View source for Подключение к CheckPoint с помощью strongswan и libreswan

== Подключение к CheckPoint с помощью strongswan и libreswan ==

Евгений Мисник

<br />

=== 1 Сертификаты для подключения ===

Для подключения к CheckPoint потребуются следующие сертификаты:

* CA сертификат CheckPoint “internal_ca.pem”. Этот сертификат можно получить, подключившись к шлюзу CheckPoint на порт 18264:

$ wget http://&lt;checkpoint gw address&gt;:18264/internal_ca.cer <br />$ openssl x509 -inform DER -outform PEM -in internal_ca.cer -out internal_cap.pem

* Сертификат сервера “checkpoint-cert.pem”. Его можно получить с адреса шлюза:

$ openssl s_client -connect &lt;checkpoint gw address&gt;:443

* CRL сертификат:

$ wget http://&lt;checkpoint gw address&gt;:18264/ICA_CRL1.crl <br />$ openssl crl -in ICA_CRL1.crl -inform DER -outform PEM -out ICA_CRL1.crl

Срок действия сертификата “ICA_CRL1.crl” несколько дней. Поэтому “strongswan” будет пытаться обновить этот сертификат с CheckPoint шлюза.

# openssl crl -in /etc/strongswan/ipsec.d/crls/ICA_CRL1.crl -text -noout <br />Certificate Revocation List (CRL): <br />        Version 2 (0x1) <br />    Signature Algorithm: sha256WithRSAEncryption <br />        Issuer: /O=smartcenter..i6sh4u <br />        Last Update: Jan 10 06:04:27 2021 GMT <br />        Next Update: Jan 17 06:04:27 2021 GMT <br />        CRL extensions: <br />            X509v3 Issuing Distrubution Point: critical <br />                Full Name: <br />                  URI:http://smartcenter.example.org:18264/ICA_CRL1.crl <br />                  DirName: O = smartcenter..i6sh4u, CN = ICA_CRL1

Подключаться “strongswan” будет к сайту “smartcenter”. Так как адреса для этого имени нет, то в файле “/etc/hosts” надо принудительно прописать IP-адрес:

# cat /etc/hosts 127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4 <br />::1         localhost localhost.localdomain localhost6 localhost6.localdomain6 <br />&lt;checkpoint gw ip-address&gt;   smartcenter smartcenter.example.org

Лог в файле “/var/log/messages” может выглядеть так:

Jan 19 17:46:13 kvm charon: 16[CFG]   using trusted ca certificate &quot;O=smartcenter..i6sh4u&quot; <br />Jan 19 17:46:13 kvm charon: 16[CFG] checking certificate status of &quot;O=smartcenter..i6sh4u, CN=smart VPN Certificate&quot; <br />Jan 19 17:46:13 kvm charon: 16[CFG]   fetching crl from ’O=smartcenter..i6sh4u, CN=ICA_CRL1’ ... <br />Jan 19 17:46:13 kvm charon: 16[LIB] unable to fetch from O=smartcenter..i6sh4u, CN=ICA_CRL1, no capable fetcher found <br />Jan 19 17:46:13 kvm charon: 16[CFG]   fetching crl from ’http://smartcenter:18264/ICA_CRL1.crl’ ...

Кроме этих сертификатов потребуется сертификат клиента, зарегистрированного на CheckPoint, “cpuser.p12”. Из этого сертификата надо получить сертификат клиента “cpuser.pem” и сертификат ключа “cpuser-key.pem”:

$ openssl pkcs12 -in cpuser.p12 -nocerts -out cpuser-key.pem <br />$ openssl pkcs12 -in cpuser.p12 -nokeys -out temp.pem

Сертификат “temp.pem” содержит в себе сертификат пользователя и CA сертификат. С помощью редактора сертификат надо разделить на части, сохранить их как отдельные pem-файлы и с помощью openssl посмотреть содержимое сертификатов. Сертификат клиента будет содержать в себе что-то вроде этого: “Subject: O=smartcenter..i6sh4u, OU=users, CN=cpuser”.



