Red Hat Training

A Red Hat training course is available for RHEL 8

Capítulo 14. Configuração de uma conexão VPN

Esta seção explica como configurar uma conexão de rede privada virtual (VPN).

Uma VPN é uma forma de conexão a uma rede local pela Internet. IPsec fornecido por Libreswan é o método preferido para criar uma VPN. Libreswan é um espaço do usuário IPsec implementação para VPN. Uma VPN permite a comunicação entre sua LAN, e outra LAN remota, através da criação de um túnel através de uma rede intermediária, como a Internet. Por razões de segurança, um túnel VPN sempre usa autenticação e criptografia. Para operações criptográficas, Libreswan utiliza a biblioteca NSS.

14.1. Configuração de uma conexão VPN com o centro de controle

Este procedimento descreve como configurar uma conexão VPN usando control-center.

Pré-requisitos

  • O pacote NetworkManager-libreswan-gnome está instalado.

Procedimento

  1. Pressione a tecla Super, digite Settings, e pressione Enter para abrir o aplicativo control-center.
  2. Selecione a entrada Network à esquerda.
  3. Clique no ícone .
  4. Selecione VPN.
  5. Selecione a entrada do menu Identity para ver as opções básicas de configuração:

    General

    Gateway - O nome ou endereço IP do gateway VPN remoto.

    Authentication

    Type

    • IKEv2 (Certificate)- o cliente é autenticado por certificado. É mais seguro (padrão).
    • IKEv1 (XAUTH) - o cliente é autenticado por nome de usuário e senha, ou por uma chave pré-compartilhada (PSK).

      Os seguintes ajustes de configuração estão disponíveis na seção Advanced:

      Figura 14.1. Opções avançadas de uma conexão VPN

      networking vpn advanced options
      Atenção

      Ao configurar uma conexão VPN baseada em IPsec usando o aplicativo gnome-control-center, o diálogo Advanced exibe a configuração, mas não permite nenhuma mudança. Como conseqüência, os usuários não podem alterar nenhuma opção IPsec avançada. Utilize as ferramentas nm-connection-editor ou nmcli para realizar a configuração das propriedades avançadas.

      Identification

    • Domain - Se necessário, digite o Nome do Domínio.

      Security

    • Phase1 Algorithms - corresponde ao parâmetro ike Libreswan - digite os algoritmos a serem utilizados para autenticar e configurar um canal criptografado.
    • Phase2 Algorithms - corresponde ao parâmetro esp Libreswan - digite os algoritmos a serem utilizados para as negociações IPsec.

      Verifique o campo Disable PFS para desligar o Perfect Forward Secrecy (PFS) para garantir a compatibilidade com servidores antigos que não suportam PFS.

    • Phase1 Lifetime - corresponde ao parâmetro ikelifetime Libreswan - quanto tempo a chave utilizada para criptografar o tráfego será válida.
    • Phase2 Lifetime - corresponde ao parâmetro salifetime Libreswan - quanto tempo uma determinada instância de uma conexão deve durar antes de expirar.

      Observe que a chave de criptografia deve ser mudada de tempos em tempos por razões de segurança.

    • Remote network - corresponde ao parâmetro rightsubnet Libreswan - a rede remota privada de destino que deve ser alcançada através da VPN.

      Verifique o campo narrowing para permitir o estreitamento. Observe que ele só é eficaz nas negociações do IKEv2.

    • Enable fragmentation - corresponde ao parâmetro fragmentation Libreswan - permitir ou não a fragmentação do IKE. Os valores válidos são yes (padrão) ou no.
    • Enable Mobike - corresponde ao parâmetro mobike Libreswan - se permitir a Mobilidade e o Protocolo Multihoming (MOBIKE, RFC 4555) para permitir uma conexão para migrar seu endpoint sem a necessidade de reiniciar a conexão do zero. Isto é usado em dispositivos móveis que comutam entre conexões com fio, sem fio, ou de dados móveis. Os valores são no (padrão) ou yes.
  6. Selecione a entrada do menu IPv4:

    IPv4 Method

    • Automatic (DHCP) - Escolha esta opção se a rede à qual você está se conectando usar anúncios de Roteador (RA) ou um servidor DHCP para atribuir endereços dinâmicos IP.
    • Link-Local Only - Escolha esta opção se a rede à qual você está se conectando não tiver um servidor DHCP e você não quiser atribuir endereços IP manualmente. Endereços aleatórios serão atribuídos de acordo com RFC 3927 com prefixo 169.254/16.
    • Manual - Escolha esta opção se você quiser atribuir endereços IP manualmente.
    • Disable - IPv4 está desativado para esta conexão.

      DNS

      Na seção DNS, quando Automatic é ON, mude-o para OFF para inserir o endereço IP de um servidor DNS que você deseja usar separando os IPs por vírgula.

      Routes

      Note que na seção Routes, quando Automatic é ON, são usadas rotas do DHCP, mas também é possível acrescentar rotas estáticas adicionais. Quando OFF, somente rotas estáticas são usadas.

    • Address - Digite o endereço IP de uma rede ou host remoto.
    • Netmask - A máscara de rede ou o comprimento do prefixo do endereço IP inserido acima.
    • Gateway - O endereço IP do gateway que conduz à rede remota ou ao host inserido acima.
    • Metric - Um custo de rede, um valor de preferência a dar a esta rota. Os valores mais baixos serão preferidos em relação aos valores mais altos.

      Use this connection only for resources on its network

      Selecione esta caixa de seleção para evitar que a conexão se torne a rota padrão. Selecionar esta opção significa que somente o tráfego especificamente destinado às rotas aprendidas automaticamente sobre a conexão ou entradas aqui manualmente é roteado sobre a conexão.

  7. Para configurar as configurações IPv6 em uma conexão VPN, selecione a entrada do menu IPv6:

    IPv6 Method

    • Automatic - Escolha esta opção para usar IPv6 Endereço sem Estado AutoConfiguração (SLAAC) para criar uma configuração automática, sem Estado, baseada no endereço de hardware e Anúncios de Roteador (RA).
    • Automatic, DHCP only - Escolha esta opção para não usar a RA, mas solicite informações diretamente de DHCPv6 para criar uma configuração estatal.
    • Link-Local Only - Escolha esta opção se a rede à qual você está se conectando não tiver um servidor DHCP e você não quiser atribuir endereços IP manualmente. Endereços aleatórios serão atribuídos de acordo com RFC 4862 com prefixo FE80::0.
    • Manual - Escolha esta opção se você quiser atribuir endereços IP manualmente.
    • Disable - IPv6 está desativado para esta conexão.

      Note que DNS, Routes, Use this connection only for resources on its network são comuns às configurações de IPv4.

  8. Uma vez terminada a edição da conexão VPN, clique no botão Adicionar para personalizar a configuração ou no botão Aplicar para salvá-la para a existente.
  9. Mude o perfil para ON para ativar a conexão VPN.

Recursos adicionais

  • Para mais detalhes sobre os parâmetros suportados Libreswan, consulte a página de manual nm-settings-libreswan(5).