14strongSwan 클라이언트strongSwan 클라이언트

strongSwan 클라이언트 설치는 strongSwan 공식 문서의 안내를 따릅 니다. Check Point는 별도의 설치 프로그램을 제공하지 않으며, 표준 strongSwan을 그대로 씁니다.

strongSwan 클라이언트 구성은 여러 절(section)로 나뉩니다. 전체 그림을 먼저 잡아 두면 이후 세부 설정을 이해하기 쉽습니다.

인증서 인증 방식은 클라이언트가 인증서를 사용해 Check Point Security Gateway와 통신하도록 구성합니다. 관련 파일과 폴더는 다음과 같습니다.

1. ipsec.conf 파일

파일 경로:

/etc/strongswan/ipsec.conf

이 파일에서 strongSwan 클라이언트가 인증서 인증을 통해 게이트웨이와 통신하는 방식을 구성합니다. 내용의 기본 골격은 다음과 같습니다.

config setup
    charondebug="ike 4, knl 4, cfg 3, chd 4"
conn CONNECTION_NAME
    type=tunnel
    leftfirewall=yes
    authby=pubkey
    keyexchange=ikev2
    left=<CLIENT_EXTERNAL_IP_ADDRESS>
    leftsourceip=%config
    right=<GW_EXTERNAL_IP_ADDRESS>
    rightid=<GW_EXTERNAL_IP_ADDRESS>
    leftcert=<CLIENT_CERTIFICATE_FILE>
    rightsubnet=ENCRYPTION_DOMAIN_WE_WANT_TO_CONNECT
    ike=<IKE_METHODS_AS_CONFIGURED_ON_THE_GW>
    esp=<IPSEC_METHODS_AS_CONFIGURED_ON_THE_GW>
    ikelifetime=<TIME_WHICH_AFTER_THE_IKE_SA_IS_NOT_VALID>
    lifetime=<TIME_WHICH_AFTER_THE_IPSEC_SA_IS_NOT_VALID>
    reauth=yes
    rekey=yes
    margintime=<TIME_TO_START_REKEY_OR_REAUTH_BEFORE_EXPIRY>
    rekeyfuzz=<RANDOM_TIME_PERCENTAGE_FOR_REKEY_AND_REAUTH>
    auto=add
    dpdaction=restart
    dpddelay=<TIME_TO_SEND_R_U_THERE_MESSAGE>
    dpdtimeout=<TIMEOUT_INTERVAL_TO_DELETE_THE_CONNECTION>

각 파라미터의 의미는 다음과 같습니다.

IPsec SA와 IKE SA의 rekey 시점은 다음 공식으로 계산됩니다.

rekeytime = lifetime - (margintime + random(0, margintime * rekeyfuzz))

2. ipsec.secrets 파일

파일 경로:

/etc/strongswan/ipsec.secrets

이 파일에서 strongSwan 개인 키(private key) 를 구성합니다. 내용 형식은 다음과 같습니다.

THE_SITE_IP_ADDRESS (OPTIONAL) : RSA CLIENT_CERT_KEY_FILE

3. strongswan.conf 파일

파일 경로:

/etc/strongswan/strongswan.conf

이 구성 파일은 플러그인을 추가하고, 벤더 ID를 보내며, DNS를 해석 하도록 합니다. 내용은 다음과 같습니다.

charon {
load_modular = yes
send_vendor_id = yes
plugins {
include strongswan.d/charon
resolve {
file = /etc/resolv.conf
}
}
}
include strongswan.d/*.conf

4. certs 폴더

디렉터리 경로:

/etc/strongswan/ipsec.d/certs

파일 예: StrongSwanPublicCert.cer 또는 StrongSwanPublicCert.pem. 이 폴더에는 모든 클라이언트 공개 인증서 가 들어갑니다.

5. private 폴더

디렉터리 경로:

/etc/strongswan/ipsec.d/private

파일 예: StrongSwanPrivateKey.pem. 이 폴더에는 모든 클라이언트 개인 인증서 가 들어갑니다.

인증서 대신 사용자 이름과 암호로 인증하는 방식입니다. 인증서 방식과 파일 구조는 같지만 인증 관련 파라미터가 다릅니다.

1. ipsec.conf 파일

파일 경로:

/etc/strongswan/ipsec.conf

이 파일에서 strongSwan 클라이언트가 사용자 이름·암호 인증을 통해 게이트웨이와 통신하는 방식을 구성합니다. 기본 골격은 다음과 같습니다.

