Kurumsal VPN: IPsec (strongSwan) ve OpenVPN
strongSwan ile IKEv2/IPsec ve OpenVPN ile sertifika tabanlı VPN kurar, farklı üreticilerle çalışan siteler arası bağlantıların sorunlarını çözersin.
Seviye 301 · 17 ders · 15 pratik lab
Dersler
IPsec kavramları
- IPsec mimarisi: IKE, ESP, AH
- IKEv2 el sıkışması ve SA’lar
- Tünel ve taşıma kipi
- Şifreleme önerileri ve uyumsuzluklar
- Kısa görev: bir IKE günlüğünden pazarlığı çöz
strongSwan
- strongSwan ile ön paylaşımlı anahtarlı tünel
- Sertifika ile kimlik doğrulama
- NAT geçişi ve UDP 4500
- Rota tabanlı IPsec: XFRM arayüzleri
- IPsec sorun giderme: swanctl ve ip xfrm
- Kısa görev: iki ofisi IPsec ile bağla
OpenVPN
- OpenVPN için easy-rsa ile PKI
- OpenVPN sunucusu kurmak
- İstemci profilleri ve sertifika iptali
- İstemcilere rota ve DNS dağıtmak
- Kısa görev: çalınan dizüstünün sertifikasını iptal et
Kapanış
- Bitirme görevi: merkez, şube ve uzaktan çalışanlar için karma VPN
Pratik lablar
- NO_PROPOSAL_CHOSEN: öneriler uyuşmuyor: İki strongSwan ucu arasındaki şifreleme önerisi uyuşmazlığını günlüklerden bul, iki tarafı güçlü ve ortak bir öneride buluştur ve IKE SA’nın kurulduğunu göster.
- Parola doğru, kimlik yanlış: Ön paylaşımlı anahtar doğru olduğu hâlde AUTH_FAILED veren tünelde kimlik (ID) uyuşmazlığını günlüklerden çıkar, düzelt ve tünelin kurulduğunu swanctl ile göster.
- IKE kuruldu, alt SA kurulmuyor: Pinecrest Bank’ın şube tünelinde IKE SA kurulduğu hâlde CHILD SA’nın reddedilmesine yol açan trafik seçici uyuşmazlığını bul, iki ucu aynı alt ağlarda buluştur ve korunan trafiği sayaçlarla göster.
- Tünel ayakta, trafik internete kaçıyor: Tünel kurulu olduğu hâlde şube trafiğinin masquerade kuralına takılıp şifresiz çıktığını göster, NAT istisnasını ekle ve ESP paketleriyle kanıtla.
- Paylaşılan paroladan sertifikaya geç: Ön paylaşımlı anahtarla çalışan ofisler arası tüneli lab CA’sından üretilen sertifikalarla kimlik doğrulayacak biçimde değiştir ve yanlış CA’dan sertifikalı ucun reddedildiğini göster.
- NAT arkasındaki şube bağlanamıyor: NAT arkasına taşınan şubenin tünelinin kurulup trafik geçirmemesinin nedenini (UDP 4500, süzülen ESP, kapsülleme) paket yakalamayla bul, düzelt ve iki yönlü trafiği göster.
- Hangi trafik gerçekten şifreleniyor?: "ip xfrm state" ve "ip xfrm policy" çıktılarını okuyarak hangi alt ağ çiftlerinin korunduğunu ve hangisinin sayaçlarının artmadığını bir tabloda göster.
- Her yeni alt ağ için tünel ayarı değişmesin: Politika tabanlı tüneli XFRM arayüzü kullanan rota tabanlı tünele çevir ve yeni bir alt ağı yalnızca rota ekleyerek tünelden geçirdiğini göster.
- Birincil tünel düşünce yedek devralsın: Rüzgârlı Enerji’nin iki hat üzerinden kurulu iki rota tabanlı tünelini, birincil ölünce trafiği yedeğe aktaracak biçimde (DPD, rota metrikleri) düzenle ve hattı keserek geçiş süresini ölç.
- İstemci bağlanamıyor: sertifika doğrulanamadı: OpenVPN istemcisinin sertifika doğrulama hatasının nedenini (yanlış CA dosyası ya da süresi dolmuş sertifika) günlüklerden bul, easy-rsa ile düzelt ve bağlantıyı göster.
- Bağlandım ama dosya sunucusu yok: Bağlanan istemcilerin iç alt ağa ve iç alan adlarına ulaşamamasını sunucudan rota ve DNS göndererek çöz, sunucu tarafındaki dönüş yolunu da düzelt ve istemciden isimle erişimi göster.
- Yüklenici yalnızca tek sunucuya erişsin: Oakmere Studios’un OpenVPN sunucusunda yüklenici istemcisine sabit adres ver, güvenlik duvarında yalnızca tek bir sunucuya izin tanımla ve çalışan ile yüklenici erişimlerini karşılaştırmalı test et.
- Sabah kimse VPN’e bağlanamıyor: Tüm istemcilerin aynı anda reddedilmesine yol açan süresi dolmuş iptal listesini günlüklerden bul, yenile ve iptal edilmiş sertifikanın hâlâ reddedildiğini göster.
- Beş çalışana beş hazır profil: Verilen çalışan listesi için sertifika üreten ve her birine tek dosyalık istemci profili hazırlayan bir betik yaz ve profillerden biriyle bağlanarak sınayıp göster.
- Uzaktan çalışan şubeye ulaşamıyor: Merkez ile şubenin IPsec, uzaktan çalışanların OpenVPN ile bağlandığı ağda uzaktan çalışanın şube sunucusuna erişememesinin nedenlerini (gönderilen rotalar, trafik seçiciler, dönüş yolu) bul, düzelt ve uçtan uca erişimi göster.
Kurs hakkında
strongSwan ile IKEv2/IPsec ve OpenVPN ile sertifika tabanlı VPN kurar, farklı üreticilerle çalışan siteler arası bağlantıların sorunlarını çözersin.
Ne öğreneceksin
- IPsec kavramları
- strongSwan
- OpenVPN
- Kapanış
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.