Mostrar código-fonte de Estabelecer uma VPN L2TP/IPSEC

<br />Este artigo foi traduzido por um sistema de tradução automática. Você pode visualizar a fonte do artigo [[:fr:Mettre en place un VPN L2TP/IPSEC|aqui]].<br /><span data-translate="fr"></span><br />
<span data-link_translate="he"></span><span data-link_translate="ro"></span><span data-link_translate="ru"></span><span data-link_translate="pl"></span><span data-link_translate="ja"></span><span data-link_translate="ar"></span><span data-link_translate="zh"></span><span data-link_translate="de"></span><span data-link_translate="nl"></span><span data-link_translate="it"></span><span data-link_translate="pt"></span><span data-link_translate="es"></span><span data-link_translate="he"></span><span data-link_translate="ro"></span><span data-link_translate="ru"></span><span data-link_translate="pl"></span><span data-link_translate="ja"></span><span data-link_translate="ar"></span><span data-link_translate="zh"></span><span data-link_translate="de"></span><span data-link_translate="nl"></span><span data-link_translate="it"></span><span data-link_translate="pt"></span><span data-link_translate="es"></span><span data-link_translate="en"></span><span data-link_translate="he"></span><span data-link_translate="ro"></span><span data-link_translate="ru"></span><span data-link_translate="pl"></span><span data-link_translate="ja"></span><span data-link_translate="ar"></span><span data-link_translate="zh"></span><span data-link_translate="de"></span><span data-link_translate="nl"></span><span data-link_translate="it"></span><span data-link_translate="pt"></span><span data-link_translate="es"></span><span data-link_translate="en"></span><span data-link_translate="he"></span><span data-link_translate="ro"></span><span data-link_translate="ru"></span><span data-link_translate="pl"></span><span data-link_translate="ja"></span><span data-link_translate="ar"></span><span data-link_translate="zh"></span><span data-link_translate="de"></span><span data-link_translate="nl"></span><span data-link_translate="it"></span><span data-link_translate="pt"></span><span data-link_translate="es"></span><span data-link_translate="en"></span><span data-link_translate="he"></span><span data-link_translate="ro"></span><span data-link_translate="ru"></span><span data-link_translate="pl"></span><span data-link_translate="ja"></span><span data-link_translate="ar"></span><span data-link_translate="zh"></span><span data-link_translate="de"></span><span data-link_translate="nl"></span><span data-link_translate="it"></span><span data-link_translate="pt"></span><span data-link_translate="es"></span><span data-link_translate="en"></span><span data-link_translate="he"></span><span data-link_translate="ro"></span><span data-link_translate="ru"></span><span data-link_translate="pl"></span><span data-link_translate="ja"></span><span data-link_translate="ar"></span><span data-link_translate="zh"></span><span data-link_translate="de"></span><span data-link_translate="nl"></span><span data-link_translate="it"></span><span data-link_translate="pt"></span><span data-link_translate="es"></span><span data-link_translate="en"></span><span data-link_translate="he"></span><span data-link_translate="he"></span><span data-link_translate="he"></span><span data-link_translate="he"></span><span data-link_translate="he"></span><span data-link_translate="he"></span><span data-link_translate="ro"></span><span data-link_translate="ru"></span><span data-link_translate="pl"></span><span data-link_translate="ja"></span><span data-link_translate="ar"></span><span data-link_translate="zh"></span><span data-link_translate="ro"></span><span data-link_translate="pl"></span><span data-link_translate="de"></span><span data-link_translate="nl"></span><span data-link_translate="it"></span><span data-link_translate="pt"></span><span data-link_translate="es"></span><span data-link_translate="en"></span><!-- Début de l'article. Placez votre texte ci-après et n'hésitez pas à personnaliser les chapitres selon votre besoin -->

==Introdução== <!--T:1-->
UMA VPN (Rede privada virtual) est un système permettant de créer un lien direct entre des ordinateurs distants. On utilise notamment ce terme dans le milieu de la dématérialisation fiscale et dans le travail à distance, ainsi que pour l'accès à des structures de type {{Template:Cloud computing}}. L'avantage du L2TP (Camada de 2 Protocolo de Tunelling) réside dans l'utilisation d'une clé pré partagée en plus des identifiants de connexion habituels. A cela s'ajoute IPSEC, une technologie d'encapsulation cryptée dans la trame IP.

==Pré-requisitos== <!--T:2-->
Para seguir este tutorial você deve ter :<br/>

* Uma máquina em uma distribuição de Linux (Debian 8Fedora, CentOS, Ubuntu, framboesa Pi...)   ''Não funciona no Debian 8 por causa do repositório do OpenSwan que não existem mais''<br/>
* Sabe o seu endereço ip público, se você não sabe [http://http://www.mon-ip.com/ aqui!]<br/>

==Tutorial== <!--T:3-->
Em primeiro lugar, você logar raiz (ou através de um usuário que tenha direitos de superusuário). Você pode usar o Putty para se conectar a uma máquina remotamente via SSH ou simplesmente abrir um terminal, se você tem acesso a interface gráfica de sua máquina.

