ネットワークの設定および管理

1. Dell システムのみ: /usr/lib/udev/rules.d/71-biosdevname.rules

   このファイルは、biosdevname パッケージがインストールされている場合にのみ存在します。このルールファイルは、前の手順でインターフェイスの名前が変更されていない場合に、biosdevname ユーティリティーが命名ポリシーに従ってインターフェイスの名前を変更することを定義します。

   注記

   biosdevname は Dell システムにのみインストールして使用してください。

2. /usr/lib/udev/rules.d/75-net-description.rules

   このファイルは、udev がネットワークインターフェイスを検査し、udev の内部変数にプロパティーを設定する方法を定義します。これらの変数は、次のステップで /usr/lib/udev/rules.d/80-net-setup-link.rules ファイルによって処理されます。一部のプロパティーは未定義である場合があります。

3. /usr/lib/udev/rules.d/80-net-setup-link.rules

   このファイルは udev サービスの net_setup_link ビルトインを呼び出します。udev は /usr/lib/systemd/network/99-default.link ファイルの NamePolicy パラメーターのポリシーの順序に基づいてインターフェイスの名前を変更します。詳細は、ネットワークインターフェイスの命名ポリシー を参照してください。

   どのポリシーも適用されない場合、udev はインターフェイスの名前を変更しません。

手順

1. ネットワークインターフェイスをリスト表示します。

   # ip link show
   2: eno1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
       link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
   ...

   Copy to Clipboard

   インターフェイスの MAC アドレスを記録します。

2. オプション: ネットワークインターフェイスの ID_NET_NAMING_SCHEME プロパティーを表示して、RHEL が現在使用している命名スキームを特定します。

   # udevadm info --query=property --property=ID_NET_NAMING_SCHEME /sys/class/net/eno1
   ID_NET_NAMING_SCHEME=rhel-10.0

   Copy to Clipboard

   このプロパティーは lo ループバックデバイスでは使用できないことに注意してください。

3. インストールされているすべてのカーネルのコマンドラインに net.naming-scheme=<scheme> オプションを追加します。次に例を示します。

   # grubby --update-kernel=ALL --args=net.naming-scheme=rhel-10.1

   Copy to Clipboard

4. システムを再起動します。

   # reboot

   Copy to Clipboard

5. 記録した MAC アドレスに基づいて、命名スキームの変更により変更されたネットワークインターフェイスの新しい名前を特定します。

   # ip link show
   2: eno1np0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
       link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
   ...

   Copy to Clipboard

   スキームを切り替えた後、udev によって、指定された MAC アドレスを持つデバイスに eno1np0 という名前が付けられます。これは以前は eno1 という名前でした。

6. 以前の名前を持つインターフェイスを使用する NetworkManager 接続プロファイルを特定します。

   # nmcli -f device,name connection show
   DEVICE  NAME
   eno1  example_profile
   ...

   Copy to Clipboard

7. 接続プロファイルの connection.interface-name プロパティーを新しいインターフェイス名に設定します。

   # nmcli connection modify example_profile connection.interface-name "eno1np0"

   Copy to Clipboard

8. 接続プロファイルを再アクティブ化します。

   # nmcli connection up example_profile

   Copy to Clipboard

手順

1. Red Hat Enterprise Linux インストールメディアを起動します。

2. ブートマネージャーで、次の手順を実行します。

   1. Install Red Hat Enterprise Linux <version> エントリーを選択します。
   2. Tab を押してエントリーを編集します。
   3. net.ifnames.prefix=<prefix> をカーネルオプションに追加します。
   4. Enter を押してインストールプログラムを起動します。
3. Red Hat Enterprise Linux をインストールします。

手順

1. 名前を変更するネットワークインターフェイスを特定します。

   # ip link show
   ...
   enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
       link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
   ...

   Copy to Clipboard

   インターフェイスの MAC アドレスを記録します。

2. インターフェイスのデバイスタイプ ID を表示します。

   # cat /sys/class/net/enp1s0/type
   1

   Copy to Clipboard

3. /etc/udev/rules.d/70-persistent-net.rules ファイルを作成し、名前を変更する各インターフェイスのルールを追加します。

   SUBSYSTEM=="net",ACTION=="add",ATTR{address}=="<MAC_address>",ATTR{type}=="<device_type_id>",NAME="<new_interface_name>"

   Copy to Clipboard
   重要

   ブートプロセス中に一貫したデバイス名が必要な場合は、ファイル名として 70-persistent-net.rules のみを使用してください。RAM ディスクイメージを再生成すると、dracut ユーティリティーはこの名前のファイルを initrd イメージに追加します。

   たとえば、次のルールを使用して、MAC アドレス 00:00:5e:00:53:1a のインターフェイスの名前を provider0 に変更します。

   SUBSYSTEM=="net",ACTION=="add",ATTR{address}=="00:00:5e:00:53:1a",ATTR{type}=="1",NAME="provider0"

   Copy to Clipboard

4. オプション: initrd RAM ディスクイメージを再生成します。

   # dracut -f

   Copy to Clipboard

   この手順は、RAM ディスクにネットワーク機能が必要な場合にのみ必要です。たとえば、ルートファイルシステムが iSCSI などのネットワークデバイスに保存されている場合がこれに当てはまります。

5. 名前を変更するインターフェイスを使用する NetworkManager 接続プロファイルを特定します。

   # nmcli -f device,name connection show
   DEVICE  NAME
   enp1s0  example_profile
   ...

   Copy to Clipboard

6. 接続プロファイルの connection.interface-name プロパティーの設定を解除します。

   # nmcli connection modify example_profile connection.interface-name ""

   Copy to Clipboard

7. 一時的に、新しいインターフェイス名と以前のインターフェイス名の両方に一致するように接続プロファイルを設定します。

   # nmcli connection modify example_profile match.interface-name "provider0 enp1s0"

   Copy to Clipboard

8. システムを再起動します。

   # reboot

   Copy to Clipboard

9. リンクファイルで指定した MAC アドレスを持つデバイスの名前が Provider0 に変更されていることを確認します。

   # ip link show
   provider0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP mode DEFAULT group default qlen 1000
       link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
   ...

   Copy to Clipboard

10. 新しいインターフェイス名のみと一致するように接続プロファイルを設定します。

    # nmcli connection modify example_profile match.interface-name "provider0"

    Copy to Clipboard

    これで、接続プロファイルから古いインターフェイス名が削除されました。

11. 接続プロファイルを再アクティブ化します。

    # nmcli connection up example_profile

    Copy to Clipboard

手順

1. 名前を変更するネットワークインターフェイスを特定します。

   # ip link show
   ...
   enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
       link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
   ...

   Copy to Clipboard

   インターフェイスの MAC アドレスを記録します。

2. /etc/systemd/network/ ディレクトリーがない場合は作成します。

   # mkdir -p /etc/systemd/network/

   Copy to Clipboard

3. 名前を変更するインターフェイスごとに、次の内容を含む 70-*.link ファイルを /etc/systemd/network/ ディレクトリーに作成します。

   [Match]
   MACAddress=<MAC_address>
   
   [Link]
   Name=<new_interface_name>

   Copy to Clipboard
   重要

   udev のルールベースのソリューションとファイル名の一貫性を保つために、接頭辞 70- を付けたファイル名を使用してください。

   たとえば、MAC アドレス 00:00:5e:00:53:1a のインターフェイスの名前を provider0 に変更するには、次の内容を含む /etc/systemd/network/70-provider0.link ファイルを作成します。

   [Match]
   MACAddress=00:00:5e:00:53:1a
   
   [Link]
   Name=provider0

   Copy to Clipboard

4. オプション: initrd RAM ディスクイメージを再生成します。

   # dracut -f

   Copy to Clipboard

   この手順は、RAM ディスクにネットワーク機能が必要な場合にのみ必要です。たとえば、ルートファイルシステムが iSCSI などのネットワークデバイスに保存されている場合がこれに当てはまります。

5. 名前を変更するインターフェイスを使用する NetworkManager 接続プロファイルを特定します。

   # nmcli -f device,name connection show
   DEVICE  NAME
   enp1s0  example_profile
   ...

   Copy to Clipboard

6. 接続プロファイルの connection.interface-name プロパティーの設定を解除します。

   # nmcli connection modify example_profile connection.interface-name ""

   Copy to Clipboard

7. 一時的に、新しいインターフェイス名と以前のインターフェイス名の両方に一致するように接続プロファイルを設定します。

   # nmcli connection modify example_profile match.interface-name "provider0 enp1s0"

   Copy to Clipboard

8. システムを再起動します。

   # reboot

   Copy to Clipboard

9. リンクファイルで指定した MAC アドレスを持つデバイスの名前が Provider0 に変更されていることを確認します。

   # ip link show
   provider0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP mode DEFAULT group default qlen 1000
       link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
   ...

   Copy to Clipboard

10. 新しいインターフェイス名のみと一致するように接続プロファイルを設定します。

    # nmcli connection modify example_profile match.interface-name "provider0"

    Copy to Clipboard

    これで、接続プロファイルから古いインターフェイス名が削除されました。

11. 接続プロファイルを再度アクティベートします。

    # nmcli connection up example_profile

    Copy to Clipboard

手順

1. ネットワークインターフェイス名とその MAC アドレスを表示します。

   # ip link show
   ...
   enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
       link/ether 00:00:5e:00:53:1a brd ff:ff:ff:ff:ff:ff
   ...