=== 2 Настройка strongswan ===

Расположение настроек strongswan в каждом дистрибутиве может отличаться. В CentOS 7, OL7 или RHEL 7 настройки располжены в каталоге “/etc/strongswan”:

# tree -d /etc/strongswan <br />/etc/strongswan <br />_ ipsec.d <br />  __ aacerts <br />  __ acerts <br />  __ cacerts <br />  __ certs <br />  __ crls <br />  __ ocspcerts <br />  __ private <br />  __ reqs <br />_ strongswan.d <br />  __ charon <br />_ swanctl <br />   __ bliss <br />   __ conf.d <br />   __ ecdsa <br />   __ pkcs12 <br />   __ pkcs8 <br />   __ private <br />   __ pubkey <br />   __ rsa <br />   __ x509 <br />   __ x509aa <br />   __ x509ac <br />   __ x509ca <br />   __ x509crl <br />   __ x509ocsp

Файлы “internal_ca.pem”, “checkpoint-cert.pem” и “cpuser.pem”, <br />“ICA_CRL1.crl”, “cpuser-key.pem” надо разместить в каталогах <br />“/etc/strongswan/ipsec.d/cacerts”, “/etc/strongswan/ipsec.d/certs”, <br />“/etc/strongswan/ipsec.d/crls” и в “/etc/strongswan/ipsec.d/private” соответственно.

Файл “cpuser-key.pem” должен имет права “0600” и владельцем всех вышеуказанных файлов должен быть “root:root”.



==== 2.1 Файл конфигурации “ipsec.conf” ====

Файл конфигурации “ipsec.conf” расположен в каталоге “/etc/strongswan”:

# ipsec.conf - strongSwan IPsec configuration file <br /> <br /># basic configuration <br />config setup <br />        # strictcrlpolicy=yes <br />        # uniqueids = no <br />        # charondebug=1 <br />        # charondebug=&quot;cfg 2, dmn 2, ike 2, net 2, lib 3, knl 4&quot; <br /> <br /># Add connections here. <br />conn %default <br />        # Left side is strongSwan - RoadWarrior <br />        left=%defaultroute <br />        leftcert=cpuser.pem # Cert of user - from /etc/strongswan/certs <br />        leftid=&quot;/O=smartcenter..i6sh4u/OU=users/CN=cpuser&quot; <br />        leftrsasigkey=%cert <br />        auto=route <br /> <br />conn remote <br />        # Right side is CheckPoint <br />        right=&lt;checkpoint gw ip-address&gt; <br />        rightcert=checkpoint-cert.pem # Cert of FW - from /etc/strongswan/certs <br />        rightid=&lt;checkpoint gw ip-address&gt; <br />        # config <br />        ike=aes256-sha1-modp1024 # check if IKE P1 are allowed under Global Prop. <br />        esp=aes256-sha1 # check if IKE P2 are allowed <br />        type=tunnel <br />        keyexchange=ikev1 # use IKE v1 <br />        keyingtries=3 <br />        authby=rsasig <br />        ikelifetime=8h # Lifetime for IKE Phase 1 <br />        lifetime=1h # Lifetime for IKE Phase 2 <br /> <br />conn net-192.168.xx.0 <br />       also=remote <br />       rightsubnet=192.168.xx.0/24 <br />       auto=start <br /> <br />conn net-192.168.yy.0 <br />       also=remote <br />       rightsubnet=192.168.yy.0/24 <br />       auto=start



==== 2.2 Файл “ipsec.secrets” ====

Файл расположен в каталоге “/etc/strongswan”:

# ipsec.secrets - strongSwan IPsec secrets file <br />: RSA cpuser-key.pem &quot;key file password&quot;



==== 2.3 Запуск “strongswan” ====

Создание “IPsec VPN” между клиентом и CheckPoint выполняется несколькими командами:

