Belajar L2TP IPsec - Authentication: PSK, Certificates & XAUTH

#Pendahuluan

IKE menentukan cara membangun kunci, tapi ada satu pertanyaan yang lebih mendasar: siapa yang boleh berbicara? Episode 6 membahas authentication — mekanisme untuk membuktikan identitas sebelum tunnel diizinkan berdiri. L2TP/IPsec menawarkan tiga pendekatan utama: Pre-Shared Key, sertifikat X.509, dan Extended Authentication (XAUTH).

Pilihan metode otentikasi adalah keputusan keamanan paling berdampak dalam seluruh deployment. Memakai PSK yang sama untuk seribu pengguna sangat berbeda dari memberi setiap pengguna sertifikat pribadi. Mari kita bedah kekuatan, kelemahan, dan implementasi masing-masing.

#Pre-Shared Key (PSK)

#Mudah, Tapi Dibatasi

PSK adalah kunci rahasia bersama yang dikonfigurasi di kedua ujung. Setup-nya paling sederhana — cukup satu baris di ipsec.secrets dan nilai yang sama di sisi client. PSK dipakai bersama IKEv1 Main Mode untuk mengotentikasi kedua pihak secara simetris.

Kelemahan utamanya: satu PSK biasanya dipakai bersama oleh semua pengguna. Jika bocor, semua koneksi bisa dibobol sampai PSK diganti. Karena itu PSK hanya cocok untuk environment kecil dengan pengguna yang dipercaya, dan wajib diganti secara berkala.

Konfigurasinya di Libreswan:

203.0.113.10 198.51.100.20 : PSK "rahasia-bersama-yang-panjang"

Dan pemilihannya lewat authby=secret di ipsec.conf:

conn L2TP-PSK
    authby=secret

#Sertifikat X.509

#Mutual Authentication dengan Hirarki CA

Untuk enterprise, sertifikat X.509 adalah standarnya. Setiap host memiliki pasangan kunci publik-privat; identitas dibuktikan lewat tanda tangan digital dan dirantai ke Certificate Authority (CA) yang dipercaya. Hasilnya adalah mutual authentication: server membuktikan identitasnya ke client, dan client membuktikan identitasnya ke server — tanpa berbagi satu rahasia bersama.

Sertifikat memecahkan masalah pembagian PSK: setiap pengguna punya kredensial sendiri yang bisa dicabut (revoke) tanpa mempengaruhi pengguna lain. Detail manajemen CA, CRL, dan OCSP akan dibahas menyeluruh di episode 16. Untuk sekarang, kenali bentuk konfigurasinya:

conn vpn-cert
    authby=rsasig
    leftcert=server.pem
    rightca=%same
    leftid=@vpn.example.com
    rightid=%fromcert

Kolom leftcert=server.pem menunjuk sertifikat server, sedangkan rightca=%same menegaskan bahwa CA client harus sama dengan CA server. Sertifikat disimpan di database NSS Libreswan, bukan di file biasa.

#Extended Authentication (XAUTH)

#Otentikasi Pengguna di Atas IPsec SA

XAUTH adalah lapisan tambahan khas IKEv1 yang mengotentikasi pengguna — bukan hanya mesin — memakai username dan password. Alurnya bertingkat: Phase 1 membangun IPsec SA, lalu XAUTH berjalan sebagai otentikasi kedua yang meminta kredensial pengguna, dan hanya setelah sukses tunnel IPsec benar-benar aktif.

XAUTH bisa menyalurkan kredensial ke file lokal, RADIUS, atau LDAP. Di Libreswan, aktifkan dengan:

conn vpn-xauth
    authby=secret
    xauthby=file
    xauthfail=hard
    leftxauthserver=yes
    rightxauthclient=yes

Data pengguna disimpan di /etc/ipsec.d/passwd dengan format:

budi:$1$abcdefgh$hashmd5panjang:192.168.42.5
sari:$1$abcdefgh$hashmd5panjang:192.168.42.6

Gunakan openssl passwd -1 untuk menghasilkan hash MD5 crypt yang sesuai. Kolom ketiga (opsional) menentukan Virtual IP statis yang akan dibahas di episode 17.

#Memilih Metode yang Tepat

#Matriks Keputusan

Tidak ada satu metode yang selalu terbaik — keputusan mengikuti skala dan model ancaman:

• Kurang dari 10 pengguna, semua dipercaya: PSK cukup, ganti secara berkala.
• Enterprise, banyak pengguna, butuh revoke: wajib sertifikat X.509.
• Otentikasi per pengguna dengan kredensial yang sama seperti sistem lain: XAUTH dengan RADIUS atau LDAP.
• Compliance ketat: kombinasi sertifikat untuk mesin dan XAUTH atau EAP untuk pengguna.

Perhatikan pula interaksinya: XAUTH adalah fitur IKEv1; pada IKEv2 perannya digantikan EAP. Jadi keputusan versi IKE di episode 4 ikut menentukan opsi otentikasi yang tersedia.

Tidak ada aturan baku yang mengunci pilihan — kombinasi metode justru umum dipakai. Misalnya PSK untuk kecepatan deploy di lab, lalu naik ke sertifikat saat sistem dibuka untuk banyak pengguna. Yang penting, keputusan ini terdokumentasi dan disetujui, karena metode otentikasi adalah komponen keamanan yang paling terlihat oleh pengguna.

#Penutup

Episode 6 melengkapi tiga pilar otentikasi L2TP/IPsec: PSK yang sederhana untuk skala kecil, sertifikat X.509 dengan mutual authentication untuk enterprise, dan XAUTH untuk otentikasi pengguna lewat file, RADIUS, atau LDAP.

Inti yang harus dibawa pulang:

• PSK simpel tapi berisiko jika dipakai bersama banyak pengguna.
• Sertifikat X.509 memberi mutual authentication dan revoke per pengguna.
• XAUTH menambah otentikasi pengguna di atas IPsec SA IKEv1.
• authby=secret untuk PSK, authby=rsasig untuk sertifikat.
• xauthby=file atau xauthby=radius untuk menyimpan pengguna XAUTH.
• Jangan kombinasikan XAUTH dengan Aggressive Mode.

Di episode 7 selanjutnya kita akan membahas PPP dan konfigurasi L2TP — cara PPP membawa paket, protokol otentikasi PAP, CHAP, MS-CHAPv2, dan EAP, serta urutan handshake tunnel SCCRQ sampai session ICCN.