Quelltext der Seite VPN-Roadwarrior Linux vs. LANCOM-Router

Nachdem ich selbst eine VPN-Einwahl als Roadwarrior von einem Linux-Rechner aus gegenüber einem LANCOM 1621 VPN-Router bewerkstelligen musste/wollte, und ich dabei einige Male gestolpert bin, hier ein kleines Howto:

== Konfiguration des Routers ==
Im Assistenten erstmal auf Einwahl-Zugang bereitstellen gehen:

[[Bild:Lancom-vpn-assistent.jpg|400px]]

VPN-Verbindung über das Internet ...

[[Bild:Lancom-vpn-schritt1.jpg|400px]]

... aber ohne dieses proprietären Advanced VPN Client aus dem Hause ICP, äh LANCOM ...

[[Bild:Lancom-vpn-schritt2.jpg|400px]]

Die VPN-Verbindung bekommt einen Router-internen Namen (welcher ist relativ egal) ...

[[Bild:Lancom-vpn-schritt3.jpg|400px]]

wir machen Pre-shared Key Authentifizierung, also Key festlegen (den brauchen wir auf der anderen Seite dann auch) ...

[[Bild:Lancom-vpn-schritt4.jpg|400px]]

weiter ...

[[Bild:Lancom-vpn-schritt5.jpg|200px]]

keine lokale Identität, wir bauen eh die Verbindung vom Roadwarrior zum Router auf, von daher muss der sich nicht ausweisen können.  Die Gegenseite authentifiziert sich mit FQDN:

[[Bild:Lancom-vpn-schritt6.jpg|400px]]

dreimal weiter (PFS Gruppe 2) ...

[[Bild:Lancom-vpn-schritt7.jpg|200px]]
[[Bild:Lancom-vpn-schritt8.jpg|200px]]
[[Bild:Lancom-vpn-schritt9.jpg|200px]]

Die Gegenstelle braucht natürlich eine IP.  Ich habe eine ''außerhalb'' der LAN-Adressen, dann fällt besser auf, dass die Kiste eingewählt ist.  Aber das LAN muss natürlich den Router als Default-Gateway verwenden (sollte aber wohl eh Standard sein):

[[Bild:Lancom-vpn-schritt10.jpg|400px]]

Nochmal zweimal weiter, dann sind wir fertig:

[[Bild:Lancom-vpn-schritt11.jpg|200px]]
[[Bild:Lancom-vpn-schritt12.jpg|200px]]

== Stolperstein VPN-Gateway == DSL-Gateway ==
Der Linux IPsec-Stack macht gewaltig Probleme, wenn man die VPN-Einwahl von dem Rechner durchführen möchte, der auch die DSL-Einwahl macht.  Umgekehrt kann man IPsec-Pakete (ohne NAT-Traversal) aber auch nicht durch eine NAT schieben.

Hintergrund ist, dass die Pakete bevor sie in die IPsec-Schicht des Kernels wandern schon die lokale IP-Adresse von ppp0 als Absender tragen und damit nicht mehr von den VPN-Regeln erfasst werden.  Bzw. wenn man die Regeln so aufstellt, dass sie erfasst werden, die VPN-Gegenseite nichts mehr damit anfangen kann, ...

Am besten löst man das dadurch, dass man sich noch mind. eine weitere IP-Adresse vom LANCOM aus zurouten lässt (am besten gleich ein /24-er Netz, das geht in der Konfiguration unter IP-Router/Routing-Tabelle bequem) und dann im LAN weitere Rechner verwendet um darauf zuzugreifen.  Wenn's die gleiche Kiste sein soll, tut's ein kleines UML.

== Konfiguration des Roadwarriors ==
Zunächst ist das Paket '''racoon''' zu installieren.  Das funktioniert am schmerzfreisten.

* REMOTEIP = öffentliche IP-Adresse des VPN-Einwahlrechners
* REMOTENET = IP-Adresse des entfernten Netzes/Maske  (z.B. 10.23.42.0/24)
* LOCALNET = IP-Adresse des lokalen Netzes/Maske  (z.B. 192.168.42.0/24)

In die '''/etc/racoon/racoon.conf''' Folgendes mit einfügen:
<pre>remote REMOTEIP {
        exchange_mode   aggressive;
        my_identifier   fqdn "sledgehammer.metafnord.de";

        proposal {
                encryption_algorithm 3des;
                hash_algorithm sha1;
                authentication_method pre_shared_key;
                dh_group modp1024;
        }
}

sainfo address LOCALNET[any] any address REMOTENET[any] any {
        pfs_group 2;
        encryption_algorithm 3des;
        authentication_algorithm hmac_md5;
        compression_algorithm deflate;
}</pre>

In der '''/etc/racoon/psk.txt''' braucht's dann noch
 REMOTEIP        hierdenpskangeben

Last but not least muss noch der Kernel informiert werden, was IPsec-behandelt werden muss.  Nachdem sich unsere IP-Adresse mit jeder DSL-Einwahl ändert und die Regeln davon abhängen, legen wir ein neues Skript '''/etc/ppp/ip-up.d/setkey''' an (REMOTEIP, REMOTENET und LOCALNET wieder ersetzen):

<source lang="bash">#!/bin/bash

setkey -c <<FNORD
# Flush SAD and SPD
flush;
spdflush;

# Richtlinien
spdadd LOCALNET REMOTENET any -P out ipsec
        esp/tunnel/$PPP_LOCAL-REMOTEIP/require;

spdadd REMOTENET LOCALNET any -P in ipsec
        esp/tunnel/REMOTEIP-$PPP_LOCAL/require;
FNORD
</source>