Posted inNetworking

Thiết lập L2TP/IPsec VPN trên Linux: Truy cập từ xa không cần ứng dụng cho iOS, Android và Windows

Networking tutorial - IT technology blog
Networking tutorial - IT technology blog

Vấn đề “ngại cài ứng dụng” trong truy cập từ xa

Gần đây tôi vừa hoàn tất triển khai cho một khách hàng có đội ngũ kinh doanh 50 người thường xuyên di chuyển. Họ cần truy cập an toàn vào các công cụ CRM nội bộ, nhưng có một rào cản lớn: hầu hết người dùng không rành về kỹ thuật. Khi tôi đề cập đến WireGuard, phản hồi nhận được rất tức thì: họ không muốn quản lý các tệp .conf, tải thêm ứng dụng hay loay hoay với các khóa công khai (public keys). Họ chỉ muốn VPN hoạt động bằng các cài đặt có sẵn trên iPhone và laptop Windows của họ.

Trong thực tế, đây là một kịch bản phổ biến. Các giao thức hiện đại như WireGuard hay Tailscale mang lại tốc độ ấn tượng—thường đạt tới 90% băng thông đường truyền—nhưng L2TP/IPsec vẫn là “vua” về khả năng tương thích. Nó cho phép bạn cung cấp một dịch vụ chuyên nghiệp mà không cần phần mềm bên thứ ba. Cho dù người dùng của bạn có một chiếc máy tính bảng Android năm tuổi hay một máy trạm Windows 11 mới tinh, trình kết nối đã có sẵn ở đó, nằm chờ trong menu cài đặt.

Tại sao VPN tích hợp sẵn thường giống như một “hộp đen”

Thiết lập L2TP/IPsec khá phức tạp vì bạn đang điều phối hai dịch vụ riêng biệt. IPsec, được xử lý bởi strongSwan, cung cấp lớp vỏ bọc mã hóa. Trong khi đó, L2TP, được xử lý bởi xl2tpd, tạo ra đường hầm dữ liệu. Nếu hai dịch vụ này không đồng bộ hoàn hảo, người dùng sẽ gặp các lỗi chung chung như “The security layer encountered a processing error” (Lớp bảo mật gặp lỗi xử lý).

Hầu hết các lỗi bắt nguồn từ hai vấn đề: phiên bản IKE (Internet Key Exchange) không khớp hoặc sự cố NAT traversal. Các thiết bị di động hầu như luôn nằm sau NAT của mạng di động, và máy chủ đám mây của bạn có thể có IP nội bộ riêng. Việc căn chỉnh các lớp này đòi hỏi cấu hình chính xác của chính sách IPsec và xác thực PPP (Point-to-Point Protocol).

Lựa chọn giao thức phù hợp

Trước khi bắt đầu với terminal, hãy xem L2TP/IPsec so với các đối thủ cạnh tranh như thế nào:

  • WireGuard: Tốc độ cực nhanh và hiện đại. Tuy nhiên, nó yêu cầu cài ứng dụng trên mọi thiết bị, điều này đôi khi gây khó khăn cho việc quản lý thiết bị của doanh nghiệp.
  • OpenVPN: Rất linh hoạt nhưng ngốn tài nguyên. Giống như WireGuard, nó yêu cầu phần mềm bên thứ ba.
  • PPTP: Nhanh và được tích hợp sẵn, nhưng về cơ bản đã bị bẻ gãy. Một GPU hiện đại có thể giải mã mã hóa PPTP trong chưa đầy một ngày. Hãy tránh xa nó.
  • L2TP/IPsec: Bảo mật và tích hợp sẵn. Mặc dù nó có độ trễ (overhead) cao hơn khoảng 10-15% so với WireGuard, nhưng việc triển khai “không chạm” (zero-touch) cho người dùng cuối là một thắng lợi lớn.

Cấu hình L2TP/IPsec bảo mật

Chúng ta sẽ sử dụng strongSwan để mã hóa và xl2tpd cho đường hầm. Hướng dẫn này giả định bạn đang sử dụng máy chủ Ubuntu 22.04 hoặc Debian sạch với một IP công cộng.

Bước 1: Cài đặt các gói cốt lõi

Cập nhật hệ thống và tải các gói cần thiết. Chúng ta bao gồm cả libcharon-extra-plugins để đảm bảo hỗ trợ các bộ mã hóa đa dạng mà các hệ điều hành khác nhau yêu cầu.

sudo apt update
sudo apt install strongswan xl2tpd libcharon-extra-plugins -y

Bước 2: Xác định lớp mã hóa (strongSwan)

Máy chủ của bạn cần biết cách xử lý quá trình bắt tay ban đầu. Chỉnh sửa tệp /etc/ipsec.conf. Chúng ta sử dụng cấu hình hỗ trợ IKEv1 cho các thiết bị cũ trong khi vẫn duy trì các thuật toán mã hóa mạnh.