   Copy to Clipboard

   代替名を割り当てるインターフェイスの MAC アドレスを記録します。

2. /etc/systemd/network/ ディレクトリーがない場合は作成します。

   # mkdir -p /etc/systemd/network/

   Copy to Clipboard

3. 代替名が必要なインターフェイスごとに、/etc/systemd/network/ ディレクトリーに、一意の名前と .link 接尾辞を持つ /usr/lib/systemd/network/99-default.link ファイルのコピーを作成します。次に例を示します。

   # cp /usr/lib/systemd/network/99-default.link /etc/systemd/network/98-lan.link

   Copy to Clipboard

4. 前のステップで作成したファイルを変更します。[Match] セクションを次のように書き換え、AlternativeName エントリーを [Link] セクションに追加します。

   [Match]
   MACAddress=<MAC_address>
   
   [Link]
   ...
   AlternativeName=<alternative_interface_name_1>
   AlternativeName=<alternative_interface_name_2>
   AlternativeName=<alternative_interface_name_n>

   Copy to Clipboard

   たとえば、次の内容を含む /etc/systemd/network/70-altname.link ファイルを作成して、MAC アドレス 00:00:5e:00:53:1a のインターフェイスに代替名として provider を割り当てます。

   [Match]
   MACAddress=00:00:5e:00:53:1a
   
   [Link]
   NamePolicy=keep kernel database onboard slot path
   AlternativeNamesPolicy=database onboard slot path mac
   MACAddressPolicy=none
   AlternativeName=provider

   Copy to Clipboard

5. initrd RAM ディスクイメージを再生成します。

   # dracut -f

   Copy to Clipboard

6. システムを再起動します。

   # reboot

   Copy to Clipboard

手順

1. NetworkManager 接続プロファイルをリストします。

   # nmcli connection show
   NAME                UUID                                  TYPE      DEVICE
   Wired connection 1  a5eb6490-cc20-3668-81f8-0314a27f3f75  ethernet  enp1s0

   Copy to Clipboard

   デフォルトでは、NetworkManager はホスト内の各 NIC のプロファイルを作成します。この NIC を特定のネットワークにのみ接続する予定がある場合は、自動作成されたプロファイルを調整してください。この NIC をさまざまな設定のネットワークに接続する予定がある場合は、ネットワークごとに個別のプロファイルを作成してください。

2. 追加の接続プロファイルを作成する場合は、次のように実行します。

   # nmcli connection add con-name <connection-name> ifname <device-name> type ethernet

   Copy to Clipboard

   既存のプロファイルを変更するには、この手順をスキップしてください。

3. オプション: 接続プロファイルの名前を変更します。

   # nmcli connection modify "Wired connection 1" connection.id "Internal-LAN"

   Copy to Clipboard

   ホストに複数のプロファイルがある場合は、わかりやすい名前を付けると、プロファイルの目的を識別しやすくなります。

4. 接続プロファイルの現在の設定を表示します。

   # nmcli connection show Internal-LAN
   ...
   connection.interface-name:     enp1s0
   connection.autoconnect:        yes
   ipv4.method:                   auto
   ipv6.method:                   auto
   ...

   Copy to Clipboard

5. IPv4 を設定します。

   • DHCP を使用するには、次のように実行します。

     # nmcli connection modify Internal-LAN ipv4.method auto

     Copy to Clipboard

     ipv4.method がすでに auto (デフォルト) に設定されている場合は、この手順をスキップしてください。

   • 静的 IPv4 アドレス、ネットワークマスク、デフォルトゲートウェイ、DNS サーバー、および検索ドメインを設定するには、次のように実行します。

     # nmcli connection modify Internal-LAN ipv4.method manual ipv4.addresses 192.0.2.1/24 ipv4.gateway 192.0.2.254 ipv4.dns 192.0.2.200 ipv4.dns-search example.com

     Copy to Clipboard

6. IPv6 設定を行います。

   • ステートレスアドレス自動設定 (SLAAC) を使用するには、次のように実行します。

     # nmcli connection modify Internal-LAN ipv6.method auto

     Copy to Clipboard

     ipv6.method がすでに auto (デフォルト) に設定されている場合は、この手順をスキップしてください。

   • 静的 IPv6 アドレス、ネットワークマスク、デフォルトゲートウェイ、DNS サーバー、および検索ドメインを設定するには、次のように実行します。

     # nmcli connection modify Internal-LAN ipv6.method manual ipv6.addresses 2001:db8:1::fffe/64 ipv6.gateway 2001:db8:1::fffe ipv6.dns 2001:db8:1::ffbb ipv6.dns-search example.com

     Copy to Clipboard

7. プロファイルの他の設定をカスタマイズするには、次のコマンドを使用します。

   # nmcli connection modify <connection-name> <setting> <value>

   Copy to Clipboard

   値はスペースまたはセミコロンで引用符で囲みます。

8. プロファイルをアクティブ化します。

   # nmcli connection up Internal-LAN

   Copy to Clipboard

検証

1. NIC の IP 設定を表示します。

   # ip address show enp1s0
   2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
       link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
       inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
          valid_lft forever preferred_lft forever
       inet6 2001:db8:1::fffe/64 scope global noprefixroute
          valid_lft forever preferred_lft forever

   Copy to Clipboard

2. IPv4 デフォルトゲートウェイを表示します。

   # ip route show default
   default via 192.0.2.254 dev enp1s0 proto static metric 102

   Copy to Clipboard

3. IPv6 デフォルトゲートウェイを表示します。

   # ip -6 route show default
   default via 2001:db8:1::fffe dev enp1s0 proto static metric 102 pref medium

   Copy to Clipboard

4. DNS 設定を表示します。

   # cat /etc/resolv.conf
   search example.com
   nameserver 192.0.2.200
   nameserver 2001:db8:1::ffbb

   Copy to Clipboard

   複数の接続プロファイルが同時にアクティブな場合、nameserver エントリーの順序は、これらのプロファイルの DNS 優先度の値と接続タイプによって異なります。

5. ping ユーティリティーを使用して、このホストがパケットを他のホストに送信できることを確認します。

   # ping <host-name-or-IP-address>

   Copy to Clipboard

手順

1. 接続に使用するネットワークデバイス名がわからない場合は、使用可能なデバイスを表示します。

   # nmcli device status
   DEVICE     TYPE      STATE                   CONNECTION
   enp1s0     ethernet  unavailable             --
   ...

   Copy to Clipboard

2. nmtui を開始します。

   # nmtui

   Copy to Clipboard
3. Edit a connection 選択し、Enter を押します。

4. 新しい接続プロファイルを追加するか、既存の接続プロファイルを変更するかを選択します。

   • 新しいプロファイルを作成するには、以下を実行します。

     1. Add を押します。
     2. ネットワークタイプのリストから Ethernet を選択し、Enter を押します。
   • 既存のプロファイルを変更するには、リストからプロファイルを選択し、Enter を押します。

5. オプション: 接続プロファイルの名前を更新します。

   ホストに複数のプロファイルがある場合は、わかりやすい名前を付けると、プロファイルの目的を識別しやすくなります。

6. 新しい接続プロファイルを作成する場合は、ネットワークデバイス名を connection フィールドに入力します。

7. 環境に応じて、IPv4 configuration および IPv6 configuration 領域に IP アドレス設定を設定します。これを行うには、これらの領域の横にあるボタンを押して、次を選択します。

   • この接続に IP アドレスが必要ない場合は、Disabled にします。
   • DHCP サーバーが IP アドレスをこの NIC に動的に割り当てる場合は、Automatic にします。

   • ネットワークで静的 IP アドレス設定が必要な場合は、Manual にします。この場合、さらにフィールドに入力する必要があります。

     1. 設定するプロトコルの横にある Show を押して、追加のフィールドを表示します。

     2. Addresses の横にある Add を押して、IP アドレスとサブネットマスクを Classless Inter-Domain Routing (CIDR) 形式で入力します。

        サブネットマスクを指定しない場合、NetworkManager は IPv4 アドレスに /32 サブネットマスクを設定し、IPv6 アドレスに /64 サブネットマスクを設定します。

     3. デフォルトゲートウェイのアドレスを入力します。
     4. DNS servers の横にある Add を押して、DNS サーバーのアドレスを入力します。
     5. Search domains の横にある Add を押して、DNS 検索ドメインを入力します。

   図2.1 静的 IP アドレス設定によるイーサネット接続の例

   
8. OK を押すと、新しい接続が作成され、自動的にアクティブ化されます。
9. Back を押してメインメニューに戻ります。
10. Quit を選択し、Enter キーを押して nmtui アプリケーションを閉じます。

検証

1. NIC の IP 設定を表示します。

   # ip address show enp1s0
   2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
       link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
       inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
          valid_lft forever preferred_lft forever
       inet6 2001:db8:1::fffe/64 scope global noprefixroute
          valid_lft forever preferred_lft forever

   Copy to Clipboard

2. IPv4 デフォルトゲートウェイを表示します。

   # ip route show default
   default via 192.0.2.254 dev enp1s0 proto static metric 102

   Copy to Clipboard

3. IPv6 デフォルトゲートウェイを表示します。

   # ip -6 route show default
   default via 2001:db8:1::fffe dev enp1s0 proto static metric 102 pref medium

   Copy to Clipboard

4. DNS 設定を表示します。

   # cat /etc/resolv.conf
   search example.com
   nameserver 192.0.2.200
   nameserver 2001:db8:1::ffbb

   Copy to Clipboard

   複数の接続プロファイルが同時にアクティブな場合、nameserver エントリーの順序は、これらのプロファイルの DNS 優先度の値と接続タイプによって異なります。

5. ping ユーティリティーを使用して、このホストがパケットを他のホストに送信できることを確認します。

   # ping <host-name-or-IP-address>

   Copy to Clipboard

手順

1. Super キーを押して Settings を入力し、Enter を押します。
2. 左側のナビゲーションにある Network を選択します。

3. 新しい接続プロファイルを追加するか、既存の接続プロファイルを変更するかを選択します。

   • 新しいプロファイルを作成するには、Ethernet エントリーの横にある + ボタンをクリックします。
   • 既存のプロファイルを変更するには、プロファイルエントリーの横にある歯車アイコンをクリックします。

4. オプション: ID タブで、接続プロファイルの名前を更新します。

   ホストに複数のプロファイルがある場合は、わかりやすい名前を付けると、プロファイルの目的を識別しやすくなります。

5. 環境に応じて、IPv4 タブと IPv6 タブで IP アドレス設定を設定します。

   • DHCP または IPv6 ステートレスアドレス自動設定 (SLAAC) を使用するには、方法として Automatic (DHCP) を選択します (デフォルト)。

   • 静的 IP アドレス、ネットワークマスク、デフォルトゲートウェイ、DNS サーバー、および検索ドメインを設定するには、方法として Manual を選択し、タブのフィールドに入力します。

     

6. 接続プロファイルを追加するか変更するかに応じて、Add または Apply ボタンをクリックして接続を保存します。

   GNOME の control-center は、接続を自動的にアクティブにします。

検証

1. NIC の IP 設定を表示します。

   # ip address show enp1s0
   2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
       link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
       inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
          valid_lft forever preferred_lft forever
       inet6 2001:db8:1::fffe/64 scope global noprefixroute
          valid_lft forever preferred_lft forever

   Copy to Clipboard

2. IPv4 デフォルトゲートウェイを表示します。

   # ip route show default
   default via 192.0.2.254 dev enp1s0 proto static metric 102

   Copy to Clipboard

3. IPv6 デフォルトゲートウェイを表示します。

   # ip -6 route show default
   default via 2001:db8:1::fffe dev enp1s0 proto static metric 102 pref medium

   Copy to Clipboard

4. DNS 設定を表示します。

   # cat /etc/resolv.conf
   search example.com
   nameserver 192.0.2.200
   nameserver 2001:db8:1::ffbb

   Copy to Clipboard

   複数の接続プロファイルが同時にアクティブな場合、nameserver エントリーの順序は、これらのプロファイルの DNS 優先度の値と接続タイプによって異なります。

