{"id":398,"date":"2021-03-22T23:09:16","date_gmt":"2021-03-22T23:09:16","guid":{"rendered":"https:\/\/adrianotanaka.com.br\/?p=398"},"modified":"2022-03-11T19:17:45","modified_gmt":"2022-03-11T19:17:45","slug":"oci-rede-hub-spoke-libreswan","status":"publish","type":"post","link":"https:\/\/adrianotanaka.com.br\/index.php\/2021\/03\/22\/oci-rede-hub-spoke-libreswan\/","title":{"rendered":"OCI – Rede Hub Spoke + LibreSwan"},"content":{"rendered":"\n

A arquitetura Hub-and-Spoke \u00e9 uma das sugeridas pela Oracle na hora de montar o seu ambiente no OCI, nela possu\u00edmos uma rede que fica a frente de outras redes e serve como concentrador(Hub) para redes mais internas, dessa forma podemos ter uma rede que entregue recursos de seguran\u00e7a(voc\u00ea pode por exemplo ter um Firewall na Hub e passar todas as outras subnets por ele) e facilita tamb\u00e9m o crescimento do seu ambiente(voc\u00ea pode fechar um Fastconnect com a Hub e criar rotas\/regas na spoke), aqui nesse post vou mostrar como fechar uma VPN em um ambiente que possua a topologia Hub-and-Spoke e se comunicar com todas as redes que est\u00e3o no OCI, abaixo a topologia que vamos ter ao final:<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Para esse exemplo, vou rodar em dois tenants diferentes, um deles vai rodar o Libreswan e no outro vamos usar o VPNaaS (nesse que temos nossa Hub-and-Spoke configurada).<\/p>\n\n\n\n

Ambiente Libreswan<\/h2>\n\n\n\n

Antes de usarmos o libreswan, precisamos fazer algumas configura\u00e7\u00f5es no nosso ambiente, nesse caso eu estou jogando todos os pacotes que trafegarem na nossa subnet para a interface de rede da VM do LibreSwan:<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

\u00c9 importante tamb\u00e9m marcarmos a op\u00e7\u00e3o skip source\/destination check da vnic do LibreSwan.<\/p>\n\n\n\n

Tamb\u00e9m ajustei a Security List para que ela permita o tr\u00e1fego que vem da nossa outra ponta:<\/p>\n\n\n\n

\"\"
Sei que a ultima regra n\u00e3o \u00e9 necess\u00e1ria mas isso foi durante os testes<\/figcaption><\/figure>\n\n\n\n

Configura\u00e7\u00e3o LibreSwan<\/h2>\n\n\n\n

Existem diversos tutoriais na internet de como instalar e configurar um servidor LibreSwan, no nosso caso vou postar somente a configura\u00e7\u00e3o b\u00e1sica(lembre-se de ajustar ao seu ambiente e seguir o guia de VPNaaS):<\/p>\n\n\n\n