# strongswan start <br />Starting strongSwan 5.7.2 IPsec [starter]... <br /># strongswan up remote <br />generating QUICK_MODE request 2566461280 [ HASH SA No ID ID ] <br />sending packet: from local.ip.address[4500] to checkpoint.gw.ip[4500] (204 bytes) <br />received packet: from checkpoint.gw.ip[4500] to local.ip.address[4500] (156 bytes) <br />parsed QUICK_MODE response 2566461280 [ HASH SA No ID ID ] <br />selected proposal: ESP:AES_CBC_256/HMAC_SHA1_96/NO_EXT_SEQ <br />detected rekeying of CHILD_SA bank{3} <br />CHILD_SA bank{4} established with SPIs c3789495_i 55115f06_o and TS local.ip.address/32 === checkpoint.gw.ip/32 <br />generating QUICK_MODE request 2566461280 [ HASH ] <br />sending packet: from local.ip.address[4500] to checkpoint.gw.ip[4500] (60 bytes) <br />connection ’remote’ established successfully



=== 3 Настройка libreswan ===

В RHEL 7, OEL 7 или CentOS 7 файлы настроек находятся к каталогах “/etc” и “/etc/ipsec.d”.

/etc/ipsec.conf <br />/etc/ipsec.secrets <br />/etc/ipsec.d/ipsec.conf <br />/etc/ipsec.d/ipsec.secrets <br />/etc/ipsec.d/cert9.db <br />/etc/ipsec.d/key4.db <br />/etc/ipsec.d/nsspassword



==== 3.1 База данных “nssdb” ====

Сертификаты клиента и сервера для “libreswan” хранятся в базе данных “nss”. Исходно база данных находится в “/etc/ipsec.d”. Для использования базы данных её надо инициализировать:

# ipsec initnss

Пароль для базы данных надо будет сохранить в файле “nsspassword”:

# cat /etc/ipsec.d/nsspassword <br />NSS Certificate DB:&lt;Here is my strong NSS password&gt;

Вместо команды “ipsec initnss” можно воспользоваться командой “certutil”:

# certutil -N -d sql:/etc/ipsec.d

В базу данных надо занести сертификаты сервера и клиента (файл .p12):

# ipsec import cpuser.p12

Содержимое базы данных можно увидеть, используя “certutil”:

# certutil -L -d sql:/etc/ipsec.d <br /> <br />Certificate Nickname                Trust Attributes <br />                                    SSL,S/MIME,JAR/XPI <br /> <br />checkpoint-cert.pem                 P,, <br />internal_ca.pem                     CT,, <br />cpuser                              u,u,u



==== 3.2 Конфигурационные файлы ====

Исходный файл конфигурации “libreswan” - это “/etc/ipsec.conf”. В нём можно определить местонахождение логфайла, отладку:

# /etc/ipsec.conf - Libreswan IPsec configuration file <br /># <br /># see ’man ipsec.conf’ and ’man pluto’ for more information <br /># <br /># For example configurations and documentation, see https://libreswan.org/wiki/ <br /> <br />config setup <br />        # Normally, pluto logs via syslog. <br />        logfile=/var/log/pluto.log <br />        # <br />        # Do not enable debug options to debug configuration issues! <br />        # <br />        # plutodebug=&quot;control parsing&quot; <br />        # plutodebug=&quot;all crypt&quot; <br />        plutodebug=none <br />        # <br />        # NAT-TRAVERSAL support <br />        # exclude networks used on server side by adding %v4:!a.b.c.0/24 <br />        # It seems that T-Mobile in the US and Rogers/Fido in Canada are <br />        # using 25/8 as &quot;private&quot; address space on their wireless networks. <br />        # This range has never been announced via BGP (at least up to 2015) <br />        virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12,%v4:25.0.0.0/8,%v4:100.64.0.0/10,%v6:fd00::/8,%v6:fe80::/10 <br /> <br /># if it exists, include system wide crypto-policy defaults <br /># include /etc/crypto-policies/back-ends/libreswan.config <br /> <br /># It is best to add your IPsec connections as separate files in /etc/ipsec.d/ <br />include /etc/ipsec.d/*.conf

