6.9. IPsec VPN 接続の TCP フォールバックの設定

手順

1. /etc/ipsec.conf ファイルを編集し、config setup セクションで次の変更を加えます。

   1. TCP ポートをリッスンするように Libreswan を設定します。

      listen-tcp=yes

      Copy to Clipboard Toggle word wrap

   2. デフォルトでは、Libreswan はポート 4500 をリッスンします。別のポートを使用する場合は、次のように入力します。

      tcp-remoteport=<port_number>

      Copy to Clipboard Toggle word wrap

   3. UDP が利用できない場合に TCP をフォールバックオプションとして使用するか、TCP を永続的に使用するかを決定します。

      • フォールバックオプションとして使用するには、次のように入力します。

        enable-tcp=fallback
        retransmit-timeout=5s

        Copy to Clipboard Toggle word wrap

        デフォルトでは、Libreswan は UDP を使用した接続の試行が失敗した後、TCP 経由の接続を再試行するまで 60 秒間待機します。retransmit-timeout 値を下げると遅延が短縮され、フォールバックプロトコルをより迅速に開始できるようになります。

      • UDP の代わりに永続的に使用するには、次のように入力します。

        enable-tcp=yes

        Copy to Clipboard Toggle word wrap

2. ipsec サービスを再起動します。

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap

3. デフォルトの 4500 以外の TCP ポートを設定した場合は、ファイアウォールでそのポートを開きます。

   # firewall-cmd --permanent --add-port=<tcp_port>/tcp
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap
4. このゲートウェイを使用する各ピアでこの手順を繰り返します。