SWAN之ikev2协议mobike-nat配置测试

2023-12-19 09:58
文章标签 配置 协议 测试 nat ikev2 swan mobike

本文主要是介绍SWAN之ikev2协议mobike-nat配置测试，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

本测试主要验证mobike-nat功能，远程用户alice与网关sun建立连接时，首先使用eth1接口的IP地址发起连接，在建立连接之后，禁用eth1，以便连接可更新到eth0接口上。其中alice主机的两个接口与sun网关之间都是可达的，alice的eth0接口与sun网关之后有NAT设备moon路由器。此环境中为远程用户配置虚拟IP地址，即使连接地址发送变化，IPsec策略也可保持不变。本次测试拓扑如下：

                 eth1            |--------|  192.168.0.50                      | alice  |-------------------------------------------|                 |--------|                                           | |	eth0                                        ||  10.1.0.10                                    ||                                               ||                            eth0               |              eth0                   |------------|         |--------| 192.168.0.1   |------------|  192.168.0.1 |--------|               |------------||  test-br1  |---------|  moon  |---------------|  test-br0  |--------------|  sun   |---------------|  test-br2  ||------------|         |--------|               |------------|              |--------|  eth1         |------------||               eth1                            |                               10.2.0.1             ||             10.1.0.1                          |                                                    ||                                               |                                                    ||                                               |                                                    || 10.1.0.20                    192.168.0.100    |     192.168.0.200                       10.2.0.10  |    |--------|                           |--------|      |      |--------|                                |--------| | venus  |                           |  carol |------|------|  dave  |                                |  bob   | |--------|                           |--------|             |--------|                                |--------|

主机配置

alice的配置文件：ikev2/mobike-nat/hosts/alice/etc/ipsec.conf，内容如下。这里leftsourceip指定为%config，表示由网关获取虚拟IP地址。

conn mobikeleft=192.168.0.50leftsourceip=%configleftcert=aliceCert.pemleftid=alice@strongswan.orgright=PH_IP_SUNrightid=@sun.strongswan.orgrightsubnet=10.2.0.0/16auto=add

sun网关的配置文件：ikev2/mobike-nat/hosts/sun/etc/ipsec.conf，内容如下。指定为alice主机分配虚拟IP地址10.3.0.3。

conn mobikeleft=PH_IP_SUNleftcert=sunCert.pemleftid=@sun.strongswan.orgleftsubnet=10.2.0.0/16right=%anyrightsourceip=10.3.0.3rightid=alice@strongswan.orgauto=add

测试准备阶段

配置文件：ikev2/mobike-nat/pretest.dat，内容为通常的ipsec连接的启动语句。另外需要注意的是启用alice的eth1接口，此次测试使用此接口发起连接。位于路径中间的moon路由器，设置NAT规则。

alice::ifup eth1
moon::iptables -t nat -A POSTROUTING -o eth0 -s 10.1.0.0/16 -p udp -j SNAT --to-source PH_IP_MOON:1024-1100
moon::iptables -t nat -A POSTROUTING -o eth0 -s 10.1.0.0/16 -p tcp -j SNAT --to-source PH_IP_MOON:2000-2100

测试阶段

配置文件：ikev2/mobike-nat/evaltest.dat内容如下。在确认alice主机和sun网关连接建立之后，在主机alice上检查ipsec statusall命令的输出内容，确认10.3.0.3（虚拟IP）到10.2.0.0/16网段的连接，然后使用ping命令测试到bob主机的连通性。

alice::ipsec status 2> /dev/null::mobike.*ESTABLISHED.*PH_IP_ALICE1.*PH_IP_SUN::YES
sun::  ipsec status 2> /dev/null::mobike.*ESTABLISHED.*PH_IP_SUN.*PH_IP_ALICE1::YES
alice::ipsec statusall 2> /dev/null::10.3.0.3/32 === 10.2.0.0/16::YES
sun::  ipsec statusall 2> /dev/null::10.2.0.0/16 === 10.3.0.3/32::YES
alice::ping -c 1 PH_IP_BOB::64 bytes from PH_IP_BOB: icmp_.eq=1::YES

