Можно ли настроить разделение доступа к пулу IP по пользователям при использовании Strongswan + Debian + IKEv2 с помощью Split Tunneling?

Question

Анжелика

vpn

Можно ли настроить разделение доступа к пулу IP по пользователям при использовании Strongswan + Debian + IKEv2 с помощью Split Tunneling?

Как настроить Strongswan, чтобы пользователь с именем "user1" и паролем "qwerty" имел доступ только к определенным IP-адресам (например, 192.168.30.1, 192.168.30.5, 192.168.20.50) через IKEv2 с помощью EAP конфигурации, чтобы ограничить доступ к сетям? Желательно привести примеры конфигураций или руководств по реализации данного требования.

27 февраля 2024 г. 19:38

Ответы на вопрос 2

Похожие вопросы

Answer 1

Да, можно настроить разделение доступа к пулу IP по пользователям при использовании Strongswan + Debian + IKEv2 с использованием Split Tunneling.

Для настройки такого разделения доступа необходимо создать соответствующие конфигурационные файлы для каждого пользователя. Ниже приведен пример конфигурации для пользователя "user1" с паролем "qwerty", который будет иметь доступ только к определенным IP-адресам через IKEv2:

1. Создайте конфигурационный файл для пользователя "user1" в директории /etc/ipsec.d/users/:

```
nano /etc/ipsec.d/users/user1.conf
```

2. Добавьте следующую конфигурацию в файл user1.conf (замените "192.168.30.1, 192.168.30.5, 192.168.20.50" на нужные IP-адреса):

```
user1 : EAP "qwerty"
  rightsourceip=%dhcp
  rightdns=8.8.8.8,8.8.4.4
  rightsplitdns=yes
  rightsplit=192.168.30.1, 192.168.30.5, 192.168.20.50
```

3. Добавьте следующую запись в файл /etc/ipsec.secrets для аутентификации пользователя "user1":

```
: EAP "qwerty"
```

4. Перезапустите сервис StrongSwan для применения изменений:

```
systemctl restart strongswan
```

После выполнения этих шагов, пользователь "user1" с паролем "qwerty" будет иметь доступ только к определенным IP-адресам через IKEv2 с использованием EAP конфигурации.

Пожалуйста, обратитесь к официальной документации StrongSwan для получения более подробной информации о конфигурации и настройке: https://wiki.strongswan.org/

Answer 2

У меня у каждого юзера свой сертификат (и на той стороне микротик), я раздаю разные IP пулы через настройки микротика. Возможно в шване что-то такое можно замутить, это надо читать его документацию. Мне кажется здесь ключевой момент - у каждого юзера свой сертификат.