Belajar L2TP IPsec - Virtual IP & Address Management

#Pendahuluan

Setiap client VPN membutuhkan alamat IP di jaringan internal — tapi dari mana alamat itu berasal? Episode 17 membahas address management: alokasi Virtual IP lewat mekanisme bawaan IKE, kolam alamat di sisi server, dan integrasi penuh dengan RADIUS untuk alokasi dinamis sekaligus accounting.

Dengan alamat yang dikelola dengan benar, kalian bisa menerapkan kebijakan akses per pengguna, melakukan audit siapa memakai alamat apa, dan mengalokasikan subnet khusus berdasarkan grup. Ini adalah fondasi operasional untuk deployment berskala besar.

#Virtual IP: ModeConfig dan Configuration Payload

#IKEv1 ModeConfig dan IKEv2 CP

Alokasi alamat lewat IKE disebut ModeConfig di IKEv1 dan Configuration Payload (CP) di IKEv2. Server mengirimkan alamat IP yang ditetapkan untuk client sebagai bagian dari negosiasi, bersama opsi lain seperti DNS dan waktu rotasi alamat.

Di sisi server, kolam alamat ditentukan dengan rightsourceip. Saat client menerima alamat dari kolam ini, interface-nya dibuat dan routing disetel otomatis oleh daemon IPsec.

#Kolam Alamat di Libreswan

#rightsourceip

Libreswan mengalokasikan Virtual IP dengan rightsourceip dan mengaktifkan ModeConfig dengan modecfgserver:

conn vpn-pool
    type=tunnel
    left=%any
    leftsubnet=10.10.10.0/24
    right=%any
    rightaddresspool=192.168.42.10-192.168.42.250
    modecfgserver=yes
    modecfgdns1=8.8.8.8
    modecfgdns2=1.1.1.1

Nilai rightaddresspool=192.168.42.10-192.168.42.250 adalah rentang alamat yang akan dibagikan. Pilih rentang yang tidak bentrok dengan jaringan LAN kalian.

#strongSwan

Di strongSwan, kolam ditentukan di blok pools:

pools {
    vpn_pool {
        addrs = 192.168.42.10-192.168.42.250
        dns = 8.8.8.8, 1.1.1.1
    }
}
connections {
    vpn-ikev2 {
        pools = vpn_pool
        ...
    }
}

#Integrasi RADIUS

#FreeRADIUS untuk Alokasi dan Accounting

Untuk environment enterprise, alokasi statis atau per-pengguna dilakukan lewat RADIUS. Server meminta atribut alamat ke FreeRADIUS, yang bisa memutuskan berdasarkan user dan grup. Konfigurasi dasar FreeRADIUS:

budi  Cleartext-Password := "rahasia-budi"
      Framed-IP-Address = 192.168.42.50,
      Framed-IP-Netmask = 255.255.255.255,
      Framed-Protocol = PPP

Attribut Framed-IP-Address menentukan alamat tetap untuk pengguna budi. FreeRADIUS juga menerima paket Accounting dari NAS sehingga kalian bisa mencatat durasi dan volume traffic per session.

#Hubungkan pppd dan IPsec ke RADIUS

Di sisi PPP, pppd dihubungkan ke RADIUS dengan modul radius:

plugin radius.so
radius-config-file /etc/ppp/radius.conf
require-mschap-v2

Sementara itu, IKEv2 dengan EAP-RADIUS menghubungkan strongSwan ke FreeRADIUS lewat plug-in eap-radius. Kombinasi keduanya memberi satu sumber kebenaran untuk kredensial pengguna.

#Memilih Strategi Alokasi

#Kapan Memakai yang Mana

• Kolam statis (rightsourceip): cukup untuk deployment kecil-menengah tanpa banyak kebijakan.
• Framed-IP di RADIUS: alamat tetap per pengguna — berguna untuk audit dan firewall berbasis IP.
• Kolam dinamis + atribut grup RADIUS: alokasi subnet berbeda per grup, misalnya divisi keuangan dan engineering.
• Accounting: wajib untuk tagihan, audit keamanan, dan deteksi anomali.

Verifikasi alokasi setelah client terhubung:

sudo ipsec statusall | grep -E "virtual|pool"
ip addr show ppp0

ppp0 di sisi client harus menampilkan alamat yang diambil dari kolam.

#Penutup

Episode 17 melengkapi manajemen alamat: Virtual IP lewat ModeConfig dan Configuration Payload, kolam alamat dengan rightaddresspool, serta integrasi FreeRADIUS untuk alokasi per pengguna dan accounting.

Inti yang harus dibawa pulang:

• ModeConfig (IKEv1) dan Configuration Payload (IKEv2) mengalokasikan Virtual IP.
• rightaddresspool di Libreswan dan blok pools di strongSwan menentukan kolam.
• modecfgserver=yes mengaktifkan ModeConfig di Libreswan.
• FreeRADIUS bisa mengalokasikan alamat tetap via Framed-IP-Address.
• Modul radius.so menghubungkan pppd ke RADIUS.
• Hindari overlap antara subnet Virtual IP dan subnet LAN.

Di episode 18 selanjutnya kita akan membahas dukungan client mobile — cara mengonfigurasi L2TP/IPsec di iOS, Android, Windows, dan macOS, membuat profile terpusat, serta troubleshooting koneksi dari perangkat.