मानक उपकरण को दरकिनार करते हुए AmazonVPC के साथ IPsec

परिचयात्मक और कार्य की स्थिति

हमारे पास कई सबनेट के साथ एक अमेज़ॅन वीपीसी है।
वीपीसी के अंदर कई सबनेट में विभाजित किया गया है।
चलो उनमें से दो लेते हैं
पहले एक में (10.0.0.0/24 पर सेट), चलो इसे नेट 1 कहते हैं, रूटिंग देशी अमेज़ॅन इंटरनेट गेटवे द्वारा किया जाता है, जो प्रत्येक सबनेट के लिए अपना है। आप Elastic IP को इस नेटवर्क पर इंस्टेंस पर बाँध सकते हैं और वे काम करेंगे।
दूसरा (सबनेट 10.0.1.0/24), इसे net2 होने दें - एक पूरी तरह से बंद सबनेट, जिसमें से बाहरी संसाधनों तक पहुंच केवल NAT पर कॉन्फ़िगर किए गए एक अलग उदाहरण के माध्यम से संभव है (चलो इसे सेवा कहते हैं)। नेट 1 से किसी भी उदाहरण को छोड़कर, बाहर से इस सबनेट तक सीधी पहुँच को लागू नहीं किया जा सकता है। नेट 1 में भी यह सेवा मौजूद है।
VPC के अंदर, दोनों सबनेट के उदाहरण एक दूसरे को देखते हैं।
एक कार्यालय नेटवर्क भी है, इसे net0 (सबनेट 192.168.5.0/24) कहा जाता है।
नेट 1 और इसके विपरीत में कार्यालय से सुरक्षित पहुंच प्रदान करने की आवश्यकता थी। यह वर्चुअल प्राइवेट गेटवे और संबंधित सेवाओं का उपयोग करके अमेज़ॅन के लिए मूल रूप से किया जा सकता है। लेकिन एक समस्या है - बीजीपी के माध्यम से राउटिंग किया जाता है, जो कार्यालय के बॉर्डर राउटर में नहीं है और अपेक्षित नहीं है। इसमें पासवर्ड प्रमाणीकरण के साथ केवल शुद्ध IPsec है। इस स्थिति में, आपको इसके माध्यम से कार्य करना चाहिए।
निम्नलिखित कार्यान्वयन योजना को ध्यान में आता है: एक सेवा उदाहरण पर जिसमें इंटरनेट का उपयोग और net1 के अंदर सभी उदाहरण हैं, और इसमें इलास्टिक आईपी भी है, एक IPSec क्लाइंट को तैनात करता है, एक कार्यालय राउटर से कनेक्ट होता है और नेटवर्क के बीच रूटिंग को कॉन्फ़िगर करता है।

इंस्टेंस सेटअप

मूल उदाहरण, जिसे अमेज़ॅन द्वारा आपूर्ति की जाती है, मैंने गेट के रूप में उपयोग नहीं किया, यह बहुत काट दिया गया था, इसलिए मैंने उबंटू स्थापित किया।
सर्वर को अपना मुख्य कार्य करने के लिए, उदाहरण के लिए NAT को कॉन्फ़िगर करने के लिए, VPC कंट्रोल पैनल में राउटिंग सेटिंग्स के अलावा यह आवश्यक है।
इस मामले में, जीतना।
यह बस किया जाता है:
iptables -t nat -A POSTROUTING -o eth0 -s _vpc -j MASQUERADE
अब हमें ipsec उपयोगिताओं को स्थापित करने की आवश्यकता है:
sudo aptitude install ipsec-tools
स्थापना पूर्ण होने के बाद, आप कॉन्फ़िगर करना शुरू कर सकते हैं।
sudo nano /etc/ipsec.conf
मुख्य प्राधिकरण के लिए, विन्यास इस प्रकार है:

 config setup nat_traversal=yes plutodebug="all" protostack=netkey conn home left=%defaultroute #    ,    leftsubnet=%net1_network% leftid=%instance_ip% leftnexthop=%vpc_gateway% right=%dst_ip% rightid=%dst_ip% rightsubnet=%dst_net% authby=secret ike=3des-sha1-modp1024 #       esp=3des-sha1-96 #     pfs=yes forceencaps=yes auto=start 

फ़ाइल में /etc/ipsec.secret हम लिखते हैं:

 %instance_ip% %dst_ip%: PSK "YOUR_AUTH_KEY" 

जहां:
1.% net1_network% - सबनेट जिसे आप net0 से एक्सेस करने की घोषणा कर रहे हैं। मेरे मामले में यह 10.0.1.0/24 है।
2.% inst_ip% - सेवा पागलपन का आईपी जिस पर आप यह सब कॉन्फ़िगर करते हैं।
3.% vpc_gateway% आपके VPC के लिए डिफ़ॉल्ट राउटर है। सेवा उदाहरण के रूटिंग तालिका में डिफ़ॉल्ट मार्ग के रूप में संकेतित।
4.% dst_ip% - नेट 0 राउटर का आईपी जिससे आप कनेक्ट करेंगे।
5.% dst_net% - नेट 1 के लिए कार्यालय नेटवर्क की घोषणा की। इस मामले में, 192.168.5.0/24।

जैसा कि आप चाहते हैं हम एन्क्रिप्शन एल्गोरिदम को आपके स्वाद पर सेट करते हैं।

जिस दिशा में हमें आवश्यकता नहीं है, उस दिशा में नेट को बाहर करने के लिए NAT सेटिंग्स को निम्न में बदलना न भूलें:
iptables -t nat -A POSTROUTING -o eth0 -s _vpc ! -d %dst_net% -j MASQUERADE
मैं दूसरी तरफ की सेटिंग को छोड़ दूंगा, क्योंकि लोहे के टुकड़े के आधार पर वहां सब कुछ विशिष्ट है। यह 2 मिनट में पूरी तरह से दृश्य मोड में आसुस पर मेरे लिए काफी सरल है।

उसके बाद
sudo /etc/init.d/ipsec restart
सब कुछ शुरू होना चाहिए।
यदि नहीं, तो स्थिति के अनुसार। एक आम समस्या एन्क्रिप्शन मिसमैच है।
सामान्य तौर पर, यह सब मैं बताना चाहता था।
एक अच्छी सेटिंग है!