18.2. Configuration d'une connexion Ethernet statique avec authentification réseau 802.1X à l'aide de nmstatectl
L'utilitaire nmstate
permet de créer une connexion Ethernet qui utilise la norme 802.1X pour authentifier le client. Par exemple, ajoutez une connexion Ethernet pour l'interface enp1s0
avec les paramètres suivants :
-
Une adresse IPv4 statique -
192.0.2.1
avec un masque de sous-réseau/24
-
Une adresse IPv6 statique -
2001:db8:1::1
avec un masque de sous-réseau/64
-
Une passerelle par défaut IPv4 -
192.0.2.254
-
Une passerelle par défaut IPv6 -
2001:db8:1::fffe
-
Un serveur DNS IPv4 -
192.0.2.200
-
Un serveur DNS IPv6 -
2001:db8:1::ffbb
-
Un domaine de recherche DNS -
example.com
-
802.1X authentification réseau utilisant le protocole d'authentification extensible (EAP)
TLS
La bibliothèque nmstate
ne prend en charge que la méthode EAP TLS
.
Conditions préalables
- Le réseau prend en charge l'authentification réseau 802.1X.
- Le nœud géré utilise NetworkManager.
Les fichiers suivants, nécessaires à l'authentification TLS, existent sur le client :
-
La clé client stockée se trouve dans le fichier
/etc/pki/tls/private/client.key
, qui appartient à l'utilisateurroot
et ne peut être lu que par lui. -
Le certificat du client est stocké dans le fichier
/etc/pki/tls/certs/client.crt
. -
Le certificat de l'autorité de certification (CA) est stocké dans le fichier
/etc/pki/tls/certs/ca.crt
.
-
La clé client stockée se trouve dans le fichier
Procédure
Créez un fichier YAML, par exemple
~/create-ethernet-profile.yml
, avec le contenu suivant :--- interfaces: - name: enp1s0 type: ethernet state: up ipv4: enabled: true address: - ip: 192.0.2.1 prefix-length: 24 dhcp: false ipv6: enabled: true address: - ip: 2001:db8:1::1 prefix-length: 64 autoconf: false dhcp: false 802.1x: ca-cert: /etc/pki/tls/certs/ca.crt client-cert: /etc/pki/tls/certs/client.crt eap-methods: - tls identity: client.example.org private-key: /etc/pki/tls/private/client.key private-key-password: password routes: config: - destination: 0.0.0.0/0 next-hop-address: 192.0.2.254 next-hop-interface: enp1s0 - destination: ::/0 next-hop-address: 2001:db8:1::fffe next-hop-interface: enp1s0 dns-resolver: config: search: - example.com server: - 192.0.2.200 - 2001:db8:1::ffbb
--- interfaces: - name: enp1s0 type: ethernet state: up ipv4: enabled: true address: - ip: 192.0.2.1 prefix-length: 24 dhcp: false ipv6: enabled: true address: - ip: 2001:db8:1::1 prefix-length: 64 autoconf: false dhcp: false 802.1x: ca-cert: /etc/pki/tls/certs/ca.crt client-cert: /etc/pki/tls/certs/client.crt eap-methods: - tls identity: client.example.org private-key: /etc/pki/tls/private/client.key private-key-password: password routes: config: - destination: 0.0.0.0/0 next-hop-address: 192.0.2.254 next-hop-interface: enp1s0 - destination: ::/0 next-hop-address: 2001:db8:1::fffe next-hop-interface: enp1s0 dns-resolver: config: search: - example.com server: - 192.0.2.200 - 2001:db8:1::ffbb
Copy to Clipboard Copied! Appliquer les paramètres au système :
nmstatectl apply ~/create-ethernet-profile.yml
# nmstatectl apply ~/create-ethernet-profile.yml
Copy to Clipboard Copied!
Vérification
- Accéder aux ressources du réseau qui nécessitent une authentification réseau.