4.5.4. IPsec 暗号化の検証

手順

1. 次のコマンドを実行して、マネージドクラスターのデバッグ Pod を起動します。

   $ oc debug node/<node_name>

2. 次のコマンドを実行して、IPsec ポリシーがクラスターノードに適用されていることを確認します。

   sh-5.1# ip xfrm policy

   出力例

   src 172.16.123.0/24 dst 10.1.232.10/32
     dir out priority 1757377 ptype main
     tmpl src 10.1.28.190 dst 10.1.232.10
       proto esp reqid 16393 mode tunnel
   src 10.1.232.10/32 dst 172.16.123.0/24
     dir fwd priority 1757377 ptype main
     tmpl src 10.1.232.10 dst 10.1.28.190
       proto esp reqid 16393 mode tunnel
   src 10.1.232.10/32 dst 172.16.123.0/24
     dir in priority 1757377 ptype main
     tmpl src 10.1.232.10 dst 10.1.28.190
       proto esp reqid 16393 mode tunnel

3. 次のコマンドを実行して、IPsec トンネルが起動し接続されていることを確認します。

   sh-5.1# ip xfrm state

   出力例

   src 10.1.232.10 dst 10.1.28.190
     proto esp spi 0xa62a05aa reqid 16393 mode tunnel
     replay-window 0 flag af-unspec esn
     auth-trunc hmac(sha1) 0x8c59f680c8ea1e667b665d8424e2ab749cec12dc 96
     enc cbc(aes) 0x2818a489fe84929c8ab72907e9ce2f0eac6f16f2258bd22240f4087e0326badb
     anti-replay esn context:
      seq-hi 0x0, seq 0x0, oseq-hi 0x0, oseq 0x0
      replay_window 128, bitmap-length 4
      00000000 00000000 00000000 00000000
   src 10.1.28.190 dst 10.1.232.10
     proto esp spi 0x8e96e9f9 reqid 16393 mode tunnel
     replay-window 0 flag af-unspec esn
     auth-trunc hmac(sha1) 0xd960ddc0a6baaccb343396a51295e08cfd8aaddd 96
     enc cbc(aes) 0x0273c02e05b4216d5e652de3fc9b3528fea94648bc2b88fa01139fdf0beb27ab
     anti-replay esn context:
      seq-hi 0x0, seq 0x0, oseq-hi 0x0, oseq 0x0
      replay_window 128, bitmap-length 4
      00000000 00000000 00000000 00000000

4. 次のコマンドを実行して、外部ホストサブネット内の既知の IP を ping します。たとえば、ipsec/ipsec-endpoint-config.yaml ファイルで設定した rightsubnet 範囲内の IP アドレスを ping します。

   sh-5.1# ping 172.16.110.8

   出力例

   PING 172.16.110.8 (172.16.110.8) 56(84) bytes of data.
   64 bytes from 172.16.110.8: icmp_seq=1 ttl=64 time=153 ms
   64 bytes from 172.16.110.8: icmp_seq=2 ttl=64 time=155 ms