SWAN之ikev2协议mobike-virtual-ip-nat配置测试

2023-12-19 09:58
文章标签 配置 ip 协议 测试 nat virtual ikev2 swan mobike

本文主要是介绍SWAN之ikev2协议mobike-virtual-ip-nat配置测试，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

本测试主要验证mobike功能，远程用户alice与网关sun建立连接时，首先使用eth1接口的IP地址发起连接，在建立连接之后，禁用eth1，以便连接可更新到eth0接口上。其中alice主机的两个接口与sun网关之间都是可达的，最后再次启用eth1接口，由于开启了最佳路径选择功能（charon.prefer_best_path），连接又回到eth1上。本次测试拓扑如下：

                 eth1            |--------|  192.168.0.50                      | alice  |-------------------------------------------|                 |--------|                                           | |	eth0                                        ||  10.1.0.10                                    ||                                               ||                            eth0               |              eth0                   |------------|         |--------| 192.168.0.1   |------------|  192.168.0.1 |--------|               |------------||  test-br1  |---------|  moon  |---------------|  test-br0  |--------------|  sun   |---------------|  test-br2  ||------------|         |--------|               |------------|              |--------|  eth1         |------------||               eth1                            |                               10.2.0.1             ||             10.1.0.1                          |                                                    ||                                               |                                                    ||                                               |                                                    || 10.1.0.20                    192.168.0.100    |     192.168.0.200                       10.2.0.10  |    |--------|                           |--------|      |      |--------|                                |--------| | venus  |                           |  carol |------|------|  dave  |                                |  bob   | |--------|                           |--------|             |--------|                                |--------|

主机配置

alice的配置文件：ikev2/mobike-virtual-ip-nat/hosts/alice/etc/ipsec.conf，内容如下。这里leftsourceip指定为%config，表示由网关获取虚拟IP地址。

conn mobikeleftsourceip=%configleftcert=aliceCert.pemleftid=alice@strongswan.orgright=PH_IP_SUNrightid=@sun.strongswan.orgrightsubnet=10.2.0.0/16auto=add

alice的配置文件：ikev2/mobike-virtual-ip-nat/hosts/alice/etc/strongswan.conf，内容如下。选项prefer_best_path等于yes，表示在启用MOBIKE支持后，charon将尝试使用最佳的安全连接路径。默认情况下此值为0，即charon将保持当前的连接路径。

charon {load = random nonce aes sha1 sha2 pem pkcs1 curve25519 gmp x509 curl revocation hmac stroke kernel-netlink socket-defaultprefer_best_path = yessyslog {daemon {knl = 2}}
}

sun网关的配置文件：ikev2/mobike-virtual-ip-nat/hosts/sun/etc/ipsec.conf，内容如下。指定为alice主机分配虚拟IP地址10.3.0.3。

conn mobikeleft=PH_IP_SUNleftcert=sunCert.pemleftid=@sun.strongswan.orgleftsubnet=10.2.0.0/16right=%anyrightsourceip=10.3.0.3rightid=alice@strongswan.orgauto=add

测试准备阶段

配置文件：ikev2/mobike-virtual-ip-nat/pretest.dat，内容为通常的ipsec连接的启动语句。另外需要注意的是启用alice的eth1接口，此次测试使用此接口发起连接。位于路径中间的moon路由器，设置NAT规则。

alice::ifup eth1
moon::iptables -t nat -A POSTROUTING -o eth0 -s 10.1.0.0/16 -p udp -j SNAT --to-source PH_IP_MOON:1024-1100
moon::iptables -t nat -A POSTROUTING -o eth0 -s 10.1.0.0/16 -p tcp -j SNAT --to-source PH_IP_MOON:2000-2100