conn hub\n         authby=secret\n         auto=start\n         pfs=yes\n         leftid=x.x.x.x    #IP PUBLICO OCI\n         left=x.x.x.x     #IP PUBLICO OCI\n         leftsubnets={192.168.0.0\/16,172.18.0.0\/16} #QUAIS REDES ESTAO NO HUB\n         right=10.100.0.6            #IP DA MAQUINA LIBRESWAN\n         rightid=y.y.y.y   #IP PUBLICO LIBRESWAN\n         rightsubnets={10.100.0.0\/16}    #REDES LIBRESWAN\n<\/pre>\n\n\n\n
A dica aqui \u00e9 o uso dos par\u00e2metros leftsubnets<\/strong> e rightsubnets<\/strong> que usamos para indicar que estamos trabalhando com mais de uma subnet em nosso setup, \u00e9 importante notar que ao usar o “s” no final, precisamos ter ele dos dois lados(n\u00e3o funciona se tentar usar leftsubnets<\/strong> com rightsubnet por exemplo).<\/p>\n\n\n\n
OCI<\/h2>\n\n\n\n
No OCI temos as seguintes subnets (que v\u00e3o ser nossa Hub-and-Spoke):<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Dentro da VCN-SUP-HUB temos a seguinte subnet:<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
As seguintes tabelas de rota:<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
E as seguintes regras:<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Na VCN-SUP-INTERNA temos a seguinte subnet:<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
As seguintes tabelas de rota:<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
E as seguintes regras:<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Local peering<\/h2>\n\n\n\n
O “segredo” da topologia Hub Spoke \u00e9 o uso do local peering para que duas VCNs diferentes se comuniquem por dentro da infraestrutura do OCI, aqui temos nosso local peering “lpg” configurado e dentro deles colocamos uma tabela de rotas(RT-LPG), isso \u00e9 feito dentro da subnet Hub:<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
\"\"<\/figure>\n\n\n\n
VPNaaS<\/h2>\n\n\n\n
Depois que nossa configura\u00e7\u00e3o de rede est\u00e1 feita, vamos subir um VPNaaS apontando para o nosso Libreswan, aqui devemos apontar o DRG que est\u00e1 vinculado \u00e0 rede HUB, o ponto importante aqui \u00e9 mudar a VPN de Static Routing para Policy Based e nela colocar as redes que estamos entregando:<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Testando<\/h2>\n\n\n\n
Libreswan para OCI<\/h3>\n\n\n\n
[opc@xxxxx ~]$ ip addr show\n1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000\n    link\/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00\n    inet 127.0.0.1\/8 scope host lo\n       valid_lft forever preferred_lft forever\n2: ens3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 9000 qdisc pfifo_fast state UP group default qlen 1000\n    link\/ether 02:00:17:00:24:03 brd ff:ff:ff:ff:ff:ff\n    inet 10.100.0.2\/24 brd 10.100.0.255 scope global dynamic ens3\n       valid_lft 78172sec preferred_lft 78172sec\n[opc@xxxxx ~]$ traceroute 192.168.92.2\ntraceroute to 192.168.92.2 (192.168.92.2), 30 hops max, 60 byte packets\n 1  openswan.subnetlibre.vcnlibre.oraclevcn.com (10.100.0.6)  0.355 ms  0.334 ms  0.307 ms\n 2  * * *\n 3  * * *\n 4  * * *\n 5  192.168.92.2 (192.168.92.2)  10.234 ms  10.187 ms  10.164 ms\n[opc@xxxxx ~]$ ping -c 4 192.168.92.2\nPING 192.168.92.2 (192.168.92.2) 56(84) bytes of data.\n64 bytes from 192.168.92.2: icmp_seq=1 ttl=61 time=2.58 ms\n64 bytes from 192.168.92.2: icmp_seq=2 ttl=61 time=1.80 ms\n64 bytes from 192.168.92.2: icmp_seq=3 ttl=61 time=1.80 ms\n64 bytes from 192.168.92.2: icmp_seq=4 ttl=61 time=1.84 ms\n\n--- 192.168.92.2 ping statistics ---\n4 packets transmitted, 4 received, 0% packet loss, time 3005ms\nrtt min\/avg\/max\/mdev = 1.800\/2.009\/2.582\/0.334 ms\n[opc@xxxxx ~]$ traceroute 172.18.1.2\ntraceroute to 172.18.1.2 (172.18.1.2), 30 hops max, 60 byte packets\n 1  openswan.subnetlibre.vcnlibre.oraclevcn.com (10.100.0.6)  0.332 ms  0.292 ms  0.287 ms\n 2  * * *\n 3  * * *\n 4  172.18.1.2 (172.18.1.2)  1.503 ms !X  1.484 ms !X  1.462 ms !X\n[opc@xxxxx~]$ ping -c 4 172.18.1.2\nPING 172.18.1.2 (172.18.1.2) 56(84) bytes of data.\n64 bytes from 172.18.1.2: icmp_seq=1 ttl=61 time=1.98 ms\n64 bytes from 172.18.1.2: icmp_seq=2 ttl=61 time=2.11 ms\n64 bytes from 172.18.1.2: icmp_seq=3 ttl=61 time=1.92 ms\n64 bytes from 172.18.1.2: icmp_seq=4 ttl=61 time=1.85 ms\n\n--- 172.18.1.2 ping statistics ---\n4 packets transmitted, 4 received, 0% packet loss, time 3004ms\nrtt min\/avg\/max\/mdev = 1.858\/1.971\/2.112\/0.098 ms\n[opc@xxxxx ~]$\n<\/pre>\n\n\n\n
VCN-SPOKE (a mais interna) para LibreSwan<\/h3>\n\n\n\n
