Харденинг strongSwan на всякий постквантовый

strongSwan — опенсорсная имплементация IPsec, фреймворка VPN. Несмотря на полувековой стаж, проект продолжает развиваться: последняя на сегодня версия приложения вышла в декабре. У него подробная документация , есть блог с CVE и публичная база тестов . По полезной пропускной способности, задержке и утилизации CPU strongSwan превосходит Wireguard, но остаётся в тени — из-за сложности и малой пригодности для обхода блокировок. Зато перед теми, кто не ленится, он открывает широкий простор для экспериментов.

https://habr.com/ru/articles/887458/

#strongSwan VPN Client (An easy to use #IKEv2/#IPsec -based #VPN client.)
https://f-droid.org/packages/org.strongswan.android/
https://github.com/strongswan/strongswan
#android

#strongSwan 6.0.0 has been released (#IPsec / #VPN / #IKE / #IKEv1 / #IKEv2 / #PostQuantumIKEv2 / #PostQuantumEncryption / #PostQuantum / #X509 / #FreeSWAN) https://strongswan.org

Мониторинг ipsec strongSwan

Всем привет! Работая DevOps-инженером, я задумался о мониторинге IPsec-туннелей, которых у нас уже накопилось достаточно. Они в основном используются для связи между облаками, так как инфраструктура разнесена — например, dev и prod живут у разных облачных провайдеров. Также есть интеграции со сторонними организациями, кластеры Kubernetes в AWS, GCP и т.д. Основная цель — получать алерты о падении туннеля раньше, чем сработают алерты о недоступности сервисов. Это особенно важно, поскольку Prometheus у нас один, он живёт в одном из облаков, а prometheus-stack в Kubernetes-кластерах работают в режиме агентов. Первая проблема - выбор экспортера или разработка своего Изначально наткнулся на экспортер от dennisstritzke , но проект уже архивный, последний релиз датируется сентябрем 2021 года, в README автор рекомендует использовать более свежий и поддерживаемый экспортер . Однако он использует VICI , соответственно необходима миграция с более старого подхода конфигурирования с помощью ipsec.conf на swanctl.conf. В документации есть подробное описание , и даже ссылка на скрипт-конвертор . Но зачем ломать то, что уже работает, пусть даже и deprecated? В итоге написал свой python скрипт, который дергает ipsec status, парсит вывод и формирует необходимые мне метрики для Prometheus.

https://habr.com/ru/articles/862506/

Bouncing around a few things today.

- Building custom #OpenWrt images for $dayjob to run on modified BT Home Hub 5a units
- Connecting to a test BT Hub 5a over TTL to see what's going on during boot
- Trying to remember #Strongswan configs for talking to Cisco ASAs over IPsec VPN, again for $dayjob
- Building #MAME 0.266 on #HaikuOS R1B5 in the background, because MAME 0.269 and 0.270 are failing and I don't know why
- Dipping into #CTRAN's #ObjectPascal source when I want a break (!!!)

Интеграция защищённого контура в Yandex Cloud: делимся опытом

В этой небольшой статье расскажу, как мы организовали нашему клиенту закрытый контур в Yandex Cloud. Если конкретнее: покажу, как настроить StrongSwan site-to-site IKEv2 ipsec tunnel, а потом — инфраструктуру, состоящую в основном из кластера Kubernetes, GitLab, Vault и Keycloak. Приятного чтения! Посмотреть, как реализован закрытый контур

https://habr.com/ru/companies/nixys/articles/830694/

Anyone know how to set up an #IPSec server on #freebsd? I have a client (FortiNet, if it matters) which isn't working for a customer, and I just can't figure out how to make it work. I tried following the instructions for #StrongSwan but I'm out of my depths.

Is anyone aware of work on having a way to establish #Wireguard tunnels using a private #ed25519 key that stays on a PKCS#11 token? That would need an userland session establishment likely. So far a #strongSwan based #IPsec solution does better to protect the credentials.

If anyone is familiar with IPsec or strongSwan: I would like to use IPsec as an alternative to WireGuard and keep the configuration simple and secure, but I can't manage to create a configuration file that works.

https://github.com/strongswan/strongswan/discussions/2154

When we implemented live log display in #FRR|'s CLI client, it was an amazing feature but I didn't think much of it. Now I've seen #strongSwan|'s swanctl do even better (it seems to explicitly show logs related to the SA you're dealing with), and it's driving me to a conclusion:

All long-running daemons with a control interface need to do this. It's a basic UX requirement.

And this shouldn't just be "tail -f" on the log, it should show context-relevant low priority messages disabled elsewhere.

If anyone bothered to read the actual advisory (CVE-2023-41913) and asked themselves if the #strongSwan update was actually needed: no, it most probably was pointless because most Distros¹ do not even build charon-tkm ¯\_(ツ)_/¯

Blog post with full details:
https://www.strongswan.org/blog/2023/11/20/strongswan-vulnerability-(cve-2023-41913).html
__
¹ Looking at you Debian…

Soluciones de VPN de Software Libre https://www.eduardocollado.com/2023/10/19/soluciones-de-vpn-de-software-libre/ #Headscale, #Openvpn, #Strongswan, #Tailscale, #Vpn, #Wireguard

Soluciones de VPN de Software Libre https://www.eduardocollado.com/2023/10/19/soluciones-de-vpn-de-software-libre/ #Headscale, #Openvpn, #Strongswan, #Tailscale, #Vpn, #Wireguard

Can anyone tell me, how to connect to a #sophos #ipsec #vpn using #linux? I have configuration files (.scx and .tgb) at hand... is there a simple way to convert these files to something like #strongswan or #openvpn?

Quick and easy #strongswan #VPN install/management tool. Video: https://youtu.be/gDvglvgtYzY Tool: https://github.com/gitbls/pistrong