10.02.04 Обеспечение ИБ телекоммуникационных систем — пошаговая подготовка к демонстрационному экзамену

sudo hostnamectl set-hostname gw-hq

# WAN-интерфейс eth0, LAN-интерфейс eth1
sudo ip addr add 172.16.0.1/30 dev eth0
sudo ip addr add 192.168.1.1/24 dev eth1
sudo ip link set eth0 up
sudo ip link set eth1 up

echo 'net.ipv4.ip_forward = 1' | sudo tee /etc/sysctl.d/99-forward.conf
sudo sysctl -p /etc/sysctl.d/99-forward.conf
# проверка доступности соседа по WAN
ping -c 3 172.16.0.2

sudo tee /etc/nftables.conf >/dev/null <<EOF
#!/usr/sbin/nft -f
flush ruleset
table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    iif lo accept
    ct state established,related accept
    ip protocol icmp accept
    # IPsec: IKE (500/4500 udp) и ESP
    ip saddr 172.16.0.2 udp dport { 500, 4500 } accept
    ip saddr 172.16.0.2 ip protocol esp accept
    # управление по SSH из LAN
    ip saddr 192.168.1.0/24 tcp dport 2222 accept
  }
  chain forward {
    type filter hook forward priority 0; policy drop;
    ct state established,related accept
    # разрешаем трафик между LAN площадок (пойдёт в туннель)
    ip saddr 192.168.1.0/24 ip daddr 192.168.2.0/24 accept
    ip saddr 192.168.2.0/24 ip daddr 192.168.1.0/24 accept
  }
}
table ip nat {
  chain postrouting {
    type nat hook postrouting priority 100;
    # выход клиентов LAN в WAN (кроме трафика в LAN-партнёра)
    ip saddr 192.168.1.0/24 ip daddr != 192.168.2.0/24 oif eth0 masquerade
  }
}
EOF
sudo systemctl enable --now nftables
sudo nft -f /etc/nftables.conf
sudo nft list ruleset

sudo apt install -y strongswan 2>/dev/null || sudo apt-get install -y strongswan

sudo tee /etc/ipsec.conf >/dev/null <<EOF
config setup
    charondebug="ike 1, knl 1"

conn hq-to-br
    auto=start
    keyexchange=ikev2
    type=tunnel
    authby=secret
    # своя сторона (HQ)
    left=172.16.0.1
    leftsubnet=192.168.1.0/24
    # партнёр (BR)
    right=172.16.0.2
    rightsubnet=192.168.2.0/24
    ike=aes256-sha256-modp2048!
    esp=aes256-sha256!
EOF

sudo tee /etc/ipsec.secrets >/dev/null <<EOF
172.16.0.1 172.16.0.2 : PSK "S3cretPSK-2026"
EOF
sudo chmod 600 /etc/ipsec.secrets

sudo systemctl enable --now strongswan-starter 2>/dev/null || sudo systemctl enable --now strongswan
sudo ipsec restart
sudo ipsec statusall
# должно быть ESTABLISHED и INSTALLED для conn hq-to-br

# с рабочей станции в 192.168.1.0
ping -c 4 192.168.2.1

# на gw-hq перехватываем трафик к партнёру
sudo tcpdump -ni eth0 host 172.16.0.2
# в выводе должны быть пакеты ESP (а не ICMP/открытый трафик):
# IP 172.16.0.1 > 172.16.0.2: ESP(spi=0x..., seq=0x...)

sudo tee /etc/ssh/sshd_config.d/10-secure.conf >/dev/null <<EOF
Port 2222
PermitRootLogin no
MaxAuthTries 3
LoginGraceTime 30
EOF
sudo systemctl restart ssh 2>/dev/null || sudo systemctl restart sshd
# в nftables порт 2222 уже разрешён только из LAN (шаг 2)

# журнал strongSwan
sudo journalctl -u strongswan-starter -n 40 --no-pager 2>/dev/null || sudo journalctl -u strongswan -n 40 --no-pager

# логировать отброшенные пакеты в nftables (добавить в chain input перед policy drop):
#   log prefix "nft-drop " flags all
# затем смотреть:
sudo dmesg | grep nft-drop | tail