5. ping ユーティリティーを使用して、このホストがパケットを他のホストに送信できることを確認します。

   # ping <host-name-or-IP-address>

   Copy to Clipboard

手順

1. 以下の内容を含む YAML ファイル (例: ~/create-ethernet-profile.yml) を作成します。

   ---
   interfaces:
   - name: enp1s0
     type: ethernet
     state: up
     ipv4:
       enabled: true
       address:
       - ip: 192.0.2.1
         prefix-length: 24
       dhcp: false
     ipv6:
       enabled: true
       address:
       - ip: 2001:db8:1::1
         prefix-length: 64
       autoconf: false
       dhcp: false
   routes:
     config:
     - destination: 0.0.0.0/0
       next-hop-address: 192.0.2.254
       next-hop-interface: enp1s0
     - destination: ::/0
       next-hop-address: 2001:db8:1::fffe
       next-hop-interface: enp1s0
   dns-resolver:
     config:
       search:
       - example.com
       server:
       - 192.0.2.200
       - 2001:db8:1::ffbb

   Copy to Clipboard

   これらの設定では、次の設定を使用して enp1s0 デバイスのイーサネット接続プロファイルを定義します。

   • 静的 IPv4 アドレス: 192.0.2.1 (サブネットマスクが /24)
   • 静的 IPv6 アドレス: 2001:db8:1::1 (サブネットマスクが /64)
   • IPv4 デフォルトゲートウェイ - 192.0.2.254
   • IPv6 デフォルトゲートウェイ - 2001:db8:1::fffe
   • IPv4 DNS サーバー - 192.0.2.200
   • IPv6 DNS サーバー - 2001:db8:1::ffbb
   • DNS 検索ドメイン - example.com

2. オプション: interfaces プロパティーで identifier: mac-address および mac-address: <mac_address> プロパティーを定義すると、ネットワークインターフェイスカードを名前ではなく MAC アドレスで識別できます。次に例を示します。

   ---
   interfaces:
   - name: <profile_name>
     type: ethernet
     identifier: mac-address
     mac-address: <mac_address>
     ...

   Copy to Clipboard

3. 設定をシステムに適用します。

   # nmstatectl apply ~/create-ethernet-profile.yml

   Copy to Clipboard

検証

1. 現在の状態を YAML 形式で表示します。

   # nmstatectl show enp1s0

   Copy to Clipboard

2. NIC の IP 設定を表示します。

   # ip address show enp1s0
   2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
       link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
       inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
          valid_lft forever preferred_lft forever
       inet6 2001:db8:1::fffe/64 scope global noprefixroute
          valid_lft forever preferred_lft forever

   Copy to Clipboard

3. IPv4 デフォルトゲートウェイを表示します。

   # ip route show default
   default via 192.0.2.254 dev enp1s0 proto static metric 102

   Copy to Clipboard

4. IPv6 デフォルトゲートウェイを表示します。

   # ip -6 route show default
   default via 2001:db8:1::fffe dev enp1s0 proto static metric 102 pref medium

   Copy to Clipboard

5. DNS 設定を表示します。

   # cat /etc/resolv.conf
   search example.com
   nameserver 192.0.2.200
   nameserver 2001:db8:1::ffbb

   Copy to Clipboard

   複数の接続プロファイルが同時にアクティブな場合、nameserver エントリーの順序は、これらのプロファイルの DNS 優先度の値と接続タイプによって異なります。

6. ping ユーティリティーを使用して、このホストがパケットを他のホストに送信できることを確認します。

   # ping <host-name-or-IP-address>

   Copy to Clipboard

手順

1. ~/inventory ファイルを編集し、ホストエントリーにホスト固有の設定を追加します。

   managed-node-01.example.com interface=enp1s0 ip_v4=192.0.2.1/24 ip_v6=2001:db8:1::1/64 gateway_v4=192.0.2.254 gateway_v6=2001:db8:1::fffe
   
   managed-node-02.example.com interface=enp1s0 ip_v4=192.0.2.2/24 ip_v6=2001:db8:1::2/64 gateway_v4=192.0.2.254 gateway_v6=2001:db8:1::fffe

   Copy to Clipboard

2. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Configure the network
     hosts: managed-node-01.example.com,managed-node-02.example.com
     tasks:
       - name: Ethernet connection profile with static IP address settings
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.network
         vars:
           network_connections:
             - name: "{{ interface }}"
               interface_name: "{{ interface }}"
               type: ethernet
               autoconnect: yes
               ip:
                 address:
                   - "{{ ip_v4 }}"
                   - "{{ ip_v6 }}"
                 gateway4: "{{ gateway_v4 }}"
                 gateway6: "{{ gateway_v6 }}"
                 dns:
                   - 192.0.2.200
                   - 2001:db8:1::ffbb
                 dns_search:
                   - example.com
               state: up

   Copy to Clipboard

   この Playbook は、インベントリーファイルから各ホストの特定の値を動的に読み取り、すべてのホストで同じ設定に対して Playbook 内の静的な値を使用します。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.network/README.md ファイルを参照してください。

3. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

4. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Configure the network
     hosts: managed-node-01.example.com
     tasks:
       - name: Ethernet connection profile with static IP address settings
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.network
         vars:
           network_connections:
             - name: example
               match:
                 path:
                   - pci-0000:00:0[1-3].0
                   - '&!pci-0000:00:02.0'
               type: ethernet
               autoconnect: yes
               ip:
                 address:
                   - 192.0.2.1/24
                   - 2001:db8:1::1/64
                 gateway4: 192.0.2.254
                 gateway6: 2001:db8:1::fffe
                 dns:
                   - 192.0.2.200
                   - 2001:db8:1::ffbb
                 dns_search:
                   - example.com
               state: up

   Copy to Clipboard

   サンプル Playbook で指定されている設定は次のとおりです。

   match

   設定を適用するために満たす必要がある条件を定義します。この変数は path オプションでのみ使用できます。

   path

   デバイスの永続パスを定義します。固定パスまたは式の形式で設定できます。値には修飾子とワイルドカードを含めることができます。この例では、PCI ID 0000:00:0[1-3].0 に一致するデバイスには設定を適用しますが、0000:00:02.0 に一致するデバイスには適用しません。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.network/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard

手順

1. 以下の内容を含む YAML ファイル (例: ~/create-ethernet-profile.yml) を作成します。

   ---
   interfaces:
   - name: enp1s0
     type: ethernet
     state: up
     ipv4:
       enabled: true
       auto-dns: true
       auto-gateway: true
       auto-routes: true
       dhcp: true
     ipv6:
       enabled: true
       auto-dns: true
       auto-gateway: true
       auto-routes: true
       autoconf: true
       dhcp: true

   Copy to Clipboard

   これらの設定では、enp1s0 デバイスのイーサネット接続プロファイルを定義します。接続では、DHCP サーバーと IPv6 ステートレスアドレス自動設定 (SLAAC) から、IPv4 アドレス、IPv6 アドレス、デフォルトゲートウェイ、ルート、DNS サーバー、および検索ドメインを取得します。

2. オプション: interfaces プロパティーで identifier: mac-address および mac-address: <mac_address> プロパティーを定義すると、ネットワークインターフェイスカードを名前ではなく MAC アドレスで識別できます。次に例を示します。

   ---
   interfaces:
   - name: <profile_name>
     type: ethernet
     identifier: mac-address
     mac-address: <mac_address>
     ...

   Copy to Clipboard

3. 設定をシステムに適用します。

   # nmstatectl apply ~/create-ethernet-profile.yml

   Copy to Clipboard

検証

1. 現在の状態を YAML 形式で表示します。

   # nmstatectl show enp1s0

   Copy to Clipboard

2. NIC の IP 設定を表示します。

   # ip address show enp1s0
   2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
       link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
       inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0
          valid_lft forever preferred_lft forever
       inet6 2001:db8:1::fffe/64 scope global noprefixroute
          valid_lft forever preferred_lft forever

   Copy to Clipboard

3. IPv4 デフォルトゲートウェイを表示します。

   # ip route show default
   default via 192.0.2.254 dev enp1s0 proto static metric 102

   Copy to Clipboard

4. IPv6 デフォルトゲートウェイを表示します。

   # ip -6 route show default
   default via 2001:db8:1::fffe dev enp1s0 proto static metric 102 pref medium

   Copy to Clipboard

5. DNS 設定を表示します。

   # cat /etc/resolv.conf
   search example.com
   nameserver 192.0.2.200
   nameserver 2001:db8:1::ffbb

   Copy to Clipboard

   複数の接続プロファイルが同時にアクティブな場合、nameserver エントリーの順序は、これらのプロファイルの DNS 優先度の値と接続タイプによって異なります。

6. ping ユーティリティーを使用して、このホストがパケットを他のホストに送信できることを確認します。

   # ping <host-name-or-IP-address>

   Copy to Clipboard

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Configure the network
     hosts: managed-node-01.example.com
     tasks:
       - name: Ethernet connection profile with dynamic IP address settings
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.network
         vars:
           network_connections:
             - name: enp1s0
               interface_name: enp1s0
               type: ethernet
               autoconnect: yes
               ip:
                 dhcp4: yes
                 auto6: yes
               state: up

   Copy to Clipboard

   サンプル Playbook で指定されている設定は次のとおりです。

   dhcp4: yes

   DHCP、PPP、または同様のサービスからの自動 IPv4 アドレス割り当てを有効にします。

   auto6: yes

   IPv6 自動設定を有効にします。デフォルトでは、NetworkManager はルーター広告を使用します。ルーターが managed フラグを通知すると、NetworkManager は DHCPv6 サーバーに IPv6 アドレスと接頭辞を要求します。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.network/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Configure the network
     hosts: managed-node-01.example.com
     tasks:
       - name: Ethernet connection profile with dynamic IP address settings
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.network
         vars:
           network_connections:
             - name: example
               match:
                 path:
                   - pci-0000:00:0[1-3].0
                   - '&!pci-0000:00:02.0'
               type: ethernet
               autoconnect: yes
               ip:
                 dhcp4: yes
                 auto6: yes
               state: up

   Copy to Clipboard

   サンプル Playbook で指定されている設定は次のとおりです。

   match: path

   設定を適用するために満たす必要がある条件を定義します。この変数は path オプションでのみ使用できます。

   path: <path_and_expressions>

   デバイスの永続パスを定義します。固定パスまたは式の形式で設定できます。値には修飾子とワイルドカードを含めることができます。この例では、PCI ID 0000:00:0[1-3].0 に一致するデバイスには設定を適用しますが、0000:00:02.0 に一致するデバイスには適用しません。

   dhcp4: yes

   DHCP、PPP、または同様のサービスからの自動 IPv4 アドレス割り当てを有効にします。

   auto6: yes

   IPv6 自動設定を有効にします。デフォルトでは、NetworkManager はルーター広告を使用します。ルーターが managed フラグを通知すると、NetworkManager は DHCPv6 サーバーに IPv6 アドレスと接頭辞を要求します。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.network/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard

手順

1. enp で始まるすべてのインターフェイス名に適用される接続プロファイルを追加します。

   # nmcli connection add con-name "Wired connection 1" connection.multi-connect multiple match.interface-name enp* type ethernet

   Copy to Clipboard

検証

1. 単一接続プロファイルのすべての設定を表示します。

   # nmcli connection show "Wired connection 1"
   connection.id:                      Wired connection 1
   ...
   connection.multi-connect:           3 (multiple)
   match.interface-name:               enp*
   ...

