6.10. Configurer un VPN IPsec pour utiliser TCP
Libreswan prend en charge l'encapsulation TCP des paquets IKE et IPsec, comme décrit dans la RFC 8229. Grâce à cette fonctionnalité, vous pouvez établir des VPN IPsec sur des réseaux qui empêchent le trafic transmis via UDP et Encapsulating Security Payload (ESP). Vous pouvez configurer les serveurs et les clients VPN pour qu'ils utilisent TCP soit comme protocole de secours, soit comme protocole de transport VPN principal. L'encapsulation TCP étant plus coûteuse en termes de performances, n'utilisez TCP comme protocole VPN principal que si l'UDP est bloqué en permanence dans votre scénario.
Conditions préalables
- Un VPN d'accès à distance est déjà configuré.
Procédure
Ajoutez l'option suivante au fichier
/etc/ipsec.confdans la sectionconfig setup:listen-tcp=yes
Pour utiliser l'encapsulation TCP comme option de repli lorsque la première tentative via UDP échoue, ajoutez les deux options suivantes à la définition de la connexion du client :
enable-tcp=fallback tcp-remoteport=4500
Sinon, si vous savez que UDP est bloqué en permanence, utilisez les options suivantes dans la configuration de la connexion du client :
enable-tcp=yes tcp-remoteport=4500
Ressources supplémentaires
