Belajar L2TP IPsec - Site-to-Site L2TP/IPsec

#Pendahuluan

Sampai di sini kita membangun remote access: satu pengguna terhubung ke satu server. Episode 12 mengubah skenarionya menjadi site-to-site — dua jaringan yang dipisahkan internet disambungkan lewat dua gateway. Setiap mesin di kantor cabang bisa berbicara dengan mesin di kantor pusat seolah-olah berada di jaringan yang sama.

Topologi site-to-site L2TP/IPsec memakai dua gateway yang sama-sama berperan sebagai LNS. Karena traffic melintasi dua jaringan berbeda, tunnel mode adalah pilihan yang benar (lihat episode 5). Kita akan menyusun konfigurasi kedua sisi, menghubungkannya, lalu mengatur routing.

#Topologi Gateway-to-Gateway

#Dua Jaringan, Dua LNS

Bayangkan kantor pusat dengan jaringan 10.10.10.0/24 dan cabang dengan 192.168.1.0/24. Kedua gateway punya IP publik sendiri:

Kantor Pusat: 10.10.10.0/24  - gateway 203.0.113.10 (LNS)
Kantor Cabang: 192.168.1.0/24 - gateway 198.51.100.20 (LNS)

Traffic dari cabang menuju pusat melewati tunnel L2TP/IPsec yang dibangun di antara kedua gateway. Karena kedua sisi sama-sama LNS, tunnel dibangun dari salah satu sisi sebagai LAC logis — pada contoh ini sisi cabang yang memulai koneksi.

#Konfigurasi Dua Sisi

#Sisi Kantor Pusat (203.0.113.10)

Di Libreswan, connection site-to-site memakai tunnel mode dengan leftsubnet dan rightsubnet:

conn branch-to-hq
    type=tunnel
    left=203.0.113.10
    leftsubnet=10.10.10.0/24
    right=198.51.100.20
    rightsubnet=192.168.1.0/24
    authby=secret
    ikev2=insist
    ike=aes256-sha2;modp2048
    esp=aes256-sha2
    auto=start

Perhatikan auto=start — gateway pusat aktif membangun koneksi saat boot, bukan menunggu.

#Sisi Kantor Cabang (198.51.100.20)

Sisi cabang adalah bayangan cermin:

conn branch-to-hq
    type=tunnel
    left=198.51.100.20
    leftsubnet=192.168.1.0/24
    right=203.0.113.10
    rightsubnet=10.10.10.0/24
    authby=secret
    ikev2=insist
    ike=aes256-sha2;modp2048
    esp=aes256-sha2
    auto=start

Secrets di kedua sisi harus konsisten. Format di /etc/ipsec.secrets untuk PSK spesifik pasangan:

203.0.113.10 198.51.100.20 : PSK "psk-site-to-site-yang-kuat"

#Routing dan Firewall

#Mengaktifkan IP Forwarding

Agar gateway meneruskan traffic antar jaringan, aktifkan forwarding kernel:

sudo sysctl -w net.ipv4.ip_forward=1
echo "net.ipv4.ip_forward = 1" | sudo tee /etc/sysctl.d/99-ipsec.conf

Selain itu, atur routing: mesin di belakang gateway harus tahu bahwa jaringan jauh bisa dicapai lewat gateway. Tambahkan route statis di setiap router LAN, atau aktifkan routing dinamis — misalnya OSPF melalui interface ppp0 — untuk jaringan yang besar.

#Aturan Firewall

Buka port yang dibutuhkan dan izinkan subnet VPN melewati firewall:

sudo nft add rule inet filter input udp dport 500 accept
sudo nft add rule inet filter input udp dport 4500 accept
sudo nft add rule inet filter forward ip saddr 192.168.1.0/24 accept
sudo nft add rule inet filter forward ip saddr 10.10.10.0/24 accept

Jangan lupa menambahkan rule MASQUERADE atau route balik yang benar, karena traffic dari subnet VPN harus bisa kembali ke jaringan asalnya.

#Verifikasi Koneksi

#Memeriksa SA dan Ping Lintas Jaringan

Setelah kedua sisi berjalan, verifikasi dari salah satu gateway:

sudo ipsec statusall
ping -c 3 198.51.100.20

Jika SA up dan ping lintas gateway berhasil, lanjutkan dari mesin di belakang gateway:

ping -c 3 10.10.10.5

Langkah ini menguji routing penuh — bukan hanya IPsec — karena paket harus masuk tunnel di gateway lalu diteruskan ke mesin tujuan di subnet lain.

#Masalah yang Sering Muncul

Dua kesalahan yang paling umum di deployment site-to-site. Pertama, PSK tidak sama di kedua sisi — negosiasi IKE akan gagal dan log menampilkan authentication failed. Kedua, leftsubnet dan rightsubnet tertukar — SA terbentuk tapi traffic tidak pernah sampai karena subnet tujuan tidak cocok. Periksa keduanya sebelum menyentuh firewall.

#Penutup

Episode 12 membangun site-to-site L2TP/IPsec penuh: topologi dua LNS dengan tunnel mode, konfigurasi cermin di kedua gateway, PSK pasangan di ipsec.secrets, IP forwarding dan routing, serta aturan firewall.

Inti yang harus dibawa pulang:

• Site-to-site memakai dua LNS dan selalu memakai tunnel mode.
• leftsubnet dan rightsubnet mendefinisikan jaringan di belakang gateway.
• PSK pasangan harus sama persis di kedua sisi.
• Aktifkan net.ipv4.ip_forward di kedua gateway.
• Buka UDP 500 dan 4500, lalu izinkan subnet VPN di firewall.
• Routing statis atau dinamis wajib ada di belakang gateway.

Di episode 13 selanjutnya kita akan membahas security analysis dan attack vectors — ancaman seperti PSK brute-force dan Aggressive Mode, downgrade attack, serta mitigasi dengan IKEv2, sertifikat, dan hardening firewall.