strongSwanで社内ルータ（RTX）とVPN接続した構築ログ。規格を合わせるまでが一番大変だった話

前回の記事で、さくらのVPSをブリッジ接続してActive Directoryを冗長化した話と、そのリアルな月額費用について書きました。
今回はその続きで、社内ルータとのVPN接続部分のログです。

この構成は2022年頃に作ったものですが、今もそのまま動き続けています。

構成としてはこんな感じです。

さくらVPS（Linux 2vCPU / 1GB）
strongSwan
拠点側ルータ（Yamaha RTX系）

Linuxルータは前回の記事で書いた通り、Active Directoryの通信を拠点間で通す用途です。

拠点は10カ所くらいありますが、今のところ大きなトラブルもなく動き続けています。

Linuxルータ自体は さくらのVPS の小さいプランで動かしています。

CPU2 / メモリ1GBですが、VPN用途としては特に問題は出ていません。

strongSwanを使うことにした理由
strongSwan側の設定（例）
RTX側の設定との対比
一番苦労したのは「規格合わせ」
今ならIKEv2で作ると思う
今のスタンス
※追記（運用メモ）

strongSwanを使うことにした理由

拠点VPNをどう作るかは、最初かなり悩みました。

さくらのクラウドにはVPC系のサービスもありますし、
クラウドVPNのような構成も考えました。

ただ正直なところ、

コストがそれなりに上がる

という印象がありました。

一方で今回の用途は

回線は普通のインターネット回線
拠点側は一般的なルータ
通信の中心はActive Directory

という状況でした。

だったら、

IPsecで普通につながれば十分じゃないか

という判断になりました。

その結果、Linux側は strongSwan を使う構成にしました。

strongSwan側の設定（例）

strongSwan側の設定はこんな感じです。

vi /etc/strongswan/swanctl/conf.d/abcd.conf

connections {
   abcd {
      local_addrs  = 203.0.113.10
      remote_addrs = 198.51.100.25

      local {
         auth = psk
         id = 203.0.113.10
      }

      remote {
         auth = psk
         id = 192.168.20.1
      }

      children {
         abcd {
            local_ts  = 192.168.10.0/24
            remote_ts = 192.168.20.0/24
            esp_proposals = aes128-sha1
         }
      }

      version = 1
      mobike = no
      proposals = aes128-sha1-modp1024
   }
}

secrets {
   ike-abcd {
      id = 198.51.100.25
      secret = "PassSakura"
   }
}

認証は PSK（事前共有鍵）、
暗号は AES、
ハッシュは SHA という、比較的よくあるIPsecの組み合わせです。

RTX側の設定との対比

拠点側ルータはYamaha RTX系なので、設定はこんな感じになります。

tunnel select 5
 tunnel name SAKURA_OSA
 ipsec tunnel 15
  ipsec sa policy 15 5 esp aes-cbc sha-hmac
  ipsec ike encryption 5 aes-cbc
  ipsec ike group 5 modp1024
  ipsec ike hash 5 sha
  ipsec ike keepalive use 5 on dpd 20 5
  ipsec ike local address 5 192.168.20.1
  ipsec ike local id 5 192.168.20.0/24
  ipsec ike pre-shared-key 5 text PassSakura
  ipsec ike remote address 5 203.0.113.10
  ipsec ike remote id 5 192.168.10.0/24
  ipsec auto refresh 5 on
 ip tunnel tcp mss limit auto
 tunnel enable 5

ip route 203.0.113.10 gateway pp 1
ip route 192.168.10.0/24 gateway tunnel 5

strongSwan側と見比べると分かりますが、