接下来，禁用eth1接口，使用ipsec status命令在alice和sun主机上检查连接的建立情况，最后使用ping命令测试到主机bob的连通性。

alice::ifdown eth1::No output expected::NO
alice::sleep 1::No output expected::NO
alice::ipsec status 2> /dev/null::mobike.*ESTABLISHED.*PH_IP_ALICE.*PH_IP_SUN::YES
sun::  ipsec status 2> /dev/null::mobike.*ESTABLISHED.*PH_IP_SUN.*PH_IP_MOON::YES
alice::ipsec statusall 2> /dev/null::10.3.0.3/32 === 10.2.0.0/16::YES
sun::  ipsec statusall 2> /dev/null::10.2.0.0/16 === 10.3.0.3/32::YES
alice::ping -c 1 PH_IP_BOB::64 bytes from PH_IP_BOB: icmp_.eq=1::YES

以下为在建立连接的IKE_AUTH消息中，alice主机发送的mobike-nat的支持，以及额外的IP地址信息，这里是：10.1.0.10（接口eth0的地址）。

在这里插入图片描述

以下为alice主机上strongswan进程的日志信息。在检测到eth1禁用，其地址192.168.0.50（IPv6：fe80::5054:ff:fe3b:cd7）不可用之后，查找到对端地址192.168.0.2（sun网关）的路由，重新选择可达的源地址。这里选择的是eth0接口的地址10.1.0.10，由于对端sun网关通告了两个地址：192.168.0.2和10.2.0.1，分别检测alice到这两个地址的路径。最后，向192.168.0.2发送地址更新消息。

地址更新消息中将发送NAT-D字段，以检测是否有NAT设备，由于在此路径上有NAT设备moon路由器，发送NAT保活报文。

alice charon: 12[KNL] 192.168.0.50 disappeared from eth1
alice charon: 09[KNL] interface eth1 deactivated
alice charon: 14[KNL] fec0::5 disappeared from eth1
alice charon: 15[KNL] fe80::5054:ff:fe3b:cd7 disappeared from eth1
alice charon: 16[IKE] old path is not available anymore, try to find another
alice charon: 16[IKE] looking for a route to 192.168.0.2 ...
alice charon: 16[IKE] requesting address change using MOBIKE
alice charon: 16[ENC] generating INFORMATIONAL request 2 [ ]
alice charon: 16[IKE] checking path 10.1.0.10[4500] - 192.168.0.2[4500]
alice charon: 16[NET] sending packet: from 10.1.0.10[4500] to 192.168.0.2[4500] (80 bytes)
alice charon: 16[IKE] checking path 10.1.0.10[4500] - 10.2.0.1[4500]
alice charon: 16[NET] sending packet: from 10.1.0.10[4500] to 10.2.0.1[4500] (80 bytes)
alice charon: 09[NET] received packet: from 192.168.0.2[4500] to 10.1.0.10[4500] (80 bytes)
alice charon: 09[ENC] parsed INFORMATIONAL response 2 [ ]
alice charon: 09[KNL] error uninstalling route installed with policy 10.3.0.3/32 === 10.2.0.0/16 out
alice charon: 09[ENC] generating INFORMATIONAL request 3 [ N(UPD_SA_ADDR) N(NATD_S_IP) N(NATD_D_IP) N(COOKIE2) N(ADD_6_ADDR) ]
alice charon: 09[NET] sending packet: from 10.1.0.10[4500] to 192.168.0.2[4500] (192 bytes)
alice charon: 11[NET] received packet: from 192.168.0.2[4500] to 10.1.0.10[4500] (160 bytes)
alice charon: 11[ENC] parsed INFORMATIONAL response 3 [ N(NATD_S_IP) N(NATD_D_IP) N(COOKIE2) ]
alice charon: 11[IKE] local host is behind NAT, sending keep alives

