建立MikroTik与Barracuda之间的IPSec VPN

Thursday, December 28th, 2017 Posted in Linux | No Comments »

上次还在吐槽Unifi USG的IPSec VPN功能弱，结果现在来了一个更弱的。 或许不是弱，只是MikroTik对IPSec的解读与别家不同，导致我对MikroTik的误会很深。 首先，就是MikroTik应该是不支持IKEv2的，起码我使用的v6.27版是不支持的。 这样，Barracuda这边也就只能使用IKEv1来进行配置。具体配置方式，请参考官方配置文档。 这里推荐的配置参数是： Phase 1 Encyption: AES256 Hash Meth.: MD5 DH-Group: Group 14 Phase 2 Encyption: AES256 Has Meth.: MD5 DH-Group: Group 14 Enable Perfect Forward Secrecy: 勾选 Local Networks Local IKE Gateway: Barracuda的外网IP Remote Networks Remote IKE Gateway: MikroTik的固定IP，如果没有固定IP，也可以使用域名，但是不能填入0.0.0.0/0 Identify Identification Type: Shared Secret Peer Identification Shared Secret: 任意字符串，在MikroTik中也要用到 MikroTik的设置是最麻烦的，特别是Tunnel的设置。MikroTik不像其他工具，填入相关的IP地址段后，可以自动生成Tunnel，而这里必须一个一个的手功建立。 依次点击： IP -- IPSec 点击： Peers 点击 Add New Address: 填入Barracuda的外网IP，与上面的Local ...

建立Unifi USG到Barracuda Firewall的IPSec VPN

Monday, December 25th, 2017 Posted in Linux, networking | No Comments »

首先就是Barracuda设置，这里我们选用IKE2，具体的设置可以参考官方配置： 这里，我们要修改的几处： Authentication Authentication Method: 选择Pre-shared key Shared Secred : 就是Unifi里面的Pre-Shared Key Phase 1 Encryption: 选择 AES256 Hash: 选择默认的MD5 DH-Group: 选择Group 2（不知道为什么，Group 14总是不成功) Phase 2 Encrypton: 选择AES256 Hash: 选择MD5 DH-Group: 选择Disable PFS Network Settings Advanced: 如果有多网段广播，必须勾选One VPN Tunnel per Subnet Pair Network Local Local ID: 留空 Remote ID： 留空 接下来就是Unifi ...

使用爱快路由建立到亚马逊云的IPSec VPN

Sunday, December 24th, 2017 Posted in Linux | No Comments »

最近在测试AWS云中国区服务，然后发现国内目前居然还不能直接使用IPSec VPN接口，具体原因不明，但是官方已经提供了解决方案。 官方的解决方案要求使用Cisco，实测同样的参数，使用爱快其实也是可以连接的。 由于官方的OpenSWAN使用的ike是aes128-sha1;modp1024，而phase2alg是aes128-sha1 [crayon-5e23d76314752034105113/] 个人觉得安全等级比较弱。所以我建议改ike为aes256-md5;modp2048，改phase2alg为aes256-md5 [crayon-5e23d76314758282714974/] 爱快端的设置如下： 依次点击 “服务中心” -- “VPN服务” -- “IPSec VPN” 然后点击下方的 “添加” 然后依次按自己的情况填入以下情况： 状态： 勾选启用 名称：任何填入字符串（建议有一定标示意义，比如"office-2-aws" 对方IP/域名：填入AWS外网IP（官方示例的则是EIP：54.223.152.218） 本地子网：填入你本地的IP地址段（官方示例的则是Cisco端的内网段，10.1.2.0/24） 对方子网：填入你要访问的AWS地址段（官方示例中的192.168.2.0/24） 线路：根据自己的要求选择，一般情况下选自动即可，除非你有多个公网 IKE版本: 选择“IKEv1” IKE协商模式： 选择“主模式” IKE存活时间：默认的3即可 IKE提议：依次按ike参数选（不修改官方示例参数则选AES128-SHA1-MODP1024，我则是选AES256-MD5-MODP2048） 认证方式：请选择“共享密钥” 预共享密钥：填入你的共享密钥（官方示例中是“aws123”，建议修改为复杂一点的长一点的字符串） ...

CodeCombat相关： 安息之云山峰 峰会之门

Thursday, December 14th, 2017 Posted in Linux | No Comments »

Python过关代码 [crayon-5e23d76314aa8227173017/]