[root@vm-interna opc]# ip addr show\n1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000\n    link\/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00\n    inet 127.0.0.1\/8 scope host lo\n       valid_lft forever preferred_lft forever\n2: ens3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 9000 qdisc pfifo_fast state UP group default qlen 1000\n    link\/ether 02:00:17:00:ee:e6 brd ff:ff:ff:ff:ff:ff\n    inet 172.18.1.2\/24 brd 172.18.1.255 scope global dynamic ens3\n       valid_lft 65244sec preferred_lft 65244sec\n[root@vm-interna opc]# ping -c4 10.100.0.2\nPING 10.100.0.2 (10.100.0.2) 56(84) bytes of data.\n64 bytes from 10.100.0.2: icmp_seq=1 ttl=60 time=1.74 ms\n64 bytes from 10.100.0.2: icmp_seq=2 ttl=60 time=1.81 ms\n64 bytes from 10.100.0.2: icmp_seq=3 ttl=60 time=1.83 ms\n64 bytes from 10.100.0.2: icmp_seq=4 ttl=60 time=1.91 ms\n\n--- 10.100.0.2 ping statistics ---\n4 packets transmitted, 4 received, 0% packet loss, time 3005ms\nrtt min\/avg\/max\/mdev = 1.741\/1.828\/1.917\/0.081 ms\n[root@vm-interna opc]# traceroute 10.100.0.2\ntraceroute to 10.100.0.2 (10.100.0.2), 30 hops max, 60 byte packets\n 1  140.91.208.2 (140.91.208.2)  0.113 ms 140.91.208.1 (140.91.208.1)  0.127 ms 140.91.208.7 (140.91.208.7)  0.102 ms\n 2  * * *\n 3  10.100.0.6 (10.100.0.6)  1.262 ms  1.254 ms  1.230 ms\n 4  10.100.0.2 (10.100.0.2)  1.241 ms !X  1.241 ms !X  1.199 ms !X\n[root@vm-interna opc]#\n<\/pre>\n\n\n\n
VCN-HUB (a mais externa) para LibreSwan<\/h3>\n\n\n\n
opc@vm-hub ~]$  ip addr show\n1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000\n    link\/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00\n    inet 127.0.0.1\/8 scope host lo\n       valid_lft forever preferred_lft forever\n2: ens3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 9000 qdisc pfifo_fast state UP group default qlen 1000\n    link\/ether 02:00:17:00:93:38 brd ff:ff:ff:ff:ff:ff\n    inet 192.168.92.2\/24 brd 192.168.92.255 scope global dynamic ens3\n       valid_lft 65321sec preferred_lft 65321sec\n[opc@vm-hub ~]$  ping -c4 10.100.0.2\nPING 10.100.0.2 (10.100.0.2) 56(84) bytes of data.\n64 bytes from 10.100.0.2: icmp_seq=1 ttl=60 time=90.1 ms\n64 bytes from 10.100.0.2: icmp_seq=2 ttl=60 time=1.86 ms\n64 bytes from 10.100.0.2: icmp_seq=3 ttl=60 time=1.96 ms\n64 bytes from 10.100.0.2: icmp_seq=4 ttl=60 time=2.95 ms\n\n--- 10.100.0.2 ping statistics ---\n4 packets transmitted, 4 received, 0% packet loss, time 3003ms\nrtt min\/avg\/max\/mdev = 1.865\/24.239\/90.175\/38.070 ms\n[opc@vm-hub ~]$  traceroute 10.100.0.2\ntraceroute to 10.100.0.2 (10.100.0.2), 30 hops max, 60 byte packets\n 1  140.91.208.29 (140.91.208.29)  0.142 ms  0.137 ms 140.91.208.26 (140.91.208.26)  0.105 ms\n 2  * * *\n 3  10.100.0.6 (10.100.0.6)  93.732 ms  93.720 ms  93.697 ms\n 4  10.100.0.2 (10.100.0.2)  93.672 ms !X  93.652 ms !X  93.610 ms !X\n[opc@vm-hub ~]$\n<\/pre>\n","protected":false},"excerpt":{"rendered":"
A arquitetura Hub-and-Spoke \u00e9 uma das sugeridas pela Oracle na hora de montar o seu ambiente no OCI, nela possu\u00edmos uma rede que fica a frente de outras redes e serve como concentrador(Hub) para redes mais internas, dessa forma podemos ter uma rede que entregue recursos de seguran\u00e7a(voc\u00ea pode por exemplo ter um Firewall na […]<\/p>\n","protected":false},"author":1,"featured_media":423,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"material-hide-sections":[],"footnotes":""},"categories":[8,6,1],"tags":[],"class_list":["post-398","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-oci","category-oracle","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/adrianotanaka.com.br\/index.php\/wp-json\/wp\/v2\/posts\/398","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/adrianotanaka.com.br\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/adrianotanaka.com.br\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/adrianotanaka.com.br\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/adrianotanaka.com.br\/index.php\/wp-json\/wp\/v2\/comments?post=398"}],"version-history":[{"count":6,"href":"https:\/\/adrianotanaka.com.br\/index.php\/wp-json\/wp\/v2\/posts\/398\/revisions"}],"predecessor-version":[{"id":424,"href":"https:\/\/adrianotanaka.com.br\/index.php\/wp-json\/wp\/v2\/posts\/398\/revisions\/424"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/adrianotanaka.com.br\/index.php\/wp-json\/wp\/v2\/media\/423"}],"wp:attachment":[{"href":"https:\/\/adrianotanaka.com.br\/index.php\/wp-json\/wp\/v2\/media?parent=398"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/adrianotanaka.com.br\/index.php\/wp-json\/wp\/v2\/categories?post=398"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/adrianotanaka.com.br\/index.php\/wp-json\/wp\/v2\/tags?post=398"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}