===Pacotes de atualização e instalação===
Primeiro, atualizar sua máquina e instalar o repositório necessário :<br/>
<syntaxhighlight lang="bash">
apt-get update && apt-get upgrade -y
apt-get install openswan xl2tpd ppp lsof
</syntaxhighlight>

''OpenSwan vai algumas perguntas, resposta y com os valores padrão.'.
<br/><br/>

===Adicionar regras para o firewall===
Então vamos adicionar uma regra de iptables para permitir o tráfego VPN (Substitua %SERVERIP% pelo ip do seu {{Template:Serveur}}) :
<syntaxhighlight lang="bash">
iptables -t nat -A POSTROUTING -j SNAT --to-source %SERVERIP% -o eth0
</syntaxhighlight>

<br/>
Em seguida, execute os seguintes comandos para habilitar o roteamento de pacotes IP:
<syntaxhighlight lang="bash">
echo "net.ipv4.ip_forward = 1" |  tee -a /etc/sysctl.conf
echo "net.ipv4.conf.all.accept_redirects = 0" |  tee -a /etc/sysctl.conf
echo "net.ipv4.conf.all.send_redirects = 0" |  tee -a /etc/sysctl.conf
echo "net.ipv4.conf.default.rp_filter = 0" |  tee -a /etc/sysctl.conf
echo "net.ipv4.conf.default.accept_source_route = 0" |  tee -a /etc/sysctl.conf
echo "net.ipv4.conf.default.send_redirects = 0" |  tee -a /etc/sysctl.conf
echo "net.ipv4.icmp_ignore_bogus_error_responses = 1" |  tee -a /etc/sysctl.conf
for vpn in /proc/sys/net/ipv4/conf/*; do echo 0 > $vpn/accept_redirects; echo 0 > $vpn/send_redirects; done
sysctl -p
</syntaxhighlight>

Tornar o persistente para reiniciar a máquina :
<syntaxhighlight lang="bash">
nano /etc/rc.local
</syntaxhighlight>

Em seguida, adicione no final antes do '''saída 0''' :
<syntaxhighlight lang="bash">
for vpn in /proc/sys/net/ipv4/conf/*; do echo 0 > $vpn/accept_redirects; echo 0 > $vpn/send_redirects; done
iptables -t nat -A POSTROUTING -j SNAT --to-source %SERVERIP% -o eth+
</syntaxhighlight>

<br/>
===Implementação deIPSEC===
<br/>

Criar um novo arquivo de configuração ipsec :
<syntaxhighlight lang="bash">
mv /etc/ipsec.conf /etc/ipsec.conf.bak && nano /etc/ipsec.conf
</syntaxhighlight>
Então enfia isto : ''Não esquecer de substituir %SERVERIP% pelo endereço IP da {{Template:Serveur}}''
<syntaxhighlight lang="bash">
version 2 # conforms to second version of ipsec.conf specification

config setup
    dumpdir=/var/run/pluto/
    #in what directory should things started by setup (notably the Pluto daemon) be allowed to dump core?

    nat_traversal=yes
    #whether to accept/offer to support NAT (NAPT, also known as "IP Masqurade") workaround for IPsec

    virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12,%v6:fd00::/8,%v6:fe80::/10
    #contains the networks that are allowed as subnet= for the remote client. In other words, the address ranges that may live behind a NAT router through which a client connects.

    protostack=netkey
    #decide which protocol stack is going to be used.

    force_keepalive=yes
    keep_alive=60
    # Send a keep-alive packet every 60 seconds.

conn L2TP-PSK-noNAT
    authby=secret
    #shared secret. Use rsasig for certificates.

    pfs=no
    #Disable pfs

    auto=add
    #the ipsec tunnel should be started and routes created when the ipsec daemon itself starts.

    keyingtries=3
    #Only negotiate a conn. 3 times.

    ikelifetime=8h
    keylife=1h

    ike=aes256-sha1,aes128-sha1,3des-sha1
    phase2alg=aes256-sha1,aes128-sha1,3des-sha1
    # https://lists.openswan.org/pipermail/users/2014-April/022947.html
    # specifies the phase 1 encryption scheme, the hashing algorithm, and the diffie-hellman group. The modp1024 is for Diffie-Hellman 2. Why 'modp' instead of dh? DH2 is a 1028 bit encryption algorithm that modulo's a prime number, e.g. modp1028. See RFC 5114 for details or the wiki page on diffie hellmann, if interested.