下图为报文中的地址更新消息

在这里插入图片描述

以下为alice主机上执行ipsec statusall的输出信息。可见由于使用了虚拟IP地址10.3.0.3，即使连接地址发送改变，ESP隧道保持不变，变化前后的SPI值相同。

Connections:mobike:  192.168.0.50...192.168.0.2  IKEv2mobike:   local:  [alice@strongswan.org] uses public key authenticationmobike:    cert:  "C=CH, O=strongSwan Project, OU=Sales, CN=alice@strongswan.org"mobike:   remote: [sun.strongswan.org] uses public key authenticationmobike:   child:  dynamic === 10.2.0.0/16 TUNNEL
Security Associations (1 up, 0 connecting):mobike[1]: ESTABLISHED 1 second ago, 10.1.0.10[alice@strongswan.org]...192.168.0.2[sun.strongswan.org]mobike[1]: IKEv2 SPIs: 29154b69c025bb3c_i* a1cba9e6fead4f44_r, public key reauthentication in 53 minutesmobike[1]: IKE proposal: AES_CBC_128/HMAC_SHA2_256_128/PRF_HMAC_SHA2_256/CURVE_25519mobike{1}:  INSTALLED, TUNNEL, reqid 1, ESP in UDP SPIs: ca44b6bc_i cdc82104_omobike{1}:  AES_CBC_128/HMAC_SHA2_256_128, 168 bytes_i (2 pkts, 0s ago), 168 bytes_o (2 pkts, 0s ago), rekeying in 15 minutesmobike{1}:   10.3.0.3/32 === 10.2.0.0/16

以下为alice主机上的安全策略信息。可见由于使用了虚拟IP地址10.3.0.3，即使连接地址发送改变，也无需删除或添加新策略，只需对策略的tmpl进行适当修改即可。

src 10.3.0.3/32 dst 10.2.0.0/16 uid 0dir out action allow index 633 priority 375423 ptype main share any flag  (0x00000000)lifetime config:tmpl src 10.1.0.10 dst 192.168.0.2proto esp spi 0xcdc82104(3452444932) reqid 1(0x00000001) mode tunnellevel required share anyenc-mask ffffffff auth-mask ffffffff comp-mask ffffffff
src 10.2.0.0/16 dst 10.3.0.3/32 uid 0dir in action allow index 656 priority 375423 ptype main share any flag  (0x00000000)tmpl src 192.168.0.2 dst 10.1.0.10proto esp spi 0x00000000(0) reqid 1(0x00000001) mode tunnellevel required share anyenc-mask ffffffff auth-mask ffffffff comp-mask ffffffff

strongswan测试版本： 5.8.1

END

这篇关于SWAN之ikev2协议mobike-nat配置测试的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/511771。

相关文章

Zookeeper安装和配置说明

Zookeeper安装和配置说明

一、Zookeeper的搭建方式 Zookeeper安装方式有三种，单机模式和集群模式以及伪集群模式。 ■ 单机模式：Zookeeper只运行在一台服务器上，适合测试环境； ■ 伪集群模式：就是在一台物理机上运行多个Zookeeper 实例； ■ 集群模式：Zookeeper运行于一个集群上，适合生产环境，这个计算机集群被称为一个“集合体”（ensemble） Zookeeper通过复制来实现
阅读更多...
CentOS7安装配置mysql5.7 tar免安装版

CentOS7安装配置mysql5.7 tar免安装版

一、CentOS7.4系统自带mariadb # 查看系统自带的Mariadb[root@localhost~]# rpm -qa|grep mariadbmariadb-libs-5.5.44-2.el7.centos.x86_64# 卸载系统自带的Mariadb[root@localhost ~]# rpm -e --nodeps mariadb-libs-5.5.44-2.el7
阅读更多...
性能测试介绍

