Rôle Ansible strongSwan

Un rôle Ansible pour la configuration de strongSwan supportera Arch Linux, RHEL/CentOS et Debian/Ubuntu.

Exigences

Ce module fonctionne actuellement uniquement sur Arch, à condition d'installer le paquet via l'AUR, et d'avoir UFW gérant le pare-feu et l'ayant patché pour supporter les tunnels GRE. Cela devra être résolu avant que le rôle puisse être publié publiquement et/ou ajouté à Ansible Galaxy.

Une version de strongSwan >= 5.0.0 peut également être requise. Cela n'a pas encore été confirmé.

Variables du rôle

strongswan_packages:
  - strongswan

Liste actuelle des paquets à installer. Pour le moment, cela est spécifique à Arch Linux.

strongswan_conn_default:
  auto: add
  type: tunnel
  authby: psk
  keyexchange: ike
  ikelifetime: 3h
  lifetime: 60m
  margintime: 15m
  keyingtries: 3
  dpdaction: restart
  dpddelay: 30

Paramètres par défaut actuellement définis dans la connexion %default. La plupart de ces paramètres suivent les valeurs par défaut typiques pour strongSwan (comme si version ~5.0.0).

strongswan_conn: []
# - name: nom_de_connexion
#   conn:
#     # options de connexion ici, par ex.
#     ike: aes256gcm16-modp2048!
#     esp: aes256gcm16-modp2048!
#   left:
#     address: adresse_locale
#     # autres options côté gauche ici
#   right:
#     address: adresse_distante
#     # autres options côté droit ici
#   secret: abcde...z

Informations de connexion à installer dans strongSwan.

Exemple de Playbook

- hosts: serveur_ipsec
  roles:
     - { role: jonathanio.strongswan, tags: ['ipsec'] }

---
strongswan_hosts:
  - name: exemple
    conn:
      auto: route
      type: tunnel
      authby: psk
      keyexchange: ikev2
      lifetime: 3h
      ike: aes256gcm16-modp2048!
      esp: aes256gcm16-modp2048!
      ikelifetime: 24h
    left:
      address: 0.0.0.0/0
      subnet: 192.168.100.0/24
      protoport: 47
      id: mon
      updown: /usr/lib/ipsec/_updown_nat
    right:
      address: 87.65.43.21
      subnet: 192.168.101.0/24
      protoport: 47
      id: votre
      updown: /usr/lib/ipsec/_updown_nat
    secret: quelque_chose_doît_être_ici

Licence

GPLv2

Informations sur l'auteur

Jonathan Wright.