   Copy to Clipboard

   3 は、インターフェイスが特定の瞬間に複数回アクティブになる可能性があることを示します。接続プロファイルは、match.interface-name パラメーターのパターンに一致するすべてのデバイスを使用するため、接続プロファイルには同じ Universally Unique Identifier (UUID) があります。

2. 接続のステータスを表示します。

   # nmcli connection show
   NAME                UUID                                  TYPE      DEVICE
   ...
   Wired connection 1  6f22402e-c0cc-49cf-b702-eaf0cd5ea7d1  ethernet  enp7s0
   Wired connection 1  6f22402e-c0cc-49cf-b702-eaf0cd5ea7d1  ethernet  enp8s0
   Wired connection 1  6f22402e-c0cc-49cf-b702-eaf0cd5ea7d1  ethernet  enp9s0

   Copy to Clipboard

手順

1. デバイスパスを特定します。たとえば、enp で始まるすべてのインターフェイスのデバイスパスを表示するには、次のように実行します。

   # udevadm info /sys/class/net/enp* | grep ID_PATH=
   ...
   E: ID_PATH=pci-0000:07:00.0
   E: ID_PATH=pci-0000:08:00.0

   Copy to Clipboard

2. 0000:00:0[7-8].0 式に一致するすべての PCI ID に適用される接続プロファイルを追加します。

   # nmcli connection add type ethernet connection.multi-connect multiple match.path "pci-0000:07:00.0 pci-0000:08:00.0" con-name "Wired connection 1"

   Copy to Clipboard

検証

1. 接続のステータスを表示します。

   # nmcli connection show
   NAME                 UUID                                  TYPE      DEVICE
   Wired connection 1   9cee0958-512f-4203-9d3d-b57af1d88466  ethernet  enp7s0
   Wired connection 1   9cee0958-512f-4203-9d3d-b57af1d88466  ethernet  enp8s0
   ...

   Copy to Clipboard

2. 接続プロファイルのすべての設定を表示するには、次のコマンドを実行します。

   # nmcli connection show "Wired connection 1"
   connection.id:               Wired connection 1
   ...
   connection.multi-connect:    3 (multiple)
   match.path:                  pci-0000:07:00.0,pci-0000:08:00.0
   ...

   Copy to Clipboard

   この接続プロファイルは、match.path パラメーターのパターンに一致する PCI ID を持つすべてのデバイスを使用するため、接続プロファイルには同じ Universally Unique Identifier (UUID) があります。

手順

1. ボンドインターフェイスを作成します。

   # nmcli connection add type bond con-name bond0 ifname bond0 bond.options "mode=active-backup"

   Copy to Clipboard

   このコマンドは、active-backup モードを使用する bond0 という名前のボンディングを作成します。

   Media Independent Interface (MII) 監視間隔も設定する場合は、miimon=interval オプションを bond.options プロパティーに追加します。次に例を示します。

   # nmcli connection add type bond con-name bond0 ifname bond0 bond.options "mode=active-backup,miimon=1000"

   Copy to Clipboard

2. ネットワークインターフェイスを表示して、ボンドに追加する予定のインターフェイス名を書き留めます。

   # nmcli device status
   DEVICE   TYPE      STATE         CONNECTION
   enp7s0   ethernet  disconnected  --
   enp8s0   ethernet  disconnected  --
   bridge0  bridge    connected     bridge0
   bridge1  bridge    connected     bridge1
   ...

   Copy to Clipboard

   この例では、以下のように設定されています。

   • enp7s0 および enp8s0 は設定されません。これらのデバイスをポートとして使用するには、次のステップに接続プロファイルを追加します。
   • bridge0 および bridge1 には既存の接続プロファイルがあります。これらのデバイスをポートとして使用するには、次の手順でプロファイルを変更します。

3. インターフェイスをボンディングに割り当てます。

   1. ボンディングに割り当てるインターフェイスが設定されていない場合は、インターフェイス用に新しい接続プロファイルを作成します。

      # nmcli connection add type ethernet port-type bond con-name bond0-port1 ifname enp7s0 controller bond0
      # nmcli connection add type ethernet port-type bond con-name bond0-port2 ifname enp8s0 controller bond0

      Copy to Clipboard

      これらのコマンドは、enp7s0 および enp8s0 のプロファイルを作成し、bond0 接続に追加します。

   2. 既存の接続プロファイルをボンディングに割り当てるには、以下を実行します。

      1. これらの接続の controller パラメーターを bond0 に設定します。

         # nmcli connection modify bridge0 controller bond0
         # nmcli connection modify bridge1 controller bond0

         Copy to Clipboard

         これらのコマンドは、bridge0 および bridge1 という名前の既存の接続プロファイルを bond0 接続に割り当てます。

      2. 接続を再度アクティブにします。

         # nmcli connection up bridge0
         # nmcli connection up bridge1

         Copy to Clipboard

4. IPv4 を設定します。

   • 静的 IPv4 アドレス、ネットワークマスク、デフォルトゲートウェイ、および DNS サーバーを bond0 接続に設定するには、次のように実行します。

     # nmcli connection modify bond0 ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253' ipv4.dns-search 'example.com' ipv4.method manual

     Copy to Clipboard
   • DHCP を使用するために必要な操作はありません。
   • このボンディングデバイスを他のデバイスのポートとして使用する予定の場合は、何もする必要はありません。

5. IPv6 設定を行います。

   • 静的 IPv6 アドレス、ネットワークマスク、デフォルトゲートウェイ、および DNS サーバーを bond0 接続に設定するには、次のように実行します。

     # nmcli connection modify bond0 ipv6.addresses '2001:db8:1::1/64' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd' ipv6.dns-search 'example.com' ipv6.method manual

     Copy to Clipboard
   • ステートレスアドレス自動設定 (SLAAC) を使用する場合、アクションは必要ありません。
   • このボンディングデバイスを他のデバイスのポートとして使用する予定の場合は、何もする必要はありません。

6. オプション: ボンディングポートにパラメーターを設定する場合は、次のコマンドを使用します。

   # nmcli connection modify bond0-port1 bond-port.<parameter> <value>

   Copy to Clipboard

7. 接続をアクティベートします。

   # nmcli connection up bond0

   Copy to Clipboard

8. ポートが接続されており、CONNECTION コラムがポートの接続名を表示していることを確認します。

   # nmcli device
   DEVICE   TYPE      STATE      CONNECTION
   ...
   enp7s0   ethernet  connected  bond0-port1
   enp8s0   ethernet  connected  bond0-port2

   Copy to Clipboard

   接続のいずれかのポートをアクティブにすると、NetworkManager はボンディングもアクティブにしますが、他のポートはアクティブにしません。ボンディングが有効な場合に、Red Hat Enterprise Linux がすべてのポートを自動的に有効にするように設定できます。

   1. ボンディングの接続の connection.autoconnect-ports パラメーターを有効にします。

      # nmcli connection modify bond0 connection.autoconnect-ports 1

      Copy to Clipboard

   2. ブリッジを再度アクティブにします。

      # nmcli connection up bond0

      Copy to Clipboard

検証

1. ネットワークデバイスの 1 つからネットワークケーブルを一時的に取り外し、ボンディング内の他のデバイスがトラフィックを処理しているかどうかを確認します。

   ソフトウェアユーティリティーを使用して、リンク障害イベントを適切にテストする方法がないことに注意してください。nmcli などの接続を非アクティブにするツールでは、ポート設定の変更を処理するボンディングドライバーの機能のみが表示され、実際のリンク障害イベントは表示されません。

2. ボンドのステータスを表示します。

   # cat /proc/net/bonding/bond0

   Copy to Clipboard

手順

1. 画面左側のナビゲーションで Networking タブを選択します。
2. Interfaces セクションで Add bond をクリックします。
3. 作成するボンドデバイスの名前を入力します。
4. 結合のメンバーにするインターフェイスを選択します。

5. 結合のモードを選択します。

   Active backup を選択すると、Web コンソールに追加フィールド Primary が表示され、ここで優先するアクティブデバイスを選択できます。

6. リンクモニタリング監視モードを設定します。たとえば、Adaptive load balancing モードを使用する場合は、ARP に設定します。

7. オプション: モニター間隔、リンクアップ遅延、およびリンクダウン遅延の設定を調整します。通常、トラブルシューティングの目的でのみデフォルトを変更します。

   
8. Apply をクリックします。

9. デフォルトでは、ボンドは動的 IP アドレスを使用します。静的 IP アドレスを設定する場合:

   1. Interfaces セクションでボンドの名前をクリックします。
   2. 設定するプロトコルの横にある Edit をクリックします。
   3. Addresses の横にある Manual を選択し、IP アドレス、接頭辞、およびデフォルトゲートウェイを入力します。
   4. DNS セクションで + ボタンをクリックし、DNS サーバーの IP アドレスを入力します。複数の DNS サーバーを設定するには、この手順を繰り返します。
   5. DNS search domains セクションで、+ ボタンをクリックし、検索ドメインを入力します。

   6. インターフェイスにスタティックルートが必要な場合は、Routes セクションで設定します。

      
   7. Apply をクリックします。

検証

1. 画面左側のナビゲーションで Networking タブを選択し、インターフェイスに着信および発信トラフィックがあるか確認します。

   

2. ネットワークデバイスの 1 つからネットワークケーブルを一時的に取り外し、ボンディング内の他のデバイスがトラフィックを処理しているかどうかを確認します。

   ソフトウェアユーティリティーを使用して、リンク障害イベントを適切にテストする方法がないことに注意してください。Web コンソールなどの接続を非アクティブ化するツールは、実際のリンク障害イベントではなく、メンバー設定の変更を処理するボンディングドライバーの機能のみを示します。

3. ボンドのステータスを表示します。

   # cat /proc/net/bonding/bond0

   Copy to Clipboard

手順

1. ネットワークボンドを設定するネットワークデバイス名がわからない場合は、使用可能なデバイスを表示します。

   # nmcli device status
   DEVICE     TYPE      STATE                   CONNECTION
   enp7s0     ethernet  unavailable             --
   enp8s0     ethernet  unavailable             --
   ...

