CentOS6.x下用ipsec加密GRE隧道

楔子

前面的文章：Linux下用GRE隧道直接联通两个私网里讲了怎样用在两个独立的私网间打洞(GRE tunnel)来直接连通两个不同的私网，进阶需求就是希望能把这个tunnel加密一下。否则，有心的坏人可能会在外部线路上窃听到很多敏感的信息。因此，本文将要讲的，算是前一文章的进阶部分：给打洞的隧道加密！

Why "GRE over IPSec"

光是说加密隧道的话，方案有好几种：

• IPSec tunnel
• GRE over IPSec
• IPSec over GRE
• ......

我们为什么选用GRE over IPSec呢？
跟单纯的IPSec tunnel比，优势在于：

• 方案更灵活，我们可以灵活的把要加密的流量路由到GRE隧道上
• 而且IPSec不支持多播，像OSPF或其他高大上的路由协议没法玩儿

跟IPSec over GRE比：

• 更安全。整个上公网的流量都是加密的，但从外部根本都不知道跑的是GRE协议。

接下来，我们主要就是要讲的方案是：GRE over IPSec

环境

对象	备注
NETA	10.0.0.0/24的一个私网，网关是GWA
NETB	10.0.1.0/24的一个私网，网关是GWB
NETC	节点都能互通的一个网络，可以认为是公网
GWA	ip:10.0.0.1(NETA)、1.1.1.1(NETC)，CentOS6.x
GWB	ip:10.0.1.1(NETB)、2.2.2.2(NETC)，CentOS6.x
greB	GWA上的虚拟网络接口，GRE隧道名
greA	GWB上的虚拟网络接口，GRE隧道名
eth0	GWA连NETA、GWB连NETB的网络设备名
eth1	GWA和GWB连NETC的网络设备名

具体步骤

准备工作

分别在GWA和GWB两台机上执行：

yum -y install libreswan iptables;
rm -rf /etc/ipsec.d/*db; # 删除原有自带的db文件
ipsec initnss; # 重新初始化db
checonfig ipsec on; # 这一步也可以后面再做

正常打洞

GWA上执行：

cat << EOF | tee /etc/sysconfig/network-scripts/ifcfg-greB
DEVICE=greB
ONBOOT=yes
TYPE=GRE
PEER_OUTER_IPADDR=2.2.2.2
PEER_INNER_IPADDR=10.0.1.0/24
MY_OUTER_IPADDR=1.1.1.1
MY_INNER_IPADDR=10.0.0.1
KEY=http://haw-haw.org
BOOTPROTO=none
EOF

ifup greB;

同样，在GWB上执行：

cat << EOF | tee /etc/sysconfig/network-scripts/ifcfg-greA
DEVICE=greA
ONBOOT=yes
TYPE=GRE
PEER_OUTER_IPADDR=1.1.1.1
PEER_INNER_IPADDR=10.0.0.0/24
MY_OUTER_IPADDR=2.2.2.2
MY_INNER_IPADDR=10.0.1.1
KEY=http://haw-haw.org
BOOTPROTO=none
EOF

ifup greA;

这样，其实打洞就基本上已经完成了，现在从NETA和NETB的网络里随便找两台机器，都应该能互通了。

GRE over IPSEC

配置GWA

在GWA上执行：

ipsec newhostkey \
--configdir /etc/ipsec.d \
--random /dev/urandom \
--output /etc/ipsec.d/GWA.secrets \
--verbose;
# 上面的"--random /dev/urandom"的参数比用缺省的效率要高很多！
ipsec showhostkey --left;
# 记下输出中“leftrsasigkey=”这一行
# 这将用于本机(GWA)的/etc/ipsec.d/greB.conf文件中
ipsec showhostkey --right;
# 记下输出中“rightrsasigkey=”这一行
# 这将用于对端机器(GWB)的/etc/ipsec.d/greA.conf文件中
vim /etc/ipsec.d/greB.conf # 建立配置文件greB.conf

内容如下：

conn greB
    type=transport
    left=10.0.0.1
    leftrsasigkey=......
    leftprotoport=gre
    right=10.0.1.1
    rightrsasigkey=......
    rightprotoport=gre
    authby=rsasig
    auto=start

注意：

• 这里的greB是随便取的，只是因为GWA上的隧道设备名为greB，所以就沿用了这个名字
• leftrsasigkey=是来自于上面ipsec showhostkey --left命令
• rightrsasigkey=是来自于GWB上执行命令ipsec showhostkey --right的结果

配置GWB

依葫芦画瓢，在GWB上执行：

ipsec newhostkey \
--configdir /etc/ipsec.d \
--random /dev/urandom \
--output /etc/ipsec.d/GWB.secrets \
--verbose;
ipsec showhostkey --left;
# 记下输出中“leftrsasigkey=”这一行
# 这将用于本机(GWB)的/etc/ipsec.d/greA.conf文件中
ipsec showhostkey --right;
# 记下输出中“rightrsasigkey=”这一行
# 这将用于对端机器(GWA)的/etc/ipsec.d/greB.conf文件中
vim /etc/ipsec.d/greA.conf
# 建立配置文件greA.conf，因为tunnel设备名叫greA

内容如下：

conn greA
    type=transport
    left=10.0.1.1
    leftrsasigkey=......
    leftprotoport=gre
    right=10.0.0.1
    rightrsasigkey=......
    rightprotoport=gre
    authby=rsasig
    auto=start

注意：

• 这里的greA是随便取的，只是因为GWB上的隧道设备名为greA，所以就沿用了这个名字
• leftrsasigkey=是来自于上面ipsec showhostkey --left命令
• rightrsasigkey=是来自于GWA上执行命令ipsec showhostkey --right的结果

Iptables

本来在前面正常GRE打洞测步骤里其实也有iptables相关设置，这里就都整合到这一部分统一说了

在GWA和GWB上分别执行：

iptables -A INPUT -i eth1 -p gre -j ACCEPT;
iptables -A INPUT -i eth1 -p udp \
    -m state --state NEW \
    -m udp \
    -m multiport --dports 50,51,500,4500 \
    -j ACCEPT;
iptables -A INPUT -i eth1 -p tcp \
    -m state --state NEW \
    -m tcp \
    -m multiport --dports 50,51 \
    -j ACCEPT;
iptables -t mangle -A FORWARD \
    -p tcp -m tcp --tcp-flags SYN,RST SYN \
    -j TCPMSS --clamp-mss-to-pmtu;
/etc/init.d/iptables save; # 将iptables规则存入配置文件

启动服务

分别在GWA和GWB的机器上执行：

/etc/init.d/ipsec start;
ipsec auto --add greB; # 仅GWA上执行
ipsec auto --up greB; # 仅GWA上执行
ipsec auto --add greA; # 仅GWB上执行
ipsec auto --up greA; # 仅GWB上执行
chkconfig ipsec on;
# 如果前面没有执行这句的这里执行一下，
# 以后ipsec就会随机器启动起起来，
# 而且不再需要ipsec auto --add和ipsec auto --up了

简单测试

要检验是否成功设置，可以分别在GWA和GWB上听包：

tcpdump -nn -i eth1 host 1.1.1.1 and host 2.2.2.2;

会发现包都是ESP加密过的了。

然后分别在GWA和GWB上干掉ipsec对greB和greA的加密干掉

ipsec auto --delete greB; # 仅在GWA上执行
ipsec auto --delete greA; # 仅在GWB上执行

然后再重复上面的听包命令：

tcpdump -nn -i eth1 host 1.1.1.1 and host 2.2.2.2;

会发现加密包没有了，取而代之是GRE包，而且明显能看到GRE包里封装的内容。