2.4.2.2. Konfiguration

Speicherorte

Dieser Abschnitt erläutert die Dateien und Verzeichnisse, die zur Konfiguration von Openswan wichtig sind.

/etc/ipsec.d - Hauptverzeichnis. Speichert die Dateien im Zusammenhang mit Openswan.
/etc/ipsec.conf - Hauptkonfigurationsdatei. Weitere *.conf-Konfigurationsdateien für individuelle Konfigurationen können in /etc/ipsec.d erstellt werden.
/etc/ipsec.secrets - Hauptgeheimnisdatei. Weitere *.secrets-Dateien für individuelle Konfigurationen können in /etc/ipsec.d erstellt werden.
/etc/ipsec.d/cert*.db - Zertifikatsdatenbankdateien. Die alte standardmäßige NSS-Datenbankdatei ist cert8.db. Ab Red Hat Enterprise Linux 6 werden NSS SQLite-Datenbanken in der cert9.db-Datei verwendet.
/etc/ipsec.d/key*.db - Schlüssedatenbankdateien. Die alte standardmäßige NSS-Datenbankdatei ist key3.db. Ab Red Hat Enterprise Linux 6 werden NSS SQLite-Datenbanken in der cert9.db-Datei verwendet.
/etc/ipsec.d/cacerts - Speicherort für Zertifikate von Zertifikatsstellen (auch Certificate Authorities, kurz CA).
/etc/ipsec.d/certs - Speicherort für Benutzerzertifikate. Nicht notwendig bei der Verwendung von NSS.
/etc/ipsec.d/policies - Gruppenrichtlinien. Richtlinien können als block, clear, clear-or-private, private oder private-or-clear definiert werden.
/etc/ipsec.d/nsspassword - NSS-Passwortdatei. Diese Datei ist standardmäßig nicht vorhanden, wird jedoch benötigt, falls die NSS-Datenbank mit einem Passwort erstellt wird.

Konfigurationsparameter

Dieser Abschnitt listet einige der verfügbaren Konfigurationsoptionen auf, von denen die meisten in /etc/ipsec.conf gespeichert werden.

protostack - definert den verwendeten Protokollstapel. Die standardmäßige Option in Red Hat Enterprise Linux 6 ist netkey. Andere gültige Werte sind auto, klips und mast.
nat_traversal - definiert, ob NAT für Verbindungen akzeptiert wird. Standardmäßig ist dies nicht der Fall.
dumpdir - definiert den Speicherort für Speicherauszugsdateien.
nhelpers - falls NSS eingesetzt wird, definiert dies die Anzahl der Threads, die für kryptografische Operationen verwendet werden. Falls NSS nicht eingesetzt wird, definiert dies die Anzahl der Prozesse, die für kryptografische Operationen verwendet werden.
virtual_private - erlaubte Subnetze für die Client-Verbindung. Bereiche, die sich hinter einem NAT-Router befinden können, über den ein Client verbindet.
plutorestartoncrash - standardmäßig auf "yes" gesetzt.
plutostderr - Pfad zum Puto-Fehlerprotokoll. Verweist standardmäßig auf den syslog-Speicherort.
connaddrfamily - kann entweder auf ipv4 oder ipv6 gesetzt werden.

Weitere Details über die Openswan-Konfiguration finden Sie auf der ipsec.conf(5)-Handbuchseite.