测试阶段

配置文件：ikev2/mobike-virtual-ip-nat/evaltest.dat内容如下。在确认alice主机和sun网关连接建立之后，在主机alice上检查ipsec statusall命令的输出内容，确认10.3.0.3（虚拟IP）到10.2.0.0/16网段的连接，然后使用ping命令测试到bob主机的连通性。

alice::ipsec status 2> /dev/null::mobike.*INSTALLED.*ESP SPIs::YES
sun::  ipsec status 2> /dev/null::mobike.*INSTALLED.*ESP SPIs::YES
alice::ipsec statusall 2> /dev/null::10.3.0.3/32 === 10.2.0.0/16::YES
sun::  ipsec statusall 2> /dev/null::10.2.0.0/16 === 10.3.0.3/32::YES
alice::ping -c 1 PH_IP_BOB::64 bytes from PH_IP_BOB: icmp_.eq=1::YES

接下来，禁用eth1接口，使用ipsec status命令在alice和sun主机上检查连接的建立情况，此时连接在PH_IP_ALICE（10.1.0.10）和PH_IP_SUN（192.168.0.2）之间建立，最后使用ping命令测试到主机bob的连通性。

alice::ifdown eth1::No output expected::NO
alice::sleep 1::No output expected::NO
alice::ipsec status 2> /dev/null::mobike.*ESTABLISHED.*PH_IP_ALICE.*PH_IP_SUN::YES
sun::  ipsec status 2> /dev/null::mobike.*ESTABLISHED.*PH_IP_SUN.*PH_IP_MOON::YES
alice::ipsec status 2> /dev/null::mobike.*INSTALLED.*ESP in UDP SPIs::YES
sun::  ipsec status 2> /dev/null::mobike.*INSTALLED.*ESP in UDP SPIs::YES
alice::ipsec statusall 2> /dev/null::10.3.0.3/32 === 10.2.0.0/16::YES
sun::  ipsec statusall 2> /dev/null::10.2.0.0/16 === 10.3.0.3/32::YES
alice::ping -c 1 PH_IP_BOB::64 bytes from PH_IP_BOB: icmp_.eq=1::YES

最后，启用eth1接口，可见连接又回到了alice接口eth1的IP地址192.168.0.50和PH_IP_SUN之间。由于配置了虚拟IP地址10.3.0.3，连接变化时，IPsec策略不需要改变。

alice::ifup eth1::No output expected::NO
alice::sleep 1::No output expected::NO
alice::ping -c 1 PH_IP_BOB::64 bytes from PH_IP_BOB: icmp_.eq=1::YES
alice::ipsec status 2> /dev/null::mobike.*ESTABLISHED.*192.168.0.50.*PH_IP_SUN::YES
sun::  ipsec status 2> /dev/null::mobike.*ESTABLISHED.*PH_IP_SUN.*192.168.0.50::YES
alice::ipsec status 2> /dev/null::mobike.*INSTALLED.*ESP SPIs::YES
sun::  ipsec status 2> /dev/null::mobike.*INSTALLED.*ESP SPIs::YES
alice::ipsec statusall 2> /dev/null::10.3.0.3/32 === 10.2.0.0/16::YES
sun::  ipsec statusall 2> /dev/null::10.2.0.0/16 === 10.3.0.3/32::YES

以下为在建立连接的IKE_AUTH消息中，alice主机发送的mobike-virtual-ip-nat的支持，以及额外的IP地址信息，这里是：10.1.0.10（接口eth0的地址）。

在这里插入图片描述

以下为alice主机上strongswan进程的日志信息。在第二次启用eth1接口时，删除eth0之上的虚拟IP地址，并且安装到eth1接口上。增加安全策略，由于此安全策略与之前eth0接口添加的安全策略相同，此处增加引用计数，所以在删除之前out方向的安全策略时，其引用计数不为0，实际上并不删除。使用192.168.0.50（eth1接口）作为和对端192.168.0.2通信的源地址。

