RouterOS(ros)与云上VPC通过IPsec实现内网互通 - 涵盖GUI/CLI两种配置方式

一、前言

ipsec诞生于20世纪90年代,迄今为止,在实现内网互通解决方案中ipsec都是较为常用的。不少网关设备都会考虑集成ipsec的能力,ros便是如此,它作为一个软路由系统,支持的ipsec算法较为完善,本文将以GUI、CLI两种方式讲解ros的ipsec配置,与云上VPC网络实现内网互通。

2.创建VPN通道

如下所示创建SPD策略型通道,填写基本配置,本端vpc、vpn网关、对端网关IP:

通信模式可选目的路由和SPD策略类型,具体区别可参考官方文档说明

选择IKE版本、IKE算法、协商模式、远端标识:

需要注意的是,远端标识如果选FQDN,可以是域名也可以是任何标识。是域名的时候,它也只是一个标识,而且云下的本地标识要和云上配置的一样,不要误以为会跟随域名解析到的IP地址来和对端协商,对端网关在第一步基本配置的时候就已经固定了。

配置IPsec算法,生存周期等:

最后点击完成即可。

3.将VPC路由指向VPN网关

修改VPC路由表,将指向192.168.1.0/24的目的路由,下一跳到VPN网关。

到此云上的配置已经完成。

三、GUI模式配置Ros IPsec

1.配置IPsec Profile

winbox登陆到ros后,在IP -> IPsec里打开IPsec配置菜单:

配置IPsec profile:

DH group用来确定密钥交换过程中使用的密钥强度,强度越高开销也会越高,对应比特位参考如下表格:

DH group

Modulus

1

768 bits

2

1024 bits

5

1536 bits

14

2048 bits

15

3072 bits

16

4096 bits

19

ecp256 bits

20

ecp384 bits

21

ecp521 bits

2.配置对端Peer

如下图配置对端网关、协商模式、引用的ipsec profile等:

3.配置身份验证(Identities)

配置用于身份验证的字段,包括本端标识、远端标识、预共享密钥等:

4.配置IPsec Proposal

配置ipsec提议,指定认证算法、加密算法等:

5.配置感兴趣流(Policies)

如下配置策略,指定本端和对端通信的网段即协议,并采用隧道模式(Tunnel):

6.增加NAT ACCEPT规则

增加一条ACCEPT允许规则,并把优先级调整到第一位:

增加一条accept允许规则:

之后鼠标拖动让此规则置顶。

7.查看IPsec状态并测试连通性

上面配置完毕后,回过头来看IPsec的连接状态及系统日志:

可以看到和云上VPC网段已经建联成功。

连通性测试也正常:

到此,本端和云上VPC已实现内网互通。

四、CLI模式配置Ros IPsec

当某些特殊场景下,ros关闭了winbox登陆,只允许ssh的情况下,CLI并发挥用武之地,配置方法和GUI一致,只是用命令行替代图形界面操作,仅此而已,因此在非必要情况下,要写自动化脚本除外,都建议采用GUI配置,对新手较为友好。

1.配置IPsec Profile

[admin@MikroTik] > /ip ipsec profile
[admin@MikroTik] /ip ipsec profile> add dh-group=modp768 hash-algorithm=md5 enc-algorithm=aes-128 name=to_tencent
[admin@MikroTik] /ip ipsec profile>

2.配置对端Peer

[admin@MikroTik] /ip ipsec profile> /ip ipsec peer
[admin@MikroTik] /ip ipsec peer> add address=119.91.254.122 name=to_tencent profile=to_tencent exchange-mode=main
[admin@MikroTik] /ip ipsec peer>

3.配置身份验证(Identities)

[admin@MikroTik] /ip ipsec profile> ..
[admin@MikroTik] /ip ipsec> identity add peer=to_tencent auth-method=pre-shared-key secret=123456
[admin@MikroTik] /ip ipsec> 

4.配置IPsec Proposal

[admin@MikroTik] /ip ipsec> proposal add name=to_tencent auth-algorithms=md5 enc-algorithms=aes-128-cbc pfs-group=none 
[admin@MikroTik] /ip ipsec> 

5.配置感兴趣流(Policies)

[admin@MikroTik] /ip ipsec> policy add peer=to_tencent tunnel=yes src-address=192.168.1.0/24 dst-address=10.100.1.0/24 protocol=all proposal=to_tencent
[admin@MikroTik] /ip ipsec> 

6.增加NAT ACCEPT规则

增加一条NAT规则,并把优先级调整到第一位:

[admin@MikroTik] /ip firewall nat> /ip ipsec 
[admin@MikroTik] /ip ipsec> /ip firewall nat
[admin@MikroTik] /ip firewall nat> print all   #如果规则较多一页展示不完,按Enter键翻页,否则会影响下面的move操作找不到items
[admin@MikroTik] /ip firewall nat> move 20 0
[admin@MikroTik] /ip firewall nat> 

