Diese Konfiguration erlaubt vollständige Kontrolle über die Weiterleitung und ermöglicht z. B. auch Policy-Routing oder Gateways im Failover-Betrieb.
−
−
−
−	~~==Szenario==~~

@@ Zeile 1: / Zeile 1: @@
 =IPsec-VTI mit StrongSwan und swanctl unter Debian=
 ==Szenario==
 {| class="wikitable"
 ! Einstellung !! deb113 !! deb114

@@ Zeile 125: / Zeile 125: @@
 connections {
    it114-it113 {
      local_addrs = 192.168.6.114
      remote_addrs = 192.168.6.113
@@ Zeile 142: / Zeile 140: @@
          remote_ts = 0.0.0.0/0
          esp_proposals = aes256-sha256-modp4096
          policies = no
          updown = /usr/lib/ipsec/_updown_vti
+       }
+     }
+   }
+}

@@ Zeile 78: / Zeile 78: @@
 ===deb113===
 <pre>
 connections {
    it113-it114 {
      local_addrs = 192.168.6.113
      remote_addrs = 192.168.6.114
@@ Zeile 98: / Zeile 97: @@
          remote_ts = 0.0.0.0/0
          esp_proposals = aes256-sha256-modp4096
          policies = no
          updown = /usr/lib/ipsec/_updown_vti
+       }
+     }
+   }
+}
@@ Zeile 118: / Zeile 110: @@
      secret = "123Start$"
+   }
+}
 </pre>