   Copy to Clipboard

2. nmtui を開始します。

   # nmtui

   Copy to Clipboard
3. Edit a connection 選択し、Enter を押します。
4. Add を押します。
5. ネットワークタイプのリストから Bond を選択し、Enter を押します。

6. オプション: 作成する NetworkManager プロファイルの名前を入力します。

   ホストに複数のプロファイルがある場合は、わかりやすい名前を付けると、プロファイルの目的を識別しやすくなります。

7. 作成するボンドデバイス名を Device フィールドに入力します。

8. 作成するボンドにポートを追加します。

   1. Ports リストの横にある Add を押します。
   2. ボンドにポートとして追加するインターフェイスのタイプ (例: Ethernet) を選択します。
   3. オプション: このボンドポート用に作成する NetworkManager プロファイルの名前を入力します。
   4. ポートのデバイス名を Device フィールドに入力します。

   5. OK を押して、ボンディング設定のウィンドウに戻ります。

      図3.1 イーサネットデバイスをポートとしてボンドに追加する

      
   6. ボンドにさらにポートを追加するには、これらの手順を繰り返します。
9. ボンディングモードを設定します。設定した値に応じて、nmtui は、選択したモードに関連する設定の追加フィールドを表示します。

10. 環境に応じて、IPv4 configuration および IPv6 configuration 領域に IP アドレス設定を設定します。これを行うには、これらの領域の横にあるボタンを押して、次を選択します。

    • ボンドが IP アドレスを必要としない場合は Disabled にします。
    • DHCP サーバーまたはステートレスアドレス自動設定 (SLAAC) が IP アドレスをボンディングに動的に割り当てる場合は、Automatic にします。

    • ネットワークで静的 IP アドレス設定が必要な場合は、Manual にします。この場合、さらにフィールドに入力する必要があります。

      1. 設定するプロトコルの横にある Show を押して、追加のフィールドを表示します。

      2. Addresses の横にある Add を押して、IP アドレスとサブネットマスクを Classless Inter-Domain Routing (CIDR) 形式で入力します。

         サブネットマスクを指定しない場合、NetworkManager は IPv4 アドレスに /32 サブネットマスクを設定し、IPv6 アドレスに /64 サブネットマスクを設定します。

      3. デフォルトゲートウェイのアドレスを入力します。
      4. DNS servers の横にある Add を押して、DNS サーバーのアドレスを入力します。
      5. Search domains の横にある Add を押して、DNS 検索ドメインを入力します。

    図3.2 静的 IP アドレス設定によるボンド接続例

    
11. OK を押すと、新しい接続が作成され、自動的にアクティブ化されます。
12. Back を押してメインメニューに戻ります。
13. Quit を選択し、Enter キーを押して nmtui アプリケーションを閉じます。

検証

1. ネットワークデバイスの 1 つからネットワークケーブルを一時的に取り外し、ボンディング内の他のデバイスがトラフィックを処理しているかどうかを確認します。

   ソフトウェアユーティリティーを使用して、リンク障害イベントを適切にテストする方法がないことに注意してください。nmcli などの接続を非アクティブにするツールでは、ポート設定の変更を処理するボンディングドライバーの機能のみが表示され、実際のリンク障害イベントは表示されません。

2. ボンドのステータスを表示します。

   # cat /proc/net/bonding/bond0

   Copy to Clipboard

手順

1. 以下の内容を含む YAML ファイルを作成します (例: ~/create-bond.yml)。

   ---
   interfaces:
   - name: bond0
     type: bond
     state: up
     ipv4:
       enabled: true
       address:
       - ip: 192.0.2.1
         prefix-length: 24
       dhcp: false
     ipv6:
       enabled: true
       address:
       - ip: 2001:db8:1::1
         prefix-length: 64
       autoconf: false
       dhcp: false
     link-aggregation:
       mode: active-backup
       port:
       - enp1s0
       - enp7s0
   - name: enp1s0
     type: ethernet
     state: up
   - name: enp7s0
     type: ethernet
     state: up
   
   routes:
     config:
     - destination: 0.0.0.0/0
       next-hop-address: 192.0.2.254
       next-hop-interface: bond0
       metric: 300
     - destination: ::/0
       next-hop-address: 2001:db8:1::fffe
       next-hop-interface: bond0
       metric: 300
   
   dns-resolver:
     config:
       search:
       - example.com
       server:
       - 192.0.2.200
       - 2001:db8:1::ffbb

   Copy to Clipboard

   これらの設定では、次の設定を使用してネットワークボンディングを定義します。

   • ボンドのネットワークインターフェイス: enp1s0 および enp7s0
   • モード: active-backup
   • 静的 IPv4 アドレス: サブネットマスクが /24 の 192.0.2.1
   • 静的 IPv6 アドレス: 2001:db8:1::1 (/64 サブネットマスクあり)
   • IPv4 デフォルトゲートウェイ: 192.0.2.254
   • IPv6 デフォルトゲートウェイ: 2001:db8:1::fffe
   • IPv4 DNS サーバー: 192.0.2.200
   • IPv6 DNS サーバー: 2001:db8:1::ffbb
   • DNS 検索ドメイン: example.com

2. 設定をシステムに適用します。

   # nmstatectl apply ~/create-bond.yml

   Copy to Clipboard

検証

1. デバイスおよび接続の状態を表示します。

   # nmcli device status
   DEVICE      TYPE      STATE      CONNECTION
   bond0       bond      connected  bond0

   Copy to Clipboard

2. 接続プロファイルのすべての設定を表示します。

   # nmcli connection show bond0
   connection.id:              bond0
   connection.uuid:            79cbc3bd-302e-4b1f-ad89-f12533b818ee
   connection.stable-id:       --
   connection.type:            bond
   connection.interface-name:  bond0
   ...

   Copy to Clipboard

3. 接続設定を YAML 形式で表示します。

   # nmstatectl show bond0

   Copy to Clipboard

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Configure the network
     hosts: managed-node-01.example.com
     tasks:
       - name: Bond connection profile with two Ethernet ports
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.network
         vars:
           network_connections:
             # Bond profile
             - name: bond0
               type: bond
               interface_name: bond0
               ip:
                 dhcp4: yes
                 auto6: yes
               bond:
                 mode: active-backup
               state: up
   
             # Port profile for the 1st Ethernet device
             - name: bond0-port1
               interface_name: enp7s0
               type: ethernet
               controller: bond0
               state: up
   
             # Port profile for the 2nd Ethernet device
             - name: bond0-port2
               interface_name: enp8s0
               type: ethernet
               controller: bond0
               state: up

   Copy to Clipboard

   サンプル Playbook で指定されている設定は次のとおりです。

   type: <profile_type>

   作成するプロファイルのタイプを設定します。このサンプル Playbook では、3 つの接続プロファイルを作成します。1 つはボンディング用、2 つはイーサネットデバイス用です。

   dhcp4: yes

   DHCP、PPP、または同様のサービスからの自動 IPv4 アドレス割り当てを有効にします。

   auto6: yes

   IPv6 自動設定を有効にします。デフォルトでは、NetworkManager はルーター広告を使用します。ルーターが managed フラグを通知すると、NetworkManager は DHCPv6 サーバーに IPv6 アドレスと接頭辞を要求します。

   mode: <bond_mode>

   ボンディングモードを設定します。可能な値は次のとおりです。

   • balance-rr (デフォルト)
   • active-backup
   • balance-xor
   • broadcast
   • 802.3ad
   • balance-tlb
   • balance-alb

   設定したモードに応じて、Playbook で追加の変数を設定する必要があります。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.network/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard

手順

1. ネットワークインターフェイスを表示します。

   # nmcli device status
   DEVICE   TYPE      STATE         CONNECTION
   enp1s0   ethernet  disconnected  enp1s0
   bridge0  bridge    connected     bridge0
   bond0    bond      connected     bond0
   ...

   Copy to Clipboard

2. VLAN インターフェイスを作成します。たとえば、VLAN インターフェイス vlan10 を作成し、enp1s0 を親インターフェイスとして使用し、VLAN ID 10 のタグパケットを作成するには、次のコマンドを実行します。

   # nmcli connection add type vlan con-name vlan10 ifname vlan10 vlan.parent enp1s0 vlan.id 10

   Copy to Clipboard

   VLAN は、0 から 4094 の範囲内に存在する必要があります。

3. デフォルトでは、VLAN 接続は、親インターフェイスから最大伝送単位 (MTU) を継承します。必要に応じて、別の MTU 値を設定します。

   # nmcli connection modify vlan10 ethernet.mtu 2000

   Copy to Clipboard

4. IPv4 を設定します。

   • 静的 IPv4 アドレス、ネットワークマスク、デフォルトゲートウェイ、および DNS サーバーを vlan10 接続に設定するには、次のように実行します。

     # nmcli connection modify vlan10 ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253' ipv4.method manual

     Copy to Clipboard
   • DHCP を使用するために必要な操作はありません。
   • この VLAN デバイスを他のデバイスのポートとして使用する予定の場合は、何もする必要はありません。

5. IPv6 設定を行います。

   • 静的 IPv6 アドレス、ネットワークマスク、デフォルトゲートウェイ、および DNS サーバーを vlan10 接続に設定するには、次のように実行します。

     # nmcli connection modify vlan10 ipv6.addresses '2001:db8:1::1/32' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd' ipv6.method manual

     Copy to Clipboard
   • ステートレスアドレス自動設定 (SLAAC) を使用する場合、アクションは必要ありません。
   • この VLAN デバイスを他のデバイスのポートとして使用する予定の場合は、何もする必要はありません。

6. 接続をアクティベートします。

   # nmcli connection up vlan10

   Copy to Clipboard

手順

1. 物理ネットワークデバイスを表示します。

   # nmcli device status
   DEVICE   TYPE      STATE         CONNECTION
   enp1s0  ethernet  connected      enp1s0
   ...

   Copy to Clipboard

2. ベース VLAN インターフェイスを作成します。たとえば、enp1s0 を親インターフェイスとして使用し、パケットに VLAN ID 10 のタグを付ける vlan10 という名前のベース VLAN インターフェイスを作成するには、次のように実行します。

   # nmcli connection add type vlan con-name vlan10 dev enp1s0 vlan.id 10

   Copy to Clipboard

   VLAN は、0 から 4094 の範囲内に存在する必要があります。

3. デフォルトでは、VLAN 接続は、親インターフェイスから最大伝送単位 (MTU) を継承します。必要に応じて、別の MTU 値を設定します。

   # nmcli connection modify vlan10 ethernet.mtu 2000

   Copy to Clipboard

4. ベース VLAN インターフェイスの上にネストされた VLAN インターフェイスを作成します。

   # nmcli connection add type vlan con-name vlan10.20 dev enp1s0.10 id 20 vlan.protocol 802.1ad

   Copy to Clipboard

   このコマンドは、親 VLAN 接続 vlan10 で、名前が vlan10.20 で VLAN ID が 20 の新しい VLAN 接続を作成します。dev オプションは、親ネットワークデバイスを指定します。この場合、enp1s0.10 です。vlan.protocol オプションは、VLAN カプセル化プロトコルを指定します。この場合、802.1ad (Q-in-Q) です。

