бьюсь с VPN IPsec IKEv2 strongSwan на Ubuntu-server

[zaka4kin]

Доброго времени...

на виртуальной обкатке имею:

Ubuntu-server 20.04 + strongSwan 5.8.2

и

Win10 20H2 x64.

обе лежат в одной сети.

ipsec.conf срисовал отсюда. оттуда же и ipsec.secrets.

подключаюсь... выползла ошибка 13868, пофиксил.
прописал пока "ike=aes256-aes128-sha256-sha1-modp3072-modp2048-modp1024"...

НО Windows не унимается... выдаёт "ошибку обработки полезных данных ke" за номером 13833.

может кто сталкивался?

второй вопрос - реально ли замутить VPN IPsec IKEv2 без центра сертификации, генерации сертификата и прочего?
(прошу прощения за возможно неправильные термины/понятия. только начал щупать данную тему).
вопрос возник потому, что у них то инфа про это есть
https://www.strongswan.org/testing/testresults/ikev2/rw-psk-ipv4/.
яж не ошибся, там чисто по ключу подключение, без сертификатов всяких?

Спасибо!

[AlexDem]

яж не ошибся, там чисто по ключу подключение, без сертификатов всяких?

А в чем проблема сделать самому сертификат Х.509 сервера, клиента, ключей и пр., и пользоваться этим всем хозяйством?
Принцип безопасного соединения заключается в том, что поскольку те открытые ключи, которыми обмениваются клиент и сервер передаются изначально по незащищенному каналу и могут быть перехвачены, расшифрованы и подменены, поэтому достоверность ключей по которым клиент и сервер "узнают" друг-друга подтверждаются сертификатами, которые хранятся локально на клиенте и сервере и никуда не передаются во время сеанса связи, а следовательно не могут быть взломаны (ну, если их не похитили отдельно).
Поэтому VPN без сертификата это просто шифрование закрытым симметричным ключом.

[zaka4kin]

Доброго времени всем...

собрал стенд на virtualbox:

Win-клиент -- NAT (10.0.10.0/24) -- Ubuntu-Server 20.04 + VPN IKEv2-сервер (10.0.10.10)

адрес хоста 10.89.7.2. UDP 500, 4500 пробросил с 10.89.7.2 на 10.0.10.10 в Файл -> Настройки -> Сеть.

отключил брандмауэр на Windows и UFW на Ubuntu-server (подстраховался)...

подготовка сертификатов:

(Нажмите, чтобы показать/скрыть)

pki --gen --type rsa --size 4096 --outform pem > ca-key.pem
pki --self --ca --lifetime 3650 --in ca-key.pem --type rsa --dn "CN=Test3" --outform pem > ca-cert.pem
pki --gen --type rsa --size 4096 --outform pem > vpn-key.pem
pki --pub --in vpn-key.pem --type rsa | pki --issue --lifetime 1825 --cacert ca-cert.pem --cakey ca-key.pem --dn "CN=10.0.10.10" --san @10.0.10.10 --san 10.0.10.10 --flag serverAuth --flag ikeIntermediate --outform pem > vpn-cert.pem
sudo cp ca-key.pem /etc/ipsec.d/private/ca-key.pem
sudo cp ca-cert.pem /etc/ipsec.d/cacerts/ca-cert.pem
sudo cp vpn-key.pem /etc/ipsec.d/private/vpn-key.pem
sudo cp vpn-cert.pem /etc/ipsec.d/certs/vpn-cert.pem
sudo cp ipsec.conf /etc/ipsec.conf
sudo cp ipsec.secrets /etc/ipsec.secrets

ipsec.conf:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

config setup
    charondebug="ike 1, knl 1, cfg 0"
    uniqueids=no

conn ikev2-vpn
    auto=add
    compress=no
    type=tunnel
    keyexchange=ikev2
    fragmentation=yes
    forceencaps=yes
    dpdaction=clear
    dpddelay=300s
    rekey=no
    left=%any
    leftid=10.0.10.10
    leftcert=vpn-cert.pem
    leftsendcert=always
    leftsubnet=0.0.0.0/0
    right=%any
    rightid=%any
    rightauth=eap-mschapv2
    rightsourceip=10.0.100.0/24
    rightdns=77.88.8.8,77.88.8.1
    rightsendcert=never
    eap_identity=%identity
    ike=chacha20poly1305-sha512-curve25519-prfsha512,aes256gcm16-sha384-prfsha384-ecp384,aes256-sha1-modp1024,aes128-sha1-modp1024,3des-sha1-modp1024!
    esp=chacha20poly1305-sha512,aes256gcm16-ecp384,aes256-sha256,aes256-sha1,3des-sha1!

пробовал и

Код: [Выделить]

left=%defaultroute
leftfirewall=yes
ipsec.secrets

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

: RSA "vpn-key.pem"
user1 : EAP "my-pass"

не хочет подключаться и всё, "ошибка сопоставления групповой политики".

если и сервер и клиент в одной подсети, то подключение проходит,

без

Код: [Выделить]

[code]left=%defaultroute
leftfirewall=yes
естественно.

Что я упускаю из виду?

[Cool_Lamer]

zaka4kin, нашли решение?)