# /etc/ipsec.conf
config setup
    uniqueids=no

conn L2TP-IPsec-Native
    type=transport
    authby=secret
    keyexchange=ikev1
    left=%any
    leftprotoport=17/1701
    right=%any
    rightprotoport=17/%any
    auto=add
    ike=aes128-sha1-modp2048,aes256-sha1-modp2048,3des-sha1-modp1024
    esp=aes128-sha1,aes256-sha1,3des-sha1

Tiếp theo, xác định Pre-Shared Key (PSK) trong /etc/ipsec.secrets. Đây là “Shared Secret” (Chuỗi bí mật chia sẻ) mà người dùng sẽ nhập vào cài đặt thiết bị của họ.

# /etc/ipsec.secrets
%any %any : PSK "Chuoi_Bi_Mat_Chia_Se_Cuc_Manh_Cua_Ban"

Bước 3: Xây dựng đường hầm (xl2tpd)

Sau khi thiết lập mã hóa, chúng ta chỉ định cho daemon L2TP cách định tuyến lưu lượng. Chỉnh sửa /etc/xl2tpd/xl2tpd.conf để xác định dải IP nội bộ của bạn.

[global]
port = 1701

[lns default]
ip range = 192.168.42.10-192.168.42.250
local ip = 192.168.42.1
refuse pap = yes
refuse chap = yes
refuse mschap = yes
require mschap-v2 = yes
ppp debug = yes
pppoptfile = /etc/ppp/options.xl2tpd
length bit = yes

Bước 4: Xác thực người dùng

Tệp tùy chọn PPP quản lý cách người dùng đăng nhập. Tạo tệp /etc/ppp/options.xl2tpd. Lưu ý chỉ số MTU là 1200; điều này giúp ngăn chặn phân mảnh gói tin trên các mạng di động không ổn định.

ms-dns 8.8.8.8
ms-dns 8.8.4.4
auth
mtu 1200
mru 1200
nodefaultroute
proxyarp
silent
name l2tpd
refuse-pap
refuse-chap
refuse-mschap
require-mschap-v2
iocp
logfile /var/log/xl2tpd.log

Bây giờ, hãy thêm người dùng của bạn vào /etc/ppp/chap-secrets. Định dạng rất đơn giản: "tên_đăng_nhập" "dịch_vụ" "mật_khẩu" "ip_cho_phép".

# /etc/ppp/chap-secrets
"nguoi_dung_sales_1" l2tpd "MatKhauPhucTap99!" *

Bước 5: Quy tắc mạng và tường lửa

VPN sẽ chưa định tuyến được lưu lượng. Bạn phải bật tính năng chuyển tiếp IP (IP forwarding) trong nhân để máy chủ có thể hoạt động như một gateway. Chỉnh sửa /etc/sysctl.conf:

net.ipv4.ip_forward = 1
net.ipv4.conf.all.accept_redirects = 0
et.ipv4.conf.all.send_redirects = 0

Áp dụng các thay đổi này bằng lệnh sudo sysctl -p. Sau đó, cấu hình IPTables để xử lý NAT masquerading. Thay thế eth0 bằng giao diện mạng WAN thực tế của bạn (tìm nó bằng lệnh ip route).

# Bat NAT
iptables -t nat -A POSTROUTING -s 192.168.42.0/24 -o eth0 -j MASQUERADE
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -s 192.168.42.0/24 -j ACCEPT

# Mo cac cong UDP cho IPsec va L2TP
iptables -A INPUT -p udp --dport 500 -j ACCEPT
iptables -A INPUT -p udp --dport 4500 -j ACCEPT
iptables -A INPUT -p udp --dport 1701 -j ACCEPT

Bước 6: Kích hoạt các dịch vụ

Khởi động lại các daemon để đưa đường hầm vào hoạt động:

sudo systemctl restart strongswan-starter
sudo systemctl restart xl2tpd

Rắc rối với NAT trên Windows

Nếu iOS kết nối hoàn hảo nhưng Windows thất bại ngay lập tức, đừng hoảng loạn. Theo mặc định, Windows vô hiệu hóa các kết nối IPsec tới các máy chủ nằm sau NAT. Tôi đã thấy vấn đề này làm trì hoãn việc triển khai trong nhiều ngày. Để khắc phục, bạn phải thêm một registry key trên máy Windows Client:

  1. Mở regedit.
  2. Truy cập HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent.
  3. Tạo một giá trị DWORD (32-bit) Value tên là AssumeUDPEncapsulationContextOnSendRule.
  4. Đặt giá trị là 2.
  5. Khởi động lại máy tính.

Tại sao thiết lập này hiệu quả

L2TP/IPsec có thể không phải là giao thức mới nhất, nhưng sự phổ biến của nó là một siêu năng lực. Bằng cách làm theo hướng dẫn này, bạn cung cấp một trải nghiệm mượt mà. Người dùng chỉ cần vào phần cài đặt, nhập IP máy chủ, chuỗi bí mật chia sẻ và thông tin đăng nhập của họ. Không cần tải xuống, không gây nhầm lẫn, chỉ là một con đường an toàn để kết nối về văn phòng.

Nếu bạn gặp bế tắc, hãy kiểm tra /var/log/syslog. Hầu hết các vấn đề kết nối đều được giải quyết bằng cách thêm một bộ mã hóa còn thiếu vào các dòng ike hoặc esp để đáp ứng chính sách bảo mật của một thiết bị cụ thể.

Share:
Tags: