Onglet Rvp : Mettre en place le réseau virtuel privé
Sphynx-ARV et Sphynx distant
Un module Sphynx peut être dédié ou non à la gestion des configurations RVP :
- un module Sphynx dédié à la gestion des configurations RVP avec ARV est appelé Sphynx-ARV ;
- un module Sphynx dont la configuration RVP est gérée par un autre module (Sphynx-ARV) est appelé Sphynx distant.
Sur un serveur Sphynx distant la mise en place du RVP se fera comme sur un serveur Amon.
Configuration des tunnels en mode database
Il est possible de choisir le mode de configuration pour strongSwan[1] en modifiant le champ Configuration de strongSwan en mode database
.
- en mode database (valeur
oui
), la configuration des tunnels strongSwan sera dans le fichier/etc/ipsec.d/ipsec.db
- en mode fichier plat (valeur
non
), la configuration des tunnels strongSwan sera dans le fichier/etc/ipsec.conf
Sur un Sphynx distant cette variable est conditionnée par le mode utilisé sur le serveur Sphynx-ARV lors de la génération des fichiers de configurations strongSwan par ARV. Le serveur Sphynx distant doit utiliser le même mode que le serveur Sphynx-ARV qui a permis de générer les fichiers de configurations strongSwan.
Truc & astuce
Lors d'un changement de mode sur le serveur Sphynx-ARV il n'est pas nécessaire d'intervenir sur les serveurs dont le RVP est déjà en place.
Un serveur Sphynx en mode fichier plat peut communiquer avec un serveur Amon en mode database et inversement.
Paramètres propres au mode expert
Le mode Expert permet de personnaliser le fonctionnement de strongSwan.
Forcer l'encapsulation (Détection NAT)
, si la valeur est à oui
, cela force la socket UDP/4500 pour l'établissement des connexions. Si la valeur est à non
, le socket est fixé à UDP/500 sauf s'il y a détection de NAT (UDP/4500).
Autoriser le changement d'adresse IP d'une extrémité de connexion
(MOBIKE IKEv2 extension - RFC 4555) permet à une extrémité de changer d'adresse IP pour une connexion donnée. Dans ce cas, la connexion se fera toujours sur UDP/4500.
Paramètres strongSwan
Configuration de strongSwan en mode database
entraîne la génération du fichier de configuration /etc/strongswan.conf
en fonction du mode choisi.
Nombre d'essais de retransmission avant Dead Peer Detection
indique à strongSwan le nombre d'essais de reconnexion avant l'abandon.
Timeout pour le process stroke
permet de fixer le nombre de millisecondes avant l'arrêt forcé de processus qui se seraient figés.
Gestion des Routes VPN
Gestion des routes par strongSwan
permet si la valeur est passée à non
de faire gérer la mise en place des routes concernant les tunnels par un script.
Exemple, dans notre cas et sur le module Amon uniquement :
/etc/ipsec.d/ipsec_updown
Forcer l'adresse IP source de l'interface
permet de forcer l'adresse IP que le serveur utilisera pour entrer dans les tunnels. Cette option est utilisée sur les serveur Amon afin d'éviter qu'ils utilisent aléatoirement l'adresse IP de l'une de ses interfaces lorsqu'ils passent dans un tunnel.
Gestion des threads
Nombre de threads disponibles pour strongSwan
permet d'allouer un nombre de fils d'exécution maximum pour ses différentes tâches. Une valeur trop petite peut entraîner des mises en file d'attente importantes.
Nombre de threads à réserver pour les jobs HIGH priority
réserve une nombre de fils d'exécution minimum pour les tâches HIGH priority (ipsec stroke et DPD). La valeur 1
ou 2
maximum est idéale.
Nombre de threads à réserver pour les jobs MEDIUM priority
réserve une nombre de fils d'exécution minimum pour les tâches MEDIUM priority (Initialisation de connexion entre autres).
Paramètres agent Zéphir RVP et diagnose
Agent rvp Zéphir en mode 'No action'
permet de paramétrer l'agent RVP pour ne rien faire en cas de détection de tunnels défectueux (pas de coupure/relance des tunnels).
Paramètres IPsec
Application de la configuration et gestion du RVP
Application de la configuration RVP sur un module Sphynx-ARV
L'application de la configuration RVP se fait au moment de leur génération avec l'application ARV.
Activation du RVP sur un module Sphynx distant
Pour activer un RVP sur un module Sphynx distant déjà instancié, il faut lancer en tant qu'utilisateur root
la commande active_rvp init.
Au lancement de la commande active_rvp init, le choix 1.Manuel
ou 2.Zéphir
est proposé.
- Le choix 1 permet de prendre en compte la configuration RVP présente sur une clé USB.
- Le choix 2 active la configuration RVP présente sur le serveur Zéphir. Cela suppose que le serveur est déjà enregistré sur Zéphir. Il sera demandé un utilisateur et mot de passe Zéphir et l'identifiant Zéphir du serveur Sphynx.
Dans les deux cas, le code secret de la clé privée est demandée. Si le code secret est correct le RVP est configuré pour cette machine.
Remarque
Les tunnels déjà mis en place sur un module Sphynx distant ne sont pas coupés lors de l'utilisation de la commande active_rvp init.
Suppression du RVP
Pour supprimer un RVP, il faut lancer en tant qu'utilisateur root
la commande active_rvp delete.