5. ネストされた VLAN インターフェイスの IPv4 設定を設定します。

   • DHCP を使用するために必要な操作はありません。

   • 静的 IPv4 アドレス、ネットワークマスク、デフォルトゲートウェイ、および DNS サーバーを vlan10.20 接続に設定するには、次のように実行します。

     # nmcli connection modify vlan10.20 ipv4.method manual ipv4.addresses 192.0.2.1/24 ipv4.gateway 192.0.2.254 ipv4.dns 192.0.2.200

     Copy to Clipboard

6. ネストされた VLAN インターフェイスの IPv6 設定を設定します。

   • ステートレスアドレス自動設定 (SLAAC) を使用する場合、アクションは必要ありません。

   • 静的 IPv6 アドレス、ネットワークマスク、デフォルトゲートウェイ、および DNS サーバーを vlan10 接続に設定するには、次のように実行します。

     # nmcli connection modify vlan10.20 ipv6.addresses '2001:db8:1::1/64' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd' ipv6.dns-search 'example.com' ipv6.method manual

     Copy to Clipboard

7. プロファイルをアクティブ化します。

   # nmcli connection up vlan10.20

   Copy to Clipboard

検証

1. ネストされた VLAN インターフェイスの設定を確認します。

   # ip -d addr show enp1s0.10.20
   10: enp1s0.10.20@enp1s0.10: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
       link/ether 52:54:00:d2:74:3e brd ff:ff:ff:ff:ff:ff promiscuity 0 minmtu 0 maxmtu 65535
       vlan protocol 802.1ad id 20 <REORDER_HDR> numtxqueues 1 numrxqueues 1 gso_max_size 65536 gso_max_segs 65535 tso_max_size 65536 tso_max_segs 65535 gro_max_size 65536
       inet 192.0.2.1/24 brd 192.0.2.255 scope global noprefixroute enp1s0.10.20
          valid_lft forever preferred_lft forever
       inet6 2001:db8:1::1/32 scope global noprefixroute
          valid_lft forever preferred_lft forever
       inet6 fe80::ce3b:84c5:9ef8:d0e6/64 scope link noprefixroute
          valid_lft forever preferred_lft forever

   Copy to Clipboard

手順

1. 画面左側のナビゲーションで Networking タブを選択します。
2. Interfaces セクションで Add VLAN をクリックします。
3. 親デバイスを選択します。
4. VLAN ID を入力します。

5. VLAN デバイスの名前を入力するか、自動生成された名前のままにします。

   
6. Apply をクリックします。

7. デフォルトでは、VLAN デバイスは動的 IP アドレスを使用します。静的 IP アドレスを設定する場合:

   1. Interfaces セクションで VLAN デバイスの名前をクリックします。
   2. 設定するプロトコルの横にある Edit をクリックします。
   3. Addresses の横にある Manual を選択し、IP アドレス、接頭辞、およびデフォルトゲートウェイを入力します。
   4. DNS セクションで + ボタンをクリックし、DNS サーバーの IP アドレスを入力します。複数の DNS サーバーを設定するには、この手順を繰り返します。
   5. DNS search domains セクションで、+ ボタンをクリックし、検索ドメインを入力します。

   6. インターフェイスにスタティックルートが必要な場合は、Routes セクションで設定します。

      
   7. Apply をクリックします。

手順

1. VLAN タグ付けを設定するネットワークデバイス名がわからない場合は、使用可能なデバイスを表示します。

   # nmcli device status
   DEVICE     TYPE      STATE                   CONNECTION
   enp1s0     ethernet  unavailable             --
   ...

   Copy to Clipboard

2. nmtui を開始します。

   # nmtui

   Copy to Clipboard
3. Edit a connection 選択し、Enter を押します。
4. Add を押します。
5. ネットワークタイプのリストから VLAN を選択し、Enter を押します。

6. オプション: 作成する NetworkManager プロファイルの名前を入力します。

   ホストに複数のプロファイルがある場合は、わかりやすい名前を付けると、プロファイルの目的を識別しやすくなります。

7. 作成する VLAN デバイス名を Device フィールドに入力します。
8. VLAN タグ付けを設定するデバイスの名前を Parent フィールドに入力します。
9. VLAN ID を入力します。ID は 0 から 4094 の範囲内である必要があります。

10. 環境に応じて、IPv4 configuration および IPv6 configuration 領域に IP アドレス設定を設定します。これを行うには、これらの領域の横にあるボタンを押して、次を選択します。

    • この VLAN デバイスが IP アドレスを必要としない場合、または他のデバイスのポートとして使用する場合は、Disabled にします。
    • DHCP サーバーまたはステートレスアドレス自動設定 (SLAAC) が IP アドレスを VLAN デバイスに動的に割り当てる場合は、Automatic にします。

    • ネットワークで静的 IP アドレス設定が必要な場合は、Manual にします。この場合、さらにフィールドに入力する必要があります。

      1. 設定するプロトコルの横にある Show を押して、追加のフィールドを表示します。

      2. Addresses の横にある Add を押して、IP アドレスとサブネットマスクを Classless Inter-Domain Routing (CIDR) 形式で入力します。

         サブネットマスクを指定しない場合、NetworkManager は IPv4 アドレスに /32 サブネットマスクを設定し、IPv6 アドレスに /64 サブネットマスクを設定します。

      3. デフォルトゲートウェイのアドレスを入力します。
      4. DNS servers の横にある Add を押して、DNS サーバーのアドレスを入力します。
      5. Search domains の横にある Add を押して、DNS 検索ドメインを入力します。

    図4.1 静的 IP アドレス設定による VLAN 接続例

    
11. OK を押すと、新しい接続が作成され、自動的にアクティブ化されます。
12. Back を押してメインメニューに戻ります。
13. Quit を選択し、Enter キーを押して nmtui アプリケーションを閉じます。

手順

1. 以下の内容を含む YAML ファイル (例: ~/create-vlan.yml) を作成します。

   ---
   interfaces:
   - name: vlan10
     type: vlan
     state: up
     ipv4:
       enabled: true
       address:
       - ip: 192.0.2.1
         prefix-length: 24
       dhcp: false
     ipv6:
       enabled: true
       address:
       - ip: 2001:db8:1::1
         prefix-length: 64
       autoconf: false
       dhcp: false
     vlan:
       base-iface: enp1s0
       id: 10
   - name: enp1s0
     type: ethernet
     state: up
   
   routes:
     config:
     - destination: 0.0.0.0/0
       next-hop-address: 192.0.2.254
       next-hop-interface: vlan10
     - destination: ::/0
       next-hop-address: 2001:db8:1::fffe
       next-hop-interface: vlan10
   
   dns-resolver:
     config:
       search:
       - example.com
       server:
       - 192.0.2.200
       - 2001:db8:1::ffbb

   Copy to Clipboard

   これらの設定では、enp1s0 デバイスを使用する ID 10 の VLAN を定義します。子デバイスの VLAN 接続の設定は以下のようになります。

   • 静的 IPv4 アドレス: 192.0.2.1 (サブネットマスクが /24)
   • 静的 IPv6 アドレス: 2001:db8:1::1 (サブネットマスクが /64)
   • IPv4 デフォルトゲートウェイ - 192.0.2.254
   • IPv6 デフォルトゲートウェイ - 2001:db8:1::fffe
   • IPv4 DNS サーバー - 192.0.2.200
   • IPv6 DNS サーバー - 2001:db8:1::ffbb
   • DNS 検索ドメイン - example.com

2. 設定をシステムに適用します。

   # nmstatectl apply ~/create-vlan.yml

   Copy to Clipboard

検証

1. デバイスおよび接続の状態を表示します。

   # nmcli device status
   DEVICE      TYPE      STATE      CONNECTION
   vlan10      vlan      connected  vlan10

   Copy to Clipboard

2. 接続プロファイルのすべての設定を表示します。

   # nmcli connection show vlan10
   connection.id:              vlan10
   connection.uuid:            1722970f-788e-4f81-bd7d-a86bf21c9df5
   connection.stable-id:       --
   connection.type:            vlan
   connection.interface-name:  vlan10
   ...

   Copy to Clipboard

3. 接続設定を YAML 形式で表示します。

   # nmstatectl show vlan10

   Copy to Clipboard

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Configure the network
     hosts: managed-node-01.example.com
     tasks:
       - name: VLAN connection profile with Ethernet port
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.network
         vars:
           network_connections:
             # Ethernet profile
             - name: enp1s0
               type: ethernet
               interface_name: enp1s0
               autoconnect: yes
               state: up
               ip:
                 dhcp4: no
                 auto6: no
   
             # VLAN profile
             - name: enp1s0.10
               type: vlan
               vlan:
                 id: 10
               ip:
                 dhcp4: yes
                 auto6: yes
               parent: enp1s0
               state: up

   Copy to Clipboard

   サンプル Playbook で指定されている設定は次のとおりです。

   type: <profile_type>

   作成するプロファイルのタイプを設定します。このサンプル Playbook では、2 つの接続プロファイルを作成します。1 つは親イーサネットデバイス用、もう 1 つは VLAN デバイス用です。

   dhcp4: <value>

   yes に設定すると、DHCP、PPP、または同様のサービスからの自動 IPv4 アドレス割り当てが有効になります。親デバイスの IP アドレス設定を無効にします。

   auto6: <value>

   yes に設定すると、IPv6 自動設定が有効になります。この場合、デフォルトで NetworkManager がルーター広告を使用します。ルーターが managed フラグを通知すると、NetworkManager は DHCPv6 サーバーから IPv6 アドレスと接頭辞を要求します。親デバイスの IP アドレス設定を無効にします。

   parent: <parent_device>

   VLAN 接続プロファイルの親デバイスを設定します。この例では、親はイーサネットインターフェイスです。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.network/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard

手順

1. ブリッジインターフェイスを作成します。

   # nmcli connection add type bridge con-name bridge0 ifname bridge0

   Copy to Clipboard

   このコマンドにより bridge0 という名前のブリッジが作成されます。

2. ネットワークインターフェイスを表示し、ブリッジに追加するインターフェイスの名前を書き留めます。

   # nmcli device status
   DEVICE  TYPE      STATE         CONNECTION
   enp7s0  ethernet  disconnected  --
   enp8s0  ethernet  disconnected  --
   bond0   bond      connected     bond0
   bond1   bond      connected     bond1
   ...

