五十知天命!添命: 安裝 ikev2 VPN on Ubuntu 20.04

一、前言:

VPN 主要目的不是要做違法之事，而是要連往某些有限制拜訪來源或是有安全性限制網域時的橋樑，既然是要連往具有嚴格安全性管制網域自然在 VPN 的通訊協定上必須要使用一種安全性較高的 VPN 協定，傳統的 PPTP/L2TP 雖有安全性，但並不足夠安全。近幾年屬於 IPSec[1] 的 ikev2 (Internet Key Exchange version 2) [2] 是一個較為普及通用的加密的VPN 通訊協定。至於 ikev2 是如何運作, 可以參考 ARAVIND .S 這篇 blog 的介紹[3]。

二、安裝 ikev2 VPN server @ Ubuntu 20.04

目前許多作業系統都可以安裝 ikev2 VPN server (包含 windows server [4]), 在此我參考 cloud infrastructure service 這篇文章進行安裝[5]。

1. 先更新系統上的 packages 保持在最新的版本
sudo apt-get update
sudo apt-get upgrade

2. 修改 /etc/sysctl.conf 讓 IP 能夠做 forward (因為做VPN 就想像是多一張虛擬網卡)，editor 用 vi 或 nano 都可以。
sudo nano /etc/sysctl.conf

上面白色字的3行原來是有 mark 註解的，將它們拿掉。

3. 重新啟動 sysctl
sudo sysctl -f

4. 安裝 StrongSwan VPN
支援 ikev2 的服務有很多[2]，但目前用的較多的為StrongSwan[6]，我們透過 apt-get 安裝它及相關套件。
sudo apt-get install strongswan strongswan-pki libcharon-extra-plugins libcharon-extauth-plugins libstrongswan-extra-plugins libtss2-tcti-tabrmd-dev

5. 安裝憑證授權機構(Certificate Authority, CA)與證書(Certificate)

(1). 產生所需目錄與儲存CA與證書
sudo mkdir -p /root/pki/{cacerts,certs,private}

(2). 產生 root 金鑰以便等會簽署CA
sudo pki --gen --type rsa --size 4096 --outform pem > /root/pki/private/ca-key.pem

(3). 使用上面金鑰產生 root CA
sudo pki --self --ca --lifetime 3650 --in /root/pki/private/ca-key.pem --type rsa --dn "CN=VPN root CA" --outform pem > /root/pki/cacerts/ca-cert.pem

(4). 簽署給 VPN server 用的證書與金鑰
sudo pki --gen --type rsa --size 4096 --outform pem > /root/pki/private/server-key.pem

(5). 使用之前 CA key 簽署 VPN server 證書, IP 用你 VPN server 的IP(這裏用xxx.xxx.xxx.xxx 取代。
sudo pki --pub --in /root/pki/private/server-key.pem --type rsa | pki --issue --lifetime 1825 --cacert /root/pki/cacerts/ca-cert.pem --cakey /root/pki/private/ca-key.pem --dn "CN=xxx.xxx.xxx.xxx" --san xxx.xxx.xxx.xxx --flag serverAuth --flag ikeIntermediate --outform pem > /root/pki/certs/server-cert.pem