7.查看IPsec状态并测试连通性

[admin@MikroTik] /ip firewall> /ip ipsec 
[admin@MikroTik] /ip ipsec> active-peers print where comment=to_tencent
Flags: R - responder, N - natt-peer 
 #    ID                   STATE              UPTIME          PH2-TOTAL REMOTE-ADDRESS                                                                                          DYNAMIC-ADDRESS                                                                
 0  N ;;; to_tencent
                           established        10m34s                  1 119.91.254.122                                                                                         
[admin@MikroTik] /ip ipsec> installed-sa print where (spi=0x2953159 or spi=0x8051BFF6) and (src-address="113.87.48.200:4500" or dst-address~"113.87.48.200")
Flags: H - hw-aead, A - AH, E - ESP 
 0  E spi=0x2953159 src-address=119.91.254.122:4500 dst-address=113.87.48.200:4500 state=mature auth-algorithm=md5 enc-algorithm=aes-cbc enc-key-size=128 auth-key="75dfa24b76a571dcc9eccbb5c48b5b5d" enc-key="df47098bf78a98a7be4e45b1f2a64908" 
      addtime=aug/28/2022 17:22:10 expires-in=19m17s add-lifetime=24m/30m current-bytes=3303 current-packets=19 replay=128 

 1  E spi=0x8051BFF6 src-address=113.87.48.200:4500 dst-address=119.91.254.122:4500 state=mature auth-algorithm=md5 enc-algorithm=aes-cbc enc-key-size=128 auth-key="20e63c4d95095d1f8d96c9e5b0f256cf" enc-key="8d33ed1bea1d2df33f8aa8a28fd073b4" 
      addtime=aug/28/2022 17:22:10 expires-in=19m17s add-lifetime=24m/30m current-bytes=4121 current-packets=25 replay=128 
[admin@MikroTik] /ip ipsec> /ip firewall connection print where tcp-state~"est" and (src-address="^192.*" or dst-address~"^10.100.1.*:[0-9]+")
Flags: E - expected, S - seen-reply, A - assured, C - confirmed, D - dying, F - fasttrack, s - srcnat, d - dstnat 
 #          PROTOCOL SRC-ADDRESS           DST-ADDRESS           TCP-STATE   TIMEOUT     ORIG-RATE REPL-RATE ORIG-PACKETS REPL-PACKETS      ORIG-BYTES      REPL-BYTES
 0  SAC     tcp      192.168.1.12:48964    10.100.1.6:18888      established 23h51m23s        0bps      0bps           23           18           4 009           3 263
[admin@MikroTik] /ip ipsec> 

可以看到建联是成功的,使用本端客户端测试:

到此,CLI模式配置也大功告成。

五、建联过程中涵盖的报错及其含义

报错

原因

invalid HASH_V1 payload length, decryption failed? could not decrypt payloads message parsing failed

预共享密钥不一致。

parsed IKE_SA_INIT response 0 N(NO_PROP) received NO_PROPOSAL_CHOSEN notify error received AUTHENTICATION_FAILED error notify

IKE协议版本不一致。

received AUTHENTICATION_FAILED error notifyed

协商模式不一致。

IKE IDir xxxx does not match to xxxx

本端标识和远端标识不一致。

IKE sending retransmit 1 of request message ID 0, seq 1

对端网关不响应。

received UNSUPPORTED_CRITICAL_PAYLOAD error notify

创建用户网关时,设置错误的公网IP。

received INVALID_ID_INFORMATION error notify

主模式下感兴趣流不一致。

received HASH payload does not match integrity check failed

野蛮模式下感兴趣流不一致。

parsed INFORMATIONAL_V1 request xxxx HASH N(NO_PROP) received NO_PROPOSAL_CHOSEN error notify

加密算法或认证算法不一致。

ESP:AES_CBC_256/HMAC_SHA1_96/MODP_1024/NO_EXT_SEQ no matching proposal found, sending NO_PROPOSAL_CHOSEN

DH分组不一致。

建联过程中遇到各类报错,首先可以对比两端参数配置、算法等是否完全保持一致,常见问题及报错含义部分,可参照腾讯云阿里云官方文档说明。

最后,附上PDF版本:

本站文章资源均来源自网络,除非特别声明,否则均不代表站方观点,并仅供查阅,不作为任何参考依据!
如有侵权请及时跟我们联系,本站将及时删除!
如遇版权问题,请查看 本站版权声明
THE END
分享
二维码
海报
RouterOS(ros)与云上VPC通过IPsec实现内网互通 - 涵盖GUI/CLI两种配置方式
ipsec诞生于20世纪90年代,迄今为止,在实现内网互通解决方案中ipsec都是较为常用的。不少网关设备都会考虑集成ipsec的能力,ros便是如此,它作为一...
<<上一篇
下一篇>>