   Copy to Clipboard

   この例では、以下のように設定されています。

   • enp7s0 および enp8s0 は設定されません。これらのデバイスをポートとして使用するには、次のステップに接続プロファイルを追加します。
   • bond0 および bond1 には既存の接続プロファイルがあります。これらのデバイスをポートとして使用するには、次の手順でプロファイルを変更します。

3. インターフェイスをブリッジに割り当てます。

   1. ブリッジに割り当てるインターフェイスが設定されていない場合は、それらのブリッジに新しい接続プロファイルを作成します。

      # nmcli connection add type ethernet port-type bridge con-name bridge0-port1 ifname enp7s0 controller bridge0
      # nmcli connection add type ethernet port-type bridge con-name bridge0-port2 ifname enp8s0 controller bridge0

      Copy to Clipboard

      これらのコマンドにより、enp7s0 および enp8s0 のプロファイルが作成され、それらを bridge0 接続に追加します。

   2. 既存の接続プロファイルをブリッジに割り当てるには、以下を実行します。

      1. これらの接続の master パラメーターを bridge0 に設定します。

         # nmcli connection modify bond0 master bridge0
         # nmcli connection modify bond1 master bridge0

         Copy to Clipboard

         これらのコマンドは、bond0 および bond1 という名前の既存の接続プロファイルを bridge0 接続に割り当てます。

      2. 接続を再度アクティブにします。

         # nmcli connection up bond0
         # nmcli connection up bond1

         Copy to Clipboard

4. IPv4 を設定します。

   • 静的 IPv4 アドレス、ネットワークマスク、デフォルトゲートウェイ、および DNS サーバーを bridge0 接続に設定するには、次のように実行します。

     # nmcli connection modify bridge0 ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253' ipv4.dns-search 'example.com' ipv4.method manual

     Copy to Clipboard
   • DHCP を使用するために必要な操作はありません。
   • このブリッジデバイスを他のデバイスのポートとして使用する予定の場合は、特に必要な操作はありません。

5. IPv6 設定を行います。

   • 静的 IPv6 アドレス、ネットワークマスク、デフォルトゲートウェイ、および DNS サーバーを bridge0 接続に設定するには、次のように実行します。

     # nmcli connection modify bridge0 ipv6.addresses '2001:db8:1::1/64' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd' ipv6.dns-search 'example.com' ipv6.method manual

     Copy to Clipboard
   • ステートレスアドレス自動設定 (SLAAC) を使用する場合、アクションは必要ありません。
   • このブリッジデバイスを他のデバイスのポートとして使用する予定の場合は、特に必要な操作はありません。

6. 必要に応じて、ブリッジのその他のプロパティーを設定します。たとえば、bridge0 の STP (Spanning Tree Protocol) の優先度を 16384 に設定するには、次のコマンドを実行します。

   # nmcli connection modify bridge0 bridge.priority '16384'

   Copy to Clipboard

   デフォルトでは STP が有効になっています。

7. 接続をアクティベートします。

   # nmcli connection up bridge0

   Copy to Clipboard

8. ポートが接続されており、CONNECTION コラムがポートの接続名を表示していることを確認します。

   # nmcli device
   DEVICE   TYPE      STATE      CONNECTION
   ...
   enp7s0   ethernet  connected  bridge0-port1
   enp8s0   ethernet  connected  bridge0-port2

   Copy to Clipboard

   接続のいずれかのポートをアクティブにすると、NetworkManager はブリッジもアクティブにしますが、他のポートはアクティブにしません。ブリッジが有効な場合には、Red Hat Enterprise Linux がすべてのポートを自動的に有効にするように設定できます。

   1. ブリッジ接続の connection.autoconnect-ports パラメーターを有効にします。

      # nmcli connection modify bridge0 connection.autoconnect-ports 1

      Copy to Clipboard

   2. ブリッジを再度アクティブにします。

      # nmcli connection up bridge0

      Copy to Clipboard

手順

1. 画面左側のナビゲーションで Networking タブを選択します。
2. Interfaces セクションで Add bridge をクリックします。
3. 作成するブリッジデバイスの名前を入力します。
4. ブリッジのポートにするインターフェイスを選択します。

5. オプション: Spanning tree protocol (STP) 機能を有効にして、ブリッジループとブロードキャストの過剰拡散を回避します。

   
6. Apply をクリックします。

7. デフォルトでは、ブリッジは動的 IP アドレスを使用します。静的 IP アドレスを設定する場合:

   1. Interfaces セクションでブリッジの名前をクリックします。
   2. 設定するプロトコルの横にある Edit をクリックします。
   3. Addresses の横にある Manual を選択し、IP アドレス、接頭辞、およびデフォルトゲートウェイを入力します。
   4. DNS セクションで + ボタンをクリックし、DNS サーバーの IP アドレスを入力します。複数の DNS サーバーを設定するには、この手順を繰り返します。
   5. DNS search domains セクションで、+ ボタンをクリックし、検索ドメインを入力します。

   6. インターフェイスにスタティックルートが必要な場合は、Routes セクションで設定します。

      
   7. Apply をクリックします。

検証

1. 画面左側のナビゲーションで Networking タブを選択し、インターフェイスに着信および発信トラフィックがあるか確認します。

   

手順

1. ネットワークブリッジを設定するネットワークデバイス名がわからない場合は、使用可能なデバイスを表示します。

   # nmcli device status
   DEVICE     TYPE      STATE                   CONNECTION
   enp7s0     ethernet  unavailable             --
   enp8s0     ethernet  unavailable             --
   ...

   Copy to Clipboard

2. nmtui を開始します。

   # nmtui

   Copy to Clipboard
3. Edit a connection 選択し、Enter を押します。
4. Add を押します。
5. ネットワークタイプのリストから Bridge を選択し、Enter を押します。

6. オプション: 作成する NetworkManager プロファイルの名前を入力します。

   ホストに複数のプロファイルがある場合は、わかりやすい名前を付けると、プロファイルの目的を識別しやすくなります。

7. 作成するブリッジデバイス名を Device フィールドに入力します。

8. 作成するブリッジにポートを追加します。

   1. Ports リストの横にある Add を押します。
   2. ブリッジにポートとして追加するインターフェイスのタイプ (例: Ethernet) を選択します。
   3. オプション: このブリッジポート用に作成する NetworkManager プロファイルの名前を入力します。
   4. ポートのデバイス名を Device フィールドに入力します。

   5. OK を押して、ブリッジ設定のウィンドウに戻ります。

      図5.1 イーサネットデバイスをポートとしてブリッジに追加する

      
   6. ブリッジにさらにポートを追加するには、これらの手順を繰り返します。

9. 環境に応じて、IPv4 configuration および IPv6 configuration 領域に IP アドレス設定を設定します。これを行うには、これらの領域の横にあるボタンを押して、次を選択します。

   • ブリッジが IP アドレスを必要としない場合は Disabled にします。
   • DHCP サーバーまたはステートレスアドレス自動設定 (SLAAC) が IP アドレスをブリッジに動的に割り当てる場合は、Automatic にします。

   • ネットワークで静的 IP アドレス設定が必要な場合は、Manual にします。この場合、さらにフィールドに入力する必要があります。

     1. 設定するプロトコルの横にある Show を押して、追加のフィールドを表示します。

     2. Addresses の横にある Add を押して、IP アドレスとサブネットマスクを Classless Inter-Domain Routing (CIDR) 形式で入力します。

        サブネットマスクを指定しない場合、NetworkManager は IPv4 アドレスに /32 サブネットマスクを設定し、IPv6 アドレスに /64 サブネットマスクを設定します。

     3. デフォルトゲートウェイのアドレスを入力します。
     4. DNS servers の横にある Add を押して、DNS サーバーのアドレスを入力します。
     5. Search domains の横にある Add を押して、DNS 検索ドメインを入力します。

   図5.2 IP アドレス設定なしのブリッジ接続例

   
10. OK を押すと、新しい接続が作成され、自動的にアクティブ化されます。
11. Back を押してメインメニューに戻ります。
12. Quit を選択し、Enter キーを押して nmtui アプリケーションを閉じます。

検証

1. ip ユーティリティーを使用して、特定のブリッジのポートであるイーサネットデバイスのリンクステータスを表示します。

   # ip link show master bridge0
   3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
       link/ether 52:54:00:62:61:0e brd ff:ff:ff:ff:ff:ff
   4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
       link/ether 52:54:00:9e:f1:ce brd ff:ff:ff:ff:ff:ff

   Copy to Clipboard

2. bridge ユーティリティーを使用して、任意のブリッジデバイスのポートであるイーサネットデバイスの状態を表示します。

   # bridge link show
   3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state forwarding priority 32 cost 100
   4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state listening priority 32 cost 100
   ...

   Copy to Clipboard

   特定のイーサネットデバイスのステータスを表示するには、bridge link show dev <ethernet_device_name> コマンドを使用します。

手順

1. 以下の内容を含む YAML ファイル (例: ~/create-bridge.yml) を作成します。

   ---
   interfaces:
   - name: bridge0
     type: linux-bridge
     state: up
     ipv4:
       enabled: true
       address:
       - ip: 192.0.2.1
         prefix-length: 24
       dhcp: false
     ipv6:
       enabled: true
       address:
       - ip: 2001:db8:1::1
         prefix-length: 64
       autoconf: false
       dhcp: false
     bridge:
       options:
         stp:
           enabled: true
       port:
         - name: enp1s0
         - name: enp7s0
   - name: enp1s0
     type: ethernet
     state: up
   - name: enp7s0
     type: ethernet
     state: up
   
   routes:
     config:
     - destination: 0.0.0.0/0
       next-hop-address: 192.0.2.254
       next-hop-interface: bridge0
     - destination: ::/0
       next-hop-address: 2001:db8:1::fffe
       next-hop-interface: bridge0
   dns-resolver:
     config:
       search:
       - example.com
       server:
       - 192.0.2.200
       - 2001:db8:1::ffbb

   Copy to Clipboard

   これらの設定では、次の設定でネットワークブリッジを定義します。

   • ブリッジのネットワークインターフェイス: enp1s0 および enp7s0
   • スパニングツリープロトコル (STP): 有効化
   • 静的 IPv4 アドレス: 192.0.2.1 (サブネットマスクが /24)
   • 静的 IPv6 アドレス: 2001:db8:1::1 (サブネットマスクが /64)
   • IPv4 デフォルトゲートウェイ: 192.0.2.254
   • IPv6 デフォルトゲートウェイ: 2001:db8:1::fffe
   • IPv4 DNS サーバー: 192.0.2.200
   • IPv6 DNS サーバー: 2001:db8:1::ffbb
   • DNS 検索ドメイン: example.com

2. 設定をシステムに適用します。

   # nmstatectl apply ~/create-bridge.yml

   Copy to Clipboard

検証

1. デバイスおよび接続の状態を表示します。

   # nmcli device status
   DEVICE      TYPE      STATE      CONNECTION
   bridge0     bridge    connected  bridge0

   Copy to Clipboard

2. 接続プロファイルのすべての設定を表示します。

   # nmcli connection show bridge0
   connection.id:              bridge0_
   connection.uuid:            e2cc9206-75a2-4622-89cf-1252926060a9
   connection.stable-id:       --
   connection.type:            bridge
   connection.interface-name:  bridge0
   ...

