Belajar L2TP IPsec - Production-Ready Deployment

#Pendahuluan

Semua konfigurasi di lab sudah dikuasai. Episode 21 menaikkan standar: apa yang harus dipenuhi agar deployment L2TP/IPsec layak disebut production-ready — tidak cukup hanya berfungsi, tapi juga aman, terpantau, dan bisa pulih dari kegagalan.

Kita akan membedah checklist produksi dari tujuh aspek: key management, firewall, perpanjangan sertifikat, backup, disaster recovery, monitoring, dan opsi deployment dalam container. Pada akhir episode, kalian punya kerangka evaluasi untuk setiap deployment yang sedang berjalan.

#Checklist Deployment Produksi

#Key Management

Seluruh rahasia harus dikelola terpusat, bukan disebar di file:

• PSK dan kredensial disimpan di vault atau secret manager.
• Akses ke ipsec.secrets dan chap-secrets dibatasi root saja.
• Rotasi PSK terjadwal dan terdokumentasi.
• Kunci privat server tidak pernah meninggalkan mesin.

#Firewall dan Network

Audit aturan firewall sebagai bagian dari proses perubahan:

sudo ss -ulnp
sudo nft list ruleset

Pastikan hanya UDP 500, 4500, dan 1701 yang terbuka, plus SSH dari subnet terpercaya. Tidak ada port lain yang terekspos ke internet.

#Sertifikat, Backup, dan DR

Sertifikat wajib diperpanjang otomatis dan dipantau. Backup harus mencakup semua yang diperlukan untuk membangun ulang server: konfigurasi di /etc/ipsec.conf, /etc/xl2tpd/, /etc/ppp/, database NSS /etc/ipsec.d/, dan catatan chap-secrets. Uji pemulihan di mesin kosong secara berkala — backup yang tidak pernah diuji sama dengan tidak punya backup.

#Monitoring dan Observability

#Metrik yang Harus Dipantau

Aktifkan pemantauan untuk metrik inti:

• Ketersediaan SA: jumlah tunnel up versus total.
• Latensi: ping dan packet loss dari client ke LNS.
• Throughput: volume traffic per tunnel.
• Otentikasi gagal: lonjakan kegagalan PPP atau IKE.

Alat monitoring standar:

ipsec statusall | grep -c "up "
ip -s link show ppp0
sudo journalctl -u strongswan | grep -i "failed"

Gunakan Prometheus dan Grafana untuk skala besar, dengan exporter IPsec yang tersedia di ekosistem open-source. Jangan lupa alerting: buat peringatan untuk tunnel yang down lebih dari beberapa menit dan sertifikat yang tersisa kurang dari 30 hari. Mulailah dari yang sederhana — jalankan ipsec statusall lewat cron setiap menit dan catat jumlah SA ke log; data historis sederhana ini sudah cukup untuk mendeteksi tren sebelum masalah membesar.

#Production Stack dan Container

#Arsitektur Produksi

Stack produksi yang matang menggabungkan semua yang sudah dipelajari: Libreswan atau strongSwan sebagai IPsec, xl2tpd sebagai LNS, ppp untuk session, FreeRADIUS untuk otentikasi, dan LDAP sebagai direktori pengguna. Semua di belakang firewall, dengan HA dan monitoring.

#Deployment Docker

Container memudahkan konsistensi dan skala. Image seperti docker-vpn membungkus IPsec dan xl2tpd. Contoh docker-compose.yml:

services:
  vpn:
    image: hwdsl2/ipsec-vpn-server:latest
    container_name: l2tp-ipsec
    privileged: true
    restart: unless-stopped
    ports:
      - "500:500/udp"
      - "4500:4500/udp"
    environment:
      VPN_IPSEC_PSK: "${VPN_IPSEC_PSK}"
      VPN_USER: "${VPN_USER}"
      VPN_PASSWORD: "${VPN_PASSWORD}"
    volumes:
      - vpn-libreswan:/etc/ipsec.d
      - vpn-libreswan:/etc/ipsec.d/private
 
volumes:
  vpn-libreswan:

Image memerlukan privileged karena modul IPsec membutuhkan akses kernel. Secret diambil dari environment atau vault, bukan di-commit ke repository.

#Penutup

Episode 21 menyusun kerangka production-ready: checklist key management, firewall, sertifikat, backup, dan DR; pemantauan metrik inti dengan alerting; serta opsi deployment native maupun container.

Inti yang harus dibawa pulang:

• Kelola PSK dan kredensial di vault; batasi akses ke file secret.
• Audit port terbuka dan pastikan hanya UDP 500, 4500, dan 1701.
• Perpanjang sertifikat otomatis dan pantau masa berlakunya.
• Backup mencakup konfigurasi, NSS, dan chap-secrets; uji pemulihannya.
• Pantau ketersediaan SA, latensi, throughput, dan kegagalan otentikasi.
• Container mempermudah konsistensi tapi butuh privileged dan modul kernel.

Di episode 22 — episode terakhir — kita akan membahas ekosistem alternatif dan refleksi akhir: membandingkan L2TP/IPsec dengan OpenVPN, WireGuard, dan IKEv2 murni, merekap seluruh journey, serta memberikan checklist dan nasihat migrasi.