В каталоге “/etc/ipsec.d/” размещаются файлы соединений, например “/etc/ipsec.d/ipsec.conf”:

# cat /etc/ipsec.d/ipsec.conf <br />conn home <br />        # Right side is libreswan <br />        right=%defaultroute <br />        rightcert=cpuser <br />        # rightid=&quot;/O=smartcenter..i6sh4u/OU=users/CN=cpuser&quot; <br />        rightid=%fromcert <br />        rightrsasigkey=%cert <br />        # Left side is CheckPoint <br />        left=&lt;checkpoint gw ip-address&gt; <br />        # leftsubnet=192.168.xx.0/24 <br />        leftcert=checkpoint-cert.pem <br />        # leftid=&lt;checkpoint gw ip-address&gt; <br />        leftid=%fromcert <br />        # Config <br />        vti-interface=ip_vti0 <br />        type=tunnel <br />        keyingtries=3 <br />        disablearrivalcheck=no <br />        authby=rsasig <br />        ike=aes256-sha1;modp1024 <br />        phase2=esp <br />        phase2alg=aes256-sha1 <br />        pfs=no <br />        ikelifetime=8h <br />        salifetime=1h <br />        ikev2=no <br />        keyexchange=ike <br />        auto=route <br /> <br />conn net-192.168.xx.0 <br />       also=home <br />       leftsubnet=192.168.xx.0/24 <br />       #auto=start



==== 3.3 Запуск “libreswan” ====

Запуск сервиса возможен как напрямую, так и через “systemctl”:

# ipsec start <br />Redirecting to: systemctl start ipsec.service <br /># ipsec auto --up home <br />au002 &quot;home&quot; #1: initiating Main Mode <br />104 &quot;home&quot; #1: STATE_MAIN_I1: initiate <br />106 &quot;home&quot; #1: STATE_MAIN_I2: sent MI2, expecting MR2 <br />002 &quot;home&quot; #1: I am sending my cert <br />002 &quot;home&quot; #1: I am sending a certificate request <br />108 &quot;home&quot; #1: STATE_MAIN_I3: sent MI3, expecting MR3 <br />002 &quot;home&quot; #1: Peer ID is ID_IPV4_ADDR: ’&lt;checkpoint gw ip-address&gt;’ <br />002 &quot;home&quot; #1: certificate verified OK: CN=smart VPN Certificate,O=smartcenter..i6sh4u <br />003 &quot;home&quot; #1: Authenticated using RSA <br />004 &quot;home&quot; #1: STATE_MAIN_I4: ISAKMP SA established {auth=RSA_SIG cipher=aes_256 integ=sha group=MODP1024} <br />002 &quot;home&quot; #2: initiating Quick Mode RSASIG+ENCRYPT+TUNNEL+UP+IKEV1_ALLOW+SAREF_TRACK+IKE_FRAG_ALLOW+ESN_NO {using isakmp#1 msgid:c80d7f54 proposal=AES_CBC_256-HMAC_SHA1_96 pfsgroup=no-pfs} <br />117 &quot;home&quot; #2: STATE_QUICK_I1: initiate <br />004 &quot;home&quot; #2: STATE_QUICK_I2: sent QI2, IPsec SA established tunnel mode {ESP/NAT=&gt;0xcfeff49e &lt;0xb0d447b9 xfrm=AES_CBC_256-HMAC_SHA1_96 NATOA=none NATD=&lt;checkpoint gw ip-address&gt;:4500 DPD=passive}



==== 3.4 Проверка “libreswan” ====

Проверить настройки “libreswan” можно с помощью команды “ipsec verify”:

