Belajar L2TP IPsec - Instalasi & Setup Awal

#Pendahuluan

Teori arsitektur sudah kalian kuasai di episode 2. Episode 3 membawa kalian ke praktik pertama: memasang semua komponen di server dan menyusun konfigurasi awal yang benar-benar berjalan. Setelah episode ini, server kalian akan memiliki daemon IPsec dan L2TP aktif, siap menerima koneksi di episode-episode berikutnya.

Kita akan menginstall di Debian/Ubuntu sebagai jalan utama, mengenali empat file konfigurasi inti, mengisi versi awal yang aman, lalu memverifikasi semua service. Detail setiap opsi akan kita bedah satu per satu di episode 9, 10, dan 11 — di sini fokusnya adalah memastikan semuanya terpasang dan hidup.

#Instalasi di Debian dan Ubuntu

#Install Paket Inti

Gunakan package manager dengan hak root. Paket libreswan menyediakan daemon IPsec, xl2tpd menyediakan daemon L2TP, dan ppp menyediakan daemon PPP:

sudo apt update
sudo apt install libreswan xl2tpd ppp

Verifikasi bahwa semua binary sudah tersedia dan versinya dikenali:

ipsec --version
xl2tpd --version
pppd --version

#Nonaktifkan Service yang Saling Bentrok

Jika ada daemon IPsec lain (misalnya strongSwan) atau xl2tpd lama, matikan dan nonaktifkan agar tidak merebut port UDP 500, 4500, dan 1701:

sudo systemctl disable --now strongswan-starter 2>/dev/null || true
sudo systemctl disable --now xl2tpd

#Empat File Konfigurasi Inti

Semua file berada di bawah /etc. Empat file berikut adalah jantung konfigurasi L2TP/IPsec dan akan dipakai di seluruh series:

• /etc/ipsec.conf — definisi connection IPsec.
• /etc/ipsec.secrets — secret untuk otentikasi, termasuk PSK.
• /etc/xl2tpd/xl2tpd.conf — konfigurasi daemon L2TP sebagai LNS.
• /etc/ppp/options.xl2tpd — opsi session PPP.

Lihat isi awal kedua file IPsec:

cat /etc/ipsec.conf
cat /etc/ipsec.secrets

File bawaan biasanya berisi blok config setup di ipsec.conf dan satu baris contoh di ipsec.secrets. Keduanya akan kita timpa dengan versi produksi di bawah.

#Konfigurasi Awal yang Aman

#ipsec.conf untuk Remote Access

Buat /etc/ipsec.conf dengan satu connection bernama L2TP-PSK. Blok ini memakai ESP dalam transport mode yang melindungi UDP 1701, dengan IKEv1 diaktifkan secara eksplisit karena Libreswan 5.x menonaktifkannya secara default:

config setup
    logfile=/var/log/pluto.log
    virtual_private=%v4:10.0.0.0/8
 
conn L2TP-PSK
    type=transport
    left=%any
    leftprotoport=17/1701
    right=%any
    rightprotoport=17/%any
    authby=secret
    ikev2=never
    phase2alg=aes128-sha1
    pfs=no
    auto=add

Baris ikev2=never memaksa IKEv1 — syarat agar client remote-access klasik dengan PSK bisa terhubung. Arti setiap baris akan dibahas di episode 9.

#ipsec.secrets untuk PSK

Buat /etc/ipsec.secrets dengan izin ketat. Baris %any %any : PSK "..." berarti semua peer memakai kunci bersama yang sama:

%any %any : PSK "ganti-dengan-random-string-panjang"

Setelah menulis, kunci file agar hanya root yang bisa membacanya:

sudo chmod 600 /etc/ipsec.secrets
sudo ipsec verify

Perintah ipsec verify menjalankan pemeriksaan sistem secara menyeluruh — dari koneksi kernel NETKEY hingga keberadaan modul xfrm.

#Preview xl2tpd dan PPP

Dua file lain akan dipasang lengkap di episode 11. Untuk setup awal, cukup pastikan daemon xl2tpd berjalan tanpa konfigurasi khusus:

sudo systemctl enable --now xl2tpd
sudo systemctl status xl2tpd --no-pager

Status harus menunjukkan active (running). Jika gagal, cek log dengan journalctl -u xl2tpd.

#Verifikasi Service

Lakukan verifikasi menyeluruh setelah semua daemon aktif:

sudo systemctl status ipsec --no-pager
sudo systemctl status xl2tpd --no-pager
ipsec status
sudo ss -ulnp | grep -E '500|1701|4500'

Output ipsec status menampilkan Total IPsec connections: 1 untuk connection L2TP-PSK yang sudah added tetapi belum up — normal selama belum ada client yang terhubung. Perintah ss harus menunjukkan bahwa UDP 500, 4500, dan 1701 sedang mendengarkan.

#Penutup

Episode 3 menyelesaikan setup awal: Libreswan, xl2tpd, dan ppp terpasang; empat file konfigurasi inti dikenali; ipsec.conf dan ipsec.secrets diisi versi awal; dan seluruh service diverifikasi berjalan.

Inti yang harus dibawa pulang:

• Empat file inti: ipsec.conf, ipsec.secrets, xl2tpd.conf, dan options.xl2tpd.
• Libreswan 5.x memerlukan ikev2=never agar IKEv1 aktif.
• ipsec.secrets harus berizin 600 dan diisi PSK acak yang panjang.
• ipsec verify memeriksa kesiapan stack IPsec secara otomatis.
• Service ipsec dan xl2tpd harus aktif, dan UDP 500, 4500, 1701 terbuka.
• Konfigurasi xl2tpd dan PPP lengkap menyusul di episode 11.

Di episode 4 selanjutnya kita akan membahas IKEv1 dan IKEv2 — perbedaan Main Mode dan Aggressive Mode, alur Phase 1 dan Phase 2 IKEv1, keunggulan single exchange IKEv2, serta kapan memakai yang mana. Ini menentukan pilihan ike= di konfigurasi kalian.