alice charon: 11[KNL] 192.168.0.50 is on interface eth1
alice charon: 11[KNL] deleting virtual IP 10.3.0.3
alice charon: 11[KNL] virtual IP 10.3.0.3 installed on eth1
alice charon: 11[KNL] adding policy 10.2.0.0/16 === 10.3.0.3/32 in [priority 375423, refcount 1]
alice charon: 11[KNL] adding policy 10.2.0.0/16 === 10.3.0.3/32 fwd [priority 375423, refcount 1]
alice charon: 11[KNL] policy 10.3.0.3/32 === 10.2.0.0/16 out already exists, increasing refcount
alice charon: 11[KNL] updating policy 10.3.0.3/32 === 10.2.0.0/16 out [priority 375423, refcount 2]
alice charon: 11[KNL] getting a local address in traffic selector 10.3.0.3/32
alice charon: 11[KNL] using host 10.3.0.3
alice charon: 11[KNL] getting iface name for index 4
alice charon: 11[KNL] using 192.168.0.2 as nexthop and eth1 as dev to reach 192.168.0.2/32
alice charon: 11[KNL] deleting policy 10.3.0.3/32 === 10.2.0.0/16 out
alice charon: 11[KNL] policy still used by another CHILD_SA, not removed
alice charon: 11[KNL] not updating policy 10.3.0.3/32 === 10.2.0.0/16 out [priority 375423, refcount 1]
alice charon: 05[KNL] getting iface index for eth1
alice charon: 10[KNL] fe80::5054:ff:fe3b:cd7 appeared on eth1
alice charon: 08[KNL] getting iface index for eth1
alice charon: 08[KNL] creating roam job due to address/link change
alice charon: 08[KNL] using 192.168.0.50 as address to reach 192.168.0.2/32
alice charon: 08[IKE] sending address list update using MOBIKE
alice charon: 08[KNL] using 192.168.0.50 as address to reach 192.168.0.2/32
alice charon: 08[ENC] generating INFORMATIONAL request 6 [ N(ADD_4_ADDR) N(ADD_6_ADDR) N(ADD_6_ADDR) ]
alice charon: 08[KNL] using 192.168.0.50 as address to reach 192.168.0.2/32
alice charon: 08[NET] sending packet: from 192.168.0.50[4500] to 192.168.0.2[4500] (128 bytes)
alice charon: 16[NET] received packet: from 192.168.0.2[4500] to 192.168.0.50[4500] (80 bytes)
alice charon: 16[ENC] parsed INFORMATIONAL response 6 [ ]

strongswan测试版本： 5.8.1

END

这篇关于SWAN之ikev2协议mobike-virtual-ip-nat配置测试的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/511772。

相关文章

Zookeeper安装和配置说明

Zookeeper安装和配置说明

一、Zookeeper的搭建方式 Zookeeper安装方式有三种，单机模式和集群模式以及伪集群模式。 ■ 单机模式：Zookeeper只运行在一台服务器上，适合测试环境； ■ 伪集群模式：就是在一台物理机上运行多个Zookeeper 实例； ■ 集群模式：Zookeeper运行于一个集群上，适合生产环境，这个计算机集群被称为一个“集合体”（ensemble） Zookeeper通过复制来实现
阅读更多...
CentOS7安装配置mysql5.7 tar免安装版

CentOS7安装配置mysql5.7 tar免安装版

一、CentOS7.4系统自带mariadb # 查看系统自带的Mariadb[root@localhost~]# rpm -qa|grep mariadbmariadb-libs-5.5.44-2.el7.centos.x86_64# 卸载系统自带的Mariadb[root@localhost ~]# rpm -e --nodeps mariadb-libs-5.5.44-2.el7
阅读更多...
性能测试介绍