# ipsec verify <br />Verifying installed system and configuration files <br /> <br />Version check and ipsec on-path                         [OK] <br />Libreswan 3.25 (netkey) on 5.4.17-2036.102.0.2.el7uek.x86_64 <br />Checking for IPsec support in kernel                    [OK] <br /> NETKEY: Testing XFRM related proc values <br />         ICMP default/send_redirects                    [OK] <br />         ICMP default/accept_redirects                  [OK] <br />         XFRM larval drop                               [OK] <br />Pluto ipsec.conf syntax                                 [OK] <br />Two or more interfaces found, checking IP forwarding    [OK] <br />Checking rp_filter                                      [OK] <br />Checking that pluto is running                          [OK] <br /> Pluto listening for IKE on udp 500                     [OK] <br /> Pluto listening for IKE/NAT-T on udp 4500              [OK] <br /> Pluto ipsec.secret syntax                              [OK] <br />Checking ’ip’ command                                   [OK] <br />Checking ’iptables’ command                             [OK] <br />Checking ’prelink’ command does not interfere with FIPS [OK] <br />Checking for obsolete ipsec.conf options                [OK]



=== 4 Фаервол ===

В настройках фаервола надо добавить “NAT masquerading”, протоколы аутентификации IPsec (AH) и энкапсуляции (ESP):

# firewall-cmd --zone=public --permanent --add-rich-rule=’rule protocol value=&quot;esp&quot; accept’ <br /># firewall-cmd --zone=public --permanent --add-rich-rule=’rule protocol value=&quot;ah&quot; accept’ <br /># firewall-cmd --zone=public --permanent --add-masquerade

А также добавить “UDP” порты и сервис “ipsec”:

# firewall-cmd --zone=public --permanent --add-port=500/udp <br /># firewall-cmd --zone=public --permanent --add-port=4500/udp <br /># firewall-cmd --zone=public --permanent --add-service=&quot;ipsec&quot; <br /># firewall-cmd --reload

Посмотреть, что всё вышеуказанное включено в фаервол, можно с помощью команды “firewall-cmd --list-all”:

# firewall-cmd --list-all <br />public (active) <br />  target: default <br />  icmp-block-inversion: no <br />  interfaces: wlo1 <br />  sources: <br />  services: ipsec rpc-bind ssh <br />  ports: 500/udp 4500/udp <br />  protocols: <br />  masquerade: yes <br />  forward-ports: <br />  source-ports: <br />  icmp-blocks: <br />  rich rules: <br />        rule protocol value=&quot;esp&quot;accept <br />        rule protocol value=&quot;ah&quot;accept



=== 5 Sysctl ===

В дополнение к исходным настройкам strongswan, надо дополнительно внести изменения в сетевые настройки ядра. Для этого надо добавить следующие строки в файл “/etc/sysctl.conf”:

# sysctl settings are defined through files in <br /># /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/. <br /># <br /># Vendors settings live in /usr/lib/sysctl.d/. <br /># To override a whole file, create a new file with the same in <br /># /etc/sysctl.d/ and put new settings there. To override <br /># only specific settings, add a file with a lexically later <br /># name in /etc/sysctl.d/ and put new settings there. <br /># <br /># For more information, see sysctl.conf(5) and sysctl.d(5). <br />net.ipv4.ip_forward = 1 <br />net.ipv4.conf.all.accept_redirects = 0 <br />net.ipv4.conf.all.send_redirects = 0 <br />net.ipv4.conf.all.rp_filter = 0 <br />net.ipv4.conf.default.accept_source_route = 0 <br />net.ipv4.conf.default.accept_redirects = 0 <br />net.ipv4.conf.default.send_redirects = 0 <br />net.ipv4.conf.default.rp_filter = 0 <br />net.ipv4.conf.eno1.rp_filter = 0 <br />net.ipv4.conf.wlo1.rp_filter = 0 <br />net.ipv4.conf.ip_vti0.rp_filter = 0

Наименования интерфейсов “eno1”, “wlo1”, “ip_vti0” могут отличаться, а также могут присутствовать и другие интерфейсы, например “virbr0”, “virbr0-nic”. Посмотреть все имеющиеся интерфейсы можно с помощью команды “ip a”.