    type=transport
    #because we use l2tp as tunnel protocol

    left=%SERVERIP%
    #fill in server IP above

    leftprotoport=17/1701
    right=%any
    rightprotoport=17/%any

    dpddelay=10
    # Dead Peer Dectection (RFC 3706) keepalives delay
    dpdtimeout=20
    #  length of time (in seconds) we will idle without hearing either an R_U_THERE poll from our peer, or an R_U_THERE_ACK reply.
    dpdaction=clear
    # When a DPD enabled peer is declared dead, what action should be taken. clear means the eroute and SA with both be cleared.
</syntaxhighlight>

On crée ensuite le ''preshared secret'' (a chave compartilhada pre) :
<syntaxhighlight lang="bash">
nano /etc/ipsec.secrets
</syntaxhighlight>
Em seguida, digite esta linha :
<syntaxhighlight lang="bash">
%SERVERIP%  %any:   PSK "VotreClePlusOuMoinsSecurisee"
</syntaxhighlight>
Considere a substituição %SERVERIP% par l'IP de votre {{Template:Serveur}}. Si vous séchez pour la création de votre clé vous pouvez utilisez la commande suivante :
<syntaxhighlight lang="bash">
openssl rand -hex 30
</syntaxhighlight>

<br/>
Podemos verificar que está tudo bem, então você usa este comando :
<syntaxhighlight lang="bash">
ipsec verify
</syntaxhighlight>
E você deve obter :
<syntaxhighlight lang="bash">
Checking your system to see if IPsec got installed and started correctly:
Version check and ipsec on-path                                 [OK]
Linux Openswan U2.6.38/K3.13.0-24-generic (netkey)
Checking for IPsec support in kernel                            [OK]
 SAref kernel support                                           [N/A]
 NETKEY:  Testing XFRM related proc values                      [OK]
    [OK]
    [OK]
Checking that pluto is running                                  [OK]
 Pluto listening for IKE on udp 500                             [OK]
 Pluto listening for NAT-T on udp 4500                          [OK]
Checking for 'ip' command                                       [OK]
Checking /bin/sh is not /bin/dash                               [WARNING]
Checking for 'iptables' command                                 [OK]
Opportunistic Encryption Support                                [DISABLED]
</syntaxhighlight>

===Configuration de xl2tpd===

Vamos começar editando um novo arquivo de configuração :
<syntaxhighlight lang="bash">
mv /etc/xl2tpd/xl2tpd.conf /etc/xl2tpd/xl2tpd.conf.bak && nano /etc/xl2tpd/xl2tpd.conf
</syntaxhighlight>

Então enfia isto :
<syntaxhighlight lang="bash">
[global]
ipsec saref = yes
saref refinfo = 30

;debug avp = yes
;debug network = yes
;debug state = yes
;debug tunnel = yes

[lns default]
ip range = 172.16.1.30-172.16.1.100
local ip = 172.16.1.1
refuse pap = yes
require authentication = yes
;ppp debug = yes
pppoptfile = /etc/ppp/options.xl2tpd
length bit = yes
</syntaxhighlight>

===Configuração de PPP===
Para esta parte, novamente vamos criar um novo arquivo de configuração ''(também novo em uma frase :3)'' :

<syntaxhighlight lang="bash">
mv /etc/ppp/options.xl2tpd /etc/ppp/options.xl2tpd.bak && nano /etc/ppp/options.xl2tpd
</syntaxhighlight>

Em seguida, insira este :
<syntaxhighlight lang="bash">
require-mschap-v2
ms-dns 8.8.8.8
ms-dns 8.8.4.4
auth
mtu 1200
mru 1000
crtscts
hide-password
modem
name l2tpd
proxyarp
lcp-echo-interval 30
lcp-echo-failure 4
</syntaxhighlight>

Aqui, eu usei o DNS público ao Google, livre para modificar e usar os de sua escolha ! ;)

===Adicionando usuários===

FINALMENTE ! Este passo crucial irá permitir que você defina o login e senhas para os usuários de vpn, basta editar esse arquivo :
<syntaxhighlight lang="bash">
nano /etc/ppp/chap-secrets
</syntaxhighlight>
abaixo uma linha típica:
<syntaxhighlight lang="bash">
jean          l2tpd   0F92E5FC2414101EA            *
</syntaxhighlight>
<br/>
'''ATENÇÃO : Este arquivo é a maiusculas e minúsculas, se você colocar uma letra maiuscula, você precisa mantê-lo quando você digitar seu login ou senha.'''
<br/><br/>

===Finalmente, reinicie : ===
<syntaxhighlight lang="bash">
/etc/init.d/ipsec restart && /etc/init.d/xl2tpd restart
</syntaxhighlight>

<!-- Fin de l'article -->
<br /><br />
Este artigo parece útil para você ? <vote />

<!--T:5-->

<!-- Commentaire -->
<comments />

<!-- Placez ci-dessous la ou les catégories auxquelles se rapporte votre article. Ex: [[Category:VPN]] [[Category:Linux]] -->
[[Category:VPN]] [[Category:Linux]]