使用 Strongswan IPSec 的 Azure 站点到站点提案答案

【问题标题】：Azure site to site proposals with Strongswan IPSec使用 Strongswan IPSec 的 Azure 站点到站点提案
【发布时间】：2022-10-06 20:28:39
【问题描述】：

我在这里尝试将 Linux Ubuntu VPC 机器连接到 Azure Cloud 网络接口，唯一我不知道的是如何在我的最后配置我的 IKE 和 ESP 以匹配以下 -

IKEv2 加密 |GCMAES256、AES256

IKEv2 完整性 |GCMAES256、SHA384、SHA256、SHA1

DH 集团 |DHGroup2

IPsec 加密 |GCMAES256、AES256

IPsec 完整性 |GCMAES256、SHA256

PFS 集团 |无、PFS24、ECP384、ECP256、PFS2048、PFS2、PFS1

到目前为止我尝试过的每一个变化

#ike=chacha20poly1305-sha512-curve25519-prfsha512,aes256gcm16-sha384-prfsha384-ecp384,aes256-sha1-modp1024,aes128-sha1-modp1024,3des-sha1-modp1024! 
#ike=3des-sha1-modp1024! 
ike=aes256-sha256-modp1024,aes256-sha1-modp1024! 
#esp=chacha20poly1305-sha512,aes256gcm16-ecp384,aes256-sha256,aes256-sha1,3des-sha1! 
#esp=aes256-sha256-modp1024! 
esp=aes256-sha256-modp1024!

我试图从 -> https://docs.strongswan.org/docs/5.9/config/IKEv2CipherSuites.html 跟踪和破译东西，但我不知道要使用哪些

标签： azure encryption vpn ipsec strongswan

【解决方案1】：

您可以使用以下给定密钥交换、散列、身份验证和加密算法或密码套件的组合，“Strongswan”允许不同的客户端使用: -

ike=chacha20poly1305-sha512-curve25519-prfsha512,aes256gcm16-sha384-prfsha384-ecp384,aes256-sha1-modp1024,aes128-sha1-modp1024,3des-sha1-modp1024!

esp=chacha20poly1305-sha512,aes256gcm16-ecp384,aes256-sha256,aes256-sha1,3des-sha1！

Ensure that the ‘IPSec.conf.inc’ in the ubuntu VM is configured with the above stated cipher suites since according to the link that you have given for ‘Strongswan’, the IKEv2 encryption cipher suite to be used should have encryption ‘x b w o g a’ scheme for the Ubuntu Linux VM’s VPN client.

• 此外，请确保使用“商业国家安全算法套件”它指定了如下给出的算法参数： -

Encryption
AES with 256-bit key length (aes256gcm16 or aes256)

Key Exchange
ECDH with NIST P-384 curve (ecp384)
DH with at least 3072-bit modulus (modp3072 or higher)

Pseudo-Random Function/Integrity Protection
SHA-384 (e.g. prfsha384 or sha384 if not using AES in GCM mode)

Digital Signatures
ECDSA with NIST P-384 curve
RSA with at least 3072-bit modulus

这将包括您通过 Azure 云网络接口声明的所有必需的加密和算法参数。

• 另外，请参考下图表示 IPSec 网关在主机到主机场景中的实现，清楚地显示了 IPSec VPN 密钥交换实现场景: -

请参阅以下链接以获取更多信息：-

https://www.digitalocean.com/community/tutorials/how-to-set-up-an-ikev2-vpn-server-with-strongswan-on-ubuntu-20-04

https://sysadmins.co.za/setup-a-site-to-site-ipsec-vpn-with-strongswan-on-ubuntu/

【讨论】：