Регистрация Войти
Рейтинг:0
alex avatar Server

Как связать клиентов ipsec с разными соединениями в StrongSwan?

флаг my
alex

Я использую strongswan ipsec в качестве VPN-шлюза для мобильных устройств (Android).В конфигурации StrongSwan я настроил 2 соединения (две разные подсети 10.10.10.0/24, 10.10.20.0/24 с разными политиками маршрутизации) для 2 разных групп пользователей.

И я не понимаю (и не могу найти в руководствах и форумах), как связать пользователя с подключением. Где и как настроить строгое отношение пользователя > подключения?

Спасибо!

Моя конфигурация ipsec:

кот /etc/ipsec.conf

настройка конфигурации
    charondebug="ike 1, knl 1, cfg 0"
    уникальные идентификаторы = нет
конн any2ex
    авто=добавить
    сжать=да
    тип=туннель
    обмен ключами=ikev2
    фрагментация=да
    форсэнкапс=да
    dpdaction=очистить
    dpddelay=300 с
    ключ = нет
    слева=% любой
    leftid=*.*.233.132 #Я замаскировал IP-адрес сервера для этого сообщения. Сертификат был выпущен для IP-адреса.
    слева=*.*.233.132  
    leftcert=сервер-cert.pem
    leftsendcert=всегда
    левая подсеть=0.0.0.0/0
    справа=%любой
    правый ID=%любой
    правая авторизация = eap-mschapv2
    исходный код=10.10.10.0/24
    правый DNS=8.8.8.8,8.8.4.4
    rightsendcert=никогда
    eap_identity=%идентификация

подключение ex2loc
    авто=добавить
    сжать=да
    тип=туннель
    обмен ключами=ikev2
    фрагментация=да
    форсэнкапс=да
    dpdaction=очистить
    dpddelay=300 с
    ключ = нет
    слева=*.*.233.132
    левый ID=*.*.233.132
    leftcert=сервер-cert.pem
    leftsendcert=всегда
    левая подсеть=0.0.0.0/0
    справа=%любой
    правый ID=%любой
    правая авторизация = eap-mschapv2
    исходный код=10.10.20.0/24
    правый DNS=8.8.8.8,8.8.4.4
    rightsendcert=никогда
    eap_identity=%идентификация

Я настраиваю клиенты Android с помощью этого

https://docs.strongswan.org/strongswan-docs/5.9/os/androidVpnClientProfiles.html#_example

55
0 + 0
флаг cn
ecdsa
Кросс размещен [здесь] (https://github.com/strongswan/strongswan/discussions/974).
0
Ответить
Рейтинг:0
alex avatar Server
флаг my
alex

В /etc/ipsec.conf

настройка конфигурации
    charondebug="ike 1, knl 1, cfg 0"
    уникальные идентификаторы = нет
подключение net1
    ...
    rightid=*@net1.com
    ... 
конн нет2
    ...
    rightid=*@net2.com
    ...

А потом в /etc/ipsec.secrets

[email protected] : EAP "user_password"
[email protected] : EAP "user_password"

С этими конфигами [email protected] будет подключен к net1, а [email protected] к net2 соответственно.

0 + 0
Рейтинг:0
Peter Zhabin avatar Server
флаг cn
Peter Zhabin

Выбор соединения зависит от правильный идентификатор и зависит от того, что используется клиентом в качестве идентификатора IKE. Если ваши пользователи представляют RFC822_ADDR как идентификатор, вы можете использовать какой-то подстановочный знак с * на правильный идентификатор вместо %Любые дифференцировать их.

0 + 0
alex avatar
флаг my
alex
Спасибо за ваш комментарий! Я использую аутентификацию по логину и паролю EAP ( /etc/ipsec.secrets с `test : EAP "test"`) так что rightid пользователя - это логин пользователя, насколько я понимаю. Можно ли как-то сгруппировать пользователей? (вместо создания соединения для каждого пользователя)
0
Ответить
Peter Zhabin avatar
флаг cn
Peter Zhabin
Для этих атрибутов нет прямой поддержки групп, но вы можете подделать их с помощью соглашения об именах пользователей, то есть группы пользователей, а затем использовать подстановочный знак, как было предложено выше. Или перейдите на полный RADIUS и используйте плагины, которые будут устанавливать соединение по атрибутам RADIUS.
0
Ответить
alex avatar
флаг my
alex
Спасибо, не могли бы вы привести пример. Я играю в подстановочные знаки, но все еще не работает, и я понятия не имею, почему :(
0
Ответить
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.