性能测试介绍

性能测试是一种测试方法，旨在评估系统、应用程序或组件在现实场景中的性能表现和可靠性。它通常用于衡量系统在不同负载条件下的响应时间、吞吐量、资源利用率、稳定性和可扩展性等关键指标。 为什么要进行性能测试 通过性能测试，可以确定系统是否能够满足预期的性能要求，找出性能瓶颈和潜在的问题，并进行优化和调整。 发现性能瓶颈：性能测试可以帮助发现系统的性能瓶颈，即系统在高负载或高并发情况下可能出现的问题
阅读更多...
hadoop开启回收站配置

hadoop开启回收站配置

开启回收站功能，可以将删除的文件在不超时的情况下，恢复原数据，起到防止误删除、备份等作用。 开启回收站功能参数说明 （1）默认值fs.trash.interval = 0，0表示禁用回收站；其他值表示设置文件的存活时间。 （2）默认值fs.trash.checkpoint.interval = 0，检查回收站的间隔时间。如果该值为0，则该值设置和fs.trash.interval的参数值相等。
阅读更多...
NameNode内存生产配置

NameNode内存生产配置

Hadoop2.x 系列，配置 NameNode 内存 NameNode 内存默认 2000m ，如果服务器内存 4G ， NameNode 内存可以配置 3g 。在 hadoop-env.sh 文件中配置如下。 HADOOP_NAMENODE_OPTS=-Xmx3072m Hadoop3.x 系列，配置 Nam
阅读更多...
字节面试 | 如何测试RocketMQ、RocketMQ？

字节面试 | 如何测试RocketMQ、RocketMQ？

字节面试：RocketMQ是怎么测试的呢？ 答： 首先保证消息的消费正确、设计逆向用例，在验证消息内容为空等情况时的消费正确性； 推送大批量MQ，通过Admin控制台查看MQ消费的情况，是否出现消费假死、TPS是否正常等等问题。（上述都是临场发挥，但是RocketMQ真正的测试点，还真的需要探讨） 01 先了解RocketMQ 作为测试也是要简单了解RocketMQ。简单来说，就是一个分
阅读更多...
wolfSSL参数设置或配置项解释

wolfSSL参数设置或配置项解释

1. wolfCrypt Only 解释：wolfCrypt是一个开源的、轻量级的、可移植的加密库，支持多种加密算法和协议。选择“wolfCrypt Only”意味着系统或应用将仅使用wolfCrypt库进行加密操作，而不依赖其他加密库。 2. DTLS Support 解释：DTLS（Datagram Transport Layer Security）是一种基于UDP的安全协议，提供类似于
阅读更多...
【Python编程】Linux创建虚拟环境并配置与notebook相连接

【Python编程】Linux创建虚拟环境并配置与notebook相连接

1.创建 使用 venv 创建虚拟环境。例如，在当前目录下创建一个名为 myenv 的虚拟环境： python3 -m venv myenv 2.激活 激活虚拟环境使其成为当前终端会话的活动环境。运行： source myenv/bin/activate 3.与notebook连接 在虚拟环境中，使用 pip 安装 Jupyter 和 ipykernel： pip instal
阅读更多...
【测试】输入正确用户名和密码，点击登录没有响应的可能性原因

【测试】输入正确用户名和密码，点击登录没有响应的可能性原因

目录 一、前端问题 1. 界面交互问题 2. 输入数据校验问题 二、网络问题 1. 网络连接中断 2. 代理设置问题 三、后端问题 1. 服务器故障 2. 数据库问题 3. 权限问题： 四、其他问题 1. 缓存问题 2. 第三方服务问题 3. 配置问题 一、前端问题 1. 界面交互问题 登录按钮的点击事件未正确绑定，导致点击后无法触发登录操作。 页面可能存在
阅读更多...
业务中14个需要进行A/B测试的时刻[信息图]

业务中14个需要进行A/B测试的时刻[信息图]

在本指南中，我们将全面了解有关 A/B测试 的所有内容。 我们将介绍不同类型的A/B测试，如何有效地规划和启动测试，如何评估测试是否成功，您应该关注哪些指标，多年来我们发现的常见错误等等。 什么是A/B测试？ A/B测试（有时称为“分割测试”）是一种实验类型，其中您创建两种或多种内容变体——如登录页面、电子邮件或广告——并将它们显示给不同的受众群体，以查看哪一种效果最好。 本质上，A/B测
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2