Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Installer un VPN (IKEv2) sur un VPS

Flo-X

DISCLAIMER: L'installation de ce logiciel requiert une modification relativement profonde de la distribution et du noyau IP, une mauvaise manipulation pourrait entrainer le dysfonctionnement partiel ou complet du VPS ne pouvant être résolu que par une réinstallation complète de celui-ci. Ne continuez qu'en ayant compris et accepté ces risques.

Installation de StrongSwan

Mise a jour des repo: apt update
Installation du logiciel et de quelques dépendances:
apt install strongswan strongswan-pki libcharon-extra-plugins libcharon-extauth-plugins ufw

Création d'une autorité de certification

Un serveur IKEv2 requiert un certificat pour s'identifier auprès de ses clients.

Création d'un dossier temporaire: mkdir -p ~/pki/{cacerts,certs,private} && chmod 700 ~/pki
Génération d'une clé: pki --gen --type rsa --size 4096 --outform pem > ~/pki/private/ca-key.pem
Création de l'autorité de Certfication racine: pki --self --ca --lifetime 3650 --in ~/pki/private/ca-key.pem --type rsa --dn "CN=My VPN" --outform pem > ~/pki/cacerts/ca-cert.pem

Flo-X

Génération d'un certificat pour le serveur VPN

Génération d'une clé privée: pki --gen --type rsa --size 4096 --outform pem > ~/pki/private/server-key.pem
Si un nom de domaine est utilisée:
pki --pub --in ~/pki/private/server-key.pem --type rsa \ | pki --issue --lifetime 1825 \ --cacert ~/pki/cacerts/ca-cert.pem \ --cakey ~/pki/private/ca-key.pem \ --dn "CN=%DOMAINE%" --san @%DOMAINE% \ --flag serverAuth --flag ikeIntermediate --outform pem \ > ~/pki/certs/server-cert.pem

Flo-X

Si une adresse IP (sans nom de domain) est utilisée:

pki --pub --in ~/pki/private/server-key.pem --type rsa \
    | pki --issue --lifetime 1825 \
        --cacert ~/pki/cacerts/ca-cert.pem \
        --cakey ~/pki/private/ca-key.pem \
        --dn "CN=%IP% --san @%IP% --san %IP% \
        --flag serverAuth --flag ikeIntermediate --outform pem \
    >  ~/pki/certs/server-cert.pem

%DOMAINE% et %IP% doivent évidemment être remplacé par les valeurs vous concernant.

Deplacement des fichiers: cp -r ~/pki/* /etc/ipsec.d/

Flo-X

Configuration de StrongSwan

Déplacement des fichiers de configuration originaux: mv /etc/ipsec.conf{,.original}
Création de la configuration nécessaire: nano /etc/ipsec.conf

Mettez-y ceci:

config setup
    charondebug="ike 1, knl 1, cfg 0"
    uniqueids=no

conn ikev2-vpn
    auto=add
    compress=no
    type=tunnel
    keyexchange=ikev2
    fragmentation=yes
    forceencaps=yes
    dpdaction=clear
    dpddelay=300s
    rekey=no
    left=%any
    leftid=%DOMAINE ou IP%
    leftcert=server-cert.pem
    leftsendcert=always
    leftsubnet=0.0.0.0/0
    right=%any
    rightid=%any
    rightauth=eap-mschapv2
    rightsourceip=10.10.10.0/24
    rightdns=1.1.1.1,1.0.0.1
    rightsendcert=never
    eap_identity=%identity
    ike=chacha20poly1305-sha512-curve25519-prfsha512,aes256gcm16-sha384-prfsha384-ecp384,aes256-sha1-modp1024,aes128-sha1-modp1024,3des-sha1-modp1024!
    esp=chacha20poly1305-sha512,aes256gcm16-ecp384,aes256-sha256,aes256-sha1,3des-sha1!

IMPORTANT: Si vous utilisez un nom de domaine, ajoutez "@" avant celui-ci.

Sauvegardez puis fermer l'éditeur nano.

Flo-X

Configuration de l'authentification

Ouvrir le fichier "secret": nano /etc/ipsec.secrets
Ajouter ceci: : RSA "server-key.pem"
Puis une ligne par utilisateur: USERNAME : EAP "PASSWORD"
Redémarrer le service: systemctl restart strongswan-starter

Flo-X

Configuration du pare-feu et de la redirection du noyau IP

Attention: Cette partie va activer un pare-feu (UFW), il est nécessaire d'autoriser tout les ports qui sont utilisé par d'autres services de votre VPS, sans quoi il pourrait etre innacessible.

Autoriser OpenSSH (ABSOLUMENT NECESSAIRE): ufw allow OpenSSH && ufw allow 22
Ajouter une règle pour autoriser le trafic UDP aux ports IPSec standard: ufw allow 500,4500/udp
Modification des règles de routing: nano /etc/ufw/before.rules

AVANT le bloc "*filtre", insérer ces lignes:

*nat
-A POSTROUTING -s 10.10.10.0/24 -o eth0 -m policy --pol ipsec --dir out -j ACCEPT
-A POSTROUTING -s 10.10.10.0/24 -o eth0 -j MASQUERADE
COMMIT

*mangle
-A FORWARD --match policy --pol ipsec --dir in -s 10.10.10.0/24 -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1361:1536 -j TCPMSS --set-mss 1360
COMMIT

et ceci a la fin du bloc:

-A ufw-before-forward --match policy --pol ipsec --dir in --proto esp -s 10.10.10.0/24 -j ACCEPT
-A ufw-before-forward --match policy --pol ipsec --dir out --proto esp -d 10.10.10.0/24 -j ACCEPT

Fermer l'éditeur nano en enregistrant les modifications

Flo-X

Modifier le reglès du kernel: nano /etc/ufw/sysctl.conf

Ajoutez ces lignes à la FIN du fichier:

net/ipv4/ip_forward=1
net/ipv4/conf/all/accept_redirects=0
net/ipv4/conf/all/send_redirects=0
net/ipv4/ip_no_pmtu_disc=1

Fermer l'éditeur nano en enregistrant les modifications
Activation d'UFW: ufw enable

Le Serveur IKEv2 est maintenant actif !

Flo-X

Se connecter au VPN

Pour vous connecter, vous devez d'abord ajouter le certificat racine de confiance au registre des certificat du client, celui-ci est disponible avec la commande: cat /etc/ipsec.d/cacerts/ca-cert.pem
Vous devrez ensuite ajouter une configuration VPN en authentification EAP

Exemple via Windows Powershell:

Ajout du certificat:
Import-Certificate -CertStoreLocation cert:\LocalMachine\Root\ -FilePath C:\path\to\cert.pem
Ajout de la connexion VPN:
Add-VpnConnection -Name "VPN Connection" -ServerAddress "%DOMAINE ou IP%" -TunnelType "IKEv2" -AuthenticationMethod "EAP" -EncryptionLevel "Maximum" -RememberCredential