Que VPN escolher?

Question

Eu preciso configurar uma VPN que seja compatível com dispositivos iOS (IPSec / L2TP / IKEv2, sem PPTP, por favor). Meus requisitos são:

• Conexão criptografada com um único servidor (com um aplicativo crítico que não deve ser exposto à internet)
• Apenas o tráfego para este servidor específico passará pela VPN, o tráfego para outros sites não será encaminhado através da VPN
• Vários clientes devem poder se conectar à VPN para usar o aplicativo no servidor
• Esses clientes têm endereços IP dinâmicos
• Eles não precisam "ver" um ao outro, mas se fizerem isso, não seria um problema

Eu li muito nos últimos dias, mas as combinações e possibilidades para VPNs parecem ser infinitas. StrongSwan tem alguns bons exemplos de configuração, mas nenhum parece corresponder aos meus requisitos. Eu não preciso de um túnel ou de sites de pontes. Muitos tutoriais mostram como configurar um L2TP via VPN IPSec para acessar a Internet (por exemplo, por trás do grande firewall), mas isso não é muito útil no meu caso.

1. Preciso do L2TP para este caso de uso?
2. Não posso simplesmente usar o IPSec no modo de transporte?
3. Como configuro a autenticação IPSec?
4. O IPSec no modo de transporte permitiria vários clientes?
5. O modo de transporte IPSec funciona com IPs dinâmicos dos clientes?

Quaisquer sugestões ou instruções sobre o que ler em seguida ou quais tecnologias usar são bem-vindas. Um exemplo de configuração ainda melhor :)

    

Answer 1

Sim, o IPSec no modo de transporte atenderá muito bem às suas necessidades e não terá problemas com vários clientes com endereços dinâmicos. Na minha experiência, ele também é mais rápido e mais eficiente do que outros protocolos e, uma vez configurado, nunca requer ações manuais de conexão / desconexão quando você deseja acesso ao servidor. O lado negativo é que eu ainda não encontrei nenhuma ferramenta de configuração decente, então descobrir como configurar tudo na linha de comando pode ser um pouco de PITA.

Você precisará instalar o daemon cliente / servidor IKE racoon e configurá-lo para que, quando os clientes desejarem se conectar, possam chamar o servidor IKE, fornecer autenticação adequada (senha, RSA ou x.509), e gerar e configurar a chave de sessão.

Veja link