性能测试介绍

性能测试是一种测试方法，旨在评估系统、应用程序或组件在现实场景中的性能表现和可靠性。它通常用于衡量系统在不同负载条件下的响应时间、吞吐量、资源利用率、稳定性和可扩展性等关键指标。 为什么要进行性能测试 通过性能测试，可以确定系统是否能够满足预期的性能要求，找出性能瓶颈和潜在的问题，并进行优化和调整。 发现性能瓶颈：性能测试可以帮助发现系统的性能瓶颈，即系统在高负载或高并发情况下可能出现的问题
阅读更多...
hadoop开启回收站配置

hadoop开启回收站配置

开启回收站功能，可以将删除的文件在不超时的情况下，恢复原数据，起到防止误删除、备份等作用。 开启回收站功能参数说明 （1）默认值fs.trash.interval = 0，0表示禁用回收站；其他值表示设置文件的存活时间。 （2）默认值fs.trash.checkpoint.interval = 0，检查回收站的间隔时间。如果该值为0，则该值设置和fs.trash.interval的参数值相等。
阅读更多...
NameNode内存生产配置

NameNode内存生产配置

Hadoop2.x 系列，配置 NameNode 内存 NameNode 内存默认 2000m ，如果服务器内存 4G ， NameNode 内存可以配置 3g 。在 hadoop-env.sh 文件中配置如下。 HADOOP_NAMENODE_OPTS=-Xmx3072m Hadoop3.x 系列，配置 Nam
阅读更多...
字节面试 | 如何测试RocketMQ、RocketMQ？

字节面试 | 如何测试RocketMQ、RocketMQ？

字节面试：RocketMQ是怎么测试的呢？ 答： 首先保证消息的消费正确、设计逆向用例，在验证消息内容为空等情况时的消费正确性； 推送大批量MQ，通过Admin控制台查看MQ消费的情况，是否出现消费假死、TPS是否正常等等问题。（上述都是临场发挥，但是RocketMQ真正的测试点，还真的需要探讨） 01 先了解RocketMQ 作为测试也是要简单了解RocketMQ。简单来说，就是一个分
阅读更多...
wolfSSL参数设置或配置项解释

wolfSSL参数设置或配置项解释

1. wolfCrypt Only 解释：wolfCrypt是一个开源的、轻量级的、可移植的加密库，支持多种加密算法和协议。选择“wolfCrypt Only”意味着系统或应用将仅使用wolfCrypt库进行加密操作，而不依赖其他加密库。 2. DTLS Support 解释：DTLS（Datagram Transport Layer Security）是一种基于UDP的安全协议，提供类似于
阅读更多...
【Python编程】Linux创建虚拟环境并配置与notebook相连接

【Python编程】Linux创建虚拟环境并配置与notebook相连接

1.创建 使用 venv 创建虚拟环境。例如，在当前目录下创建一个名为 myenv 的虚拟环境： python3 -m venv myenv 2.激活 激活虚拟环境使其成为当前终端会话的活动环境。运行： source myenv/bin/activate 3.与notebook连接 在虚拟环境中，使用 pip 安装 Jupyter 和 ipykernel： pip instal
阅读更多...
【测试】输入正确用户名和密码，点击登录没有响应的可能性原因

【测试】输入正确用户名和密码，点击登录没有响应的可能性原因

目录 一、前端问题 1. 界面交互问题 2. 输入数据校验问题 二、网络问题 1. 网络连接中断 2. 代理设置问题 三、后端问题 1. 服务器故障 2. 数据库问题 3. 权限问题： 四、其他问题 1. 缓存问题 2. 第三方服务问题 3. 配置问题 一、前端问题 1. 界面交互问题 登录按钮的点击事件未正确绑定，导致点击后无法触发登录操作。 页面可能存在
阅读更多...
业务中14个需要进行A/B测试的时刻[信息图]

业务中14个需要进行A/B测试的时刻[信息图]

在本指南中，我们将全面了解有关 A/B测试 的所有内容。 我们将介绍不同类型的A/B测试，如何有效地规划和启动测试，如何评估测试是否成功，您应该关注哪些指标，多年来我们发现的常见错误等等。 什么是A/B测试？ A/B测试（有时称为“分割测试”）是一种实验类型，其中您创建两种或多种内容变体——如登录页面、电子邮件或广告——并将它们显示给不同的受众群体，以查看哪一种效果最好。 本质上，A/B测
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2