config setup
    charondebug="ike 4, knl 4, cfg 3, chd 4"
conn CONNECTION_NAME
    type=tunnel
    leftfirewall=yes
    rightauth=pubkey
    leftauth=eap-gtc
    keyexchange=ikev2
    eap_identity=<USERNAME>
    left=<CLIENT_EXTERNAL_IP_ADDRESS>
    leftsourceip=%config
    right=<GW_EXTERNAL_IP_ADDRESS>
    rightid=<GW_EXTERNAL_IP_ADDRESS>
    rightsubnet=<ENCRYPTION_DOMAIN_WE_WANT_TO_CONNECT>
    ike=<IKE_METHODS_AS_CONFIGURED_ON_THE_GW>
    esp=<IPSEC_METHODS_AS_CONFIGURED_ON_THE_GW>
    ikelifetime=<TIME_WHICH_AFTER_THE_IKE_SA_IS_NOT_VALID>
    lifetime=<TIME_WHICH_AFTER_THE_IPSEC_SA_IS_NOT_VALID>
    reauth=yes
    rekey=yes
    margintime=<TIME_TO_START_REKEY_OR_REAUTH_BEFORE>
    rekeyfuzz=<RANDOM_TIME_PERCENTAGE_FOR_REKEY_AND_REAUTH>
    auto=add
    dpdaction=restart
    dpddelay=<TIME_TO_SEND_R_U_THERE_MESSAGE>
    dpdtimeout=<TIMEOUT_INTERVAL_TO_DELETE_THE_CONNECTION>

인증서 방식과 비교해 달라진 핵심 파라미터 는 다음과 같습니다.

나머지 파라미터(rightsubnet, ike, esp, ikelifetime, lifetime, reauth, rekey, margintime, rekeyfuzz, auto, dpdaction, dpddelay, dpdtimeout)의 의미와 rekey 공식은 인증서 방식과 동일합니다. ike·esp 방식은 게이트웨이도 지원하도록 구성 해야 한다는 점도 같습니다.

2. ipsec.secrets 파일

파일 경로:

/etc/strongswan/ipsec.secrets

이 파일에서 strongSwan 암호(password) 를 구성합니다. 내용 형식은 다음과 같습니다.

USERNAME : EAP "PASSWORD"

3. strongswan.conf 파일

파일 경로:

/etc/strongswan/strongswan.conf

내용은 인증서 방식과 동일합니다(플러그인 추가, 벤더 ID 전송, DNS 해석).

charon {
load_modular = yes
send_vendor_id = yes
plugins {
include strongswan.d/charon
resolve {
file = /etc/resolv.conf
}
}
}
include strongswan.d/*.conf

4. cacerts 폴더

디렉터리 경로:

/etc/strongswan/ipsec.d/cacerts

파일 예: internal_ca.crt. 모든 게이트웨이·LDAP·RADIUS 서버의 내부 CA 파일 이 클라이언트가 매 연결마다 서버를 인증하는 데 쓰는 Trusted CA 입니다. 이 설정은 SmartConsole의 Trusted CA 에서 찾을 수 있습니다.

개별 기능을 켜려면 ipsec.conf 에 다음 항목을 추가합니다.

암호화된 개인 키로 연결하기

암호화된 개인 키를 쓰려면 ipsec.secrets 파일에 개인 키의 passphrase를 추가 해야 합니다.

파일 경로:

/etc/strongswan/ipsec.secrets

이 파일에서 strongSwan 암호를 구성합니다. 내용 예는 다음과 같습니다.

암호화 도메인(Encryption Domain)

암호화 도메인에 네트워크를 추가하거나 제거해 변경할 경우, 시나리오에 따라 클라이언트의 ipsec.conf 파일도 수정 해야 할 수 있습니다. 구성 방법은 세 가지입니다.

예로 암호화 도메인에 세 개의 네트워크가 있다고 가정합니다.

conn conn_to_eth0
    //full configuration with "rightsubnet=10.10.10.0/24"
conn conn_to_eth1
    rightsubnet=192.168.1.0/24
    also=conn_to_eth0

참고할 점은, 이 연결을 맺으려면 여전히 up 명령을 실행 해야 하고, 해당 네트워크와 관련해 암호화 도메인이 바뀌면 클라이언트 측을 다시 구성해야 하며, 접근할 수 없는 네트워크가 있으면 연결이 실패 한다는 것입니다.

Debian과 Ubuntu 머신에서 EAP 인증을 쓰려면, strongSwan을 재시작하기 전에 필요한 플러그인을 먼저 설치 해야 합니다.

sudo apt-get install libstrongswan-extra-plugins
sudo apt-get install libcharon-extra-plugins

기본 명령 이름은 배포판에 따라 다릅니다.

P12 인증서 파일을 개인 키와 공개 인증서로 나누는 방법은 두 가지입니다.

openssl pkcs12 -in <P12_CERTIFICATE>.p12 -clcerts -nokeys -out <EXTRACTED_CERTIFICATE>.crt
openssl pkcs12 -in <P12_CERTIFICATE>.p12 -nocerts -out <EXTRACTED_PRIVATE>.key

strongSwan 클라이언트를 도입하기 전에, 다음 제한을 반드시 확인해야 합니다.

또한 다음 고급 Remote Access 기능은 strongSwan 클라이언트에서 지원되지 않 습니다 — Certificate enrollment, Link Selection, Location Awareness, Multiple Entry Point(MEP), Secondary Connect, Secure Configuration Verification(SCV), Visitor Mode.

정리하면, strongSwan 지원은 Check Point 전용 클라이언트가 아닌 표준 IKEv2 오픈소스 클라이언트로도 원격 접속할 수 있게 열어 주어 클라이언트 선택의 폭을 넓힙니다. 다만 전용 클라이언트가 주는 Desktop Security·SCV 같은 단말 보안 기능은 위 제한 목록에서 보듯 별도로 고려해야 합니다.