   Copy to Clipboard

3. 接続設定を YAML 形式で表示します。

   # nmstatectl show bridge0

   Copy to Clipboard

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Configure the network
     hosts: managed-node-01.example.com
     tasks:
       - name: Bridge connection profile with two Ethernet ports
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.network
         vars:
           network_connections:
             # Bridge profile
             - name: bridge0
               type: bridge
               interface_name: bridge0
               ip:
                 dhcp4: yes
                 auto6: yes
               state: up
   
             # Port profile for the 1st Ethernet device
             - name: bridge0-port1
               interface_name: enp7s0
               type: ethernet
               controller: bridge0
               port_type: bridge
               state: up
   
             # Port profile for the 2nd Ethernet device
             - name: bridge0-port2
               interface_name: enp8s0
               type: ethernet
               controller: bridge0
               port_type: bridge
               state: up

   Copy to Clipboard

   サンプル Playbook で指定されている設定は次のとおりです。

   type: <profile_type>

   作成するプロファイルのタイプを設定します。このサンプル Playbook では、3 つの接続プロファイルを作成します。1 つはブリッジ用、2 つはイーサネットデバイス用です。

   dhcp4: yes

   DHCP、PPP、または同様のサービスからの自動 IPv4 アドレス割り当てを有効にします。

   auto6: yes

   IPv6 自動設定を有効にします。デフォルトでは、NetworkManager はルーター広告を使用します。ルーターが managed フラグを通知すると、NetworkManager は DHCPv6 サーバーに IPv6 アドレスと接頭辞を要求します。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.network/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard

検証

1. 特定のブリッジのポートであるイーサネットデバイスのリンクステータスを表示します。

   # ansible managed-node-01.example.com -m command -a 'ip link show master bridge0'
   managed-node-01.example.com | CHANGED | rc=0 >>
   3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
       link/ether 52:54:00:62:61:0e brd ff:ff:ff:ff:ff:ff
   4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel master bridge0 state UP mode DEFAULT group default qlen 1000
       link/ether 52:54:00:9e:f1:ce brd ff:ff:ff:ff:ff:ff

   Copy to Clipboard

2. ブリッジデバイスのポートであるイーサネットデバイスのステータスを表示します。

   # ansible managed-node-01.example.com -m command -a 'bridge link show'
   managed-node-01.example.com | CHANGED | rc=0 >>
   3: enp7s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state forwarding priority 32 cost 100
   4: enp8s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 master bridge0 state listening priority 32 cost 100

   Copy to Clipboard

手順

1. libreswan パッケージをインストールします。

   # dnf install libreswan

   Copy to Clipboard

2. Libreswan を再インストールする場合は、古いデータベースファイルを削除し、新しいデータベースを作成します。

   # systemctl stop ipsec
   # rm /var/lib/ipsec/nss/*db
   # ipsec initnss

   Copy to Clipboard

3. ipsec サービスを開始して有効にし、システムの起動時にサービスを自動的に開始できるようにします。

   # systemctl enable ipsec --now

   Copy to Clipboard

4. ファイアウォールで、ipsec サービスを追加して、IKE プロトコル、ESP プロトコル、および AH プロトコルの 500/UDP ポートおよび 4500/UDP ポートを許可するように設定します。

   # firewall-cmd --add-service="ipsec"
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard

手順

1. 各ホストで Raw RSA 鍵ペアを生成します。

   # ipsec newhostkey

   Copy to Clipboard

2. 前の手順で生成した鍵の ckaid を返します。左 で次のコマンドを実行して、その ckaid を使用します。以下に例を示します。

   # ipsec showhostkey --left --ckaid 2d3ea57b61c9419dfd6cf43a1eb6cb306c0e857d

   Copy to Clipboard

   上のコマンドの出力により、設定に必要な leftrsasigkey= 行が生成されます。次のホスト (右) でも同じ操作を行います。

   # ipsec showhostkey --right --ckaid a9e1f6ce9ecd3608c24e8f701318383f41798f03

   Copy to Clipboard

3. /etc/ipsec.d/ ディレクトリーで、新しい my_host-to-host.conf ファイルを作成します。上の手順の ipsec showhostkey コマンドの出力から、RSA ホストの鍵を新規ファイルに書き込みます。以下に例を示します。

   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

   Copy to Clipboard

4. 鍵をインポートしたら、ipsec サービスを再起動します。

   # systemctl restart ipsec

   Copy to Clipboard

5. 接続を読み込みます。

   # ipsec add mytunnel

   Copy to Clipboard

6. トンネルを確立します。

   # ipsec up mytunnel

   Copy to Clipboard

7. ipsec サービスの開始時に自動的にトンネルを開始するには、以下の行を接続定義に追加します。

   auto=start

   Copy to Clipboard
8. DHCP またはステートレスアドレス自動設定 (SLAAC) が設定されたネットワークでこのホストを使用すると、接続がリダイレクトされる危険性があります。詳細と軽減策については、接続がトンネルを回避しないように VPN 接続を専用ルーティングテーブルに割り当てる を参照してください。

手順

1. ホスト間の VPN の設定が含まれるファイルを、新規ファイルにコピーします。以下に例を示します。

   # cp /etc/ipsec.d/my_host-to-host.conf /etc/ipsec.d/my_site-to-site.conf

   Copy to Clipboard

2. 上の手順で作成したファイルに、サブネット設定を追加します。以下に例を示します。

   conn mysubnet
        also=mytunnel
        leftsubnet=192.0.1.0/24
        rightsubnet=192.0.2.0/24
        auto=start
   
   conn mysubnet6
        also=mytunnel
        leftsubnet=2001:db8:0:1::/64
        rightsubnet=2001:db8:0:2::/64
        auto=start
   
   # the following part of the configuration file is the same for both host-to-host and site-to-site connections:
   
   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

   Copy to Clipboard
3. DHCP またはステートレスアドレス自動設定 (SLAAC) が設定されたネットワークでこのホストを使用すると、接続がリダイレクトされる危険性があります。詳細と軽減策については、接続がトンネルを回避しないように VPN 接続を専用ルーティングテーブルに割り当てる を参照してください。

手順

1. 各ノードで PKCS #12 ファイルをインポートします。この手順では、PKCS #12 ファイルの生成に使用するパスワードが必要になります。

   # ipsec import nodeXXX.p12

   Copy to Clipboard

2. IPsec required (private)、IPsec optional (private-or-clear)、および No IPsec (clear) プロファイルに、以下のような 3 つの接続定義を作成します。

   # cat /etc/ipsec.d/mesh.conf
   conn clear
   	auto=ondemand 

   1

   
   	type=passthrough
   	authby=never
   	left=%defaultroute
   	right=%group
   
   conn private
   	auto=ondemand
   	type=transport
   	authby=rsasig
   	failureshunt=drop
   	negotiationshunt=drop
   	keyexchange=ikev2
   	left=%defaultroute
   	leftcert=nodeXXXX
   	leftid=%fromcert 

   2

   
   	rightid=%fromcert
   	right=%opportunisticgroup
   
   conn private-or-clear
   	auto=ondemand
   	type=transport
   	authby=rsasig
   	failureshunt=passthrough
   	negotiationshunt=passthrough
   	# left
   	left=%defaultroute
   	leftcert=nodeXXXX 

   3

   
   	leftid=%fromcert
   	leftrsasigkey=%cert
   	# right
   	rightrsasigkey=%cert
   	rightid=%fromcert
   	right=%opportunisticgroup

   Copy to Clipboard

   1

   auto 変数にはいくつかのオプションがあります。

   ondemand 接続オプションは、IPsec 接続を開始するオポチュニスティック IPsec や、常にアクティブにする必要のない明示的に設定した接続に使用できます。このオプションは、カーネル内にトラップ XFRM ポリシーを設定し、そのポリシーに一致する最初のパケットを受信したときに IPsec 接続を開始できるようにします。

   オポチュニスティック IPsec を使用する場合も、明示的に設定した接続を使用する場合も、次のオプションを使用すると、IPsec 接続を効果的に設定および管理できます。

   add オプション

   接続設定をロードし、リモート開始に応答できるように準備します。ただし、接続はローカル側から自動的に開始されません。コマンド ipsec up を使用して、IPsec 接続を手動で開始できます。

   start オプション

   接続設定をロードし、リモート開始に応答できるように準備します。さらに、リモートピアへの接続を即座に開始します。このオプションは、永続的かつ常にアクティブな接続に使用できます。

   2

   leftid 変数と rightid 変数は、IPsec トンネル接続の右チャネルと左チャネルを指定します。これらの変数を使用して、ローカル IP アドレスの値、またはローカル証明書のサブジェクト DN を取得できます (設定している場合)。

   3

   leftcert 変数は、使用する NSS データベースのニックネームを定義します。

3. ネットワークの IP アドレスを対応するカテゴリーに追加します。たとえば、すべてのノードが 10.15.0.0/16 ネットワーク内に存在し、すべてのノードで IPsec 暗号化を使用する必要がある場合は、次のコマンドを実行します。

   # echo "10.15.0.0/16" >> /etc/ipsec.d/policies/private

   Copy to Clipboard

4. 特定のノード (10.15.34.0/24 など) を IPsec の有無にかかわらず機能させるには、そのノードを private-or-clear グループに追加します。

   # echo "10.15.34.0/24" >> /etc/ipsec.d/policies/private-or-clear

   Copy to Clipboard

5. ホストを、10.15.1.2 など、IPsec の機能がない clear グループに定義する場合は、次のコマンドを実行します。

   # echo "10.15.1.2/32" >> /etc/ipsec.d/policies/clear

   Copy to Clipboard

   /etc/ipsec.d/policies ディレクトリーのファイルは、各新規ノードのテンプレートから作成することも、Puppet または Ansible を使用してプロビジョニングすることもできます。

   すべてのノードでは、例外のリストが同じか、異なるトラフィックフローが期待される点に注意してください。したがって、あるノードで IPsec が必要になり、別のノードで IPsec を使用できないために、ノード間の通信ができない場合もあります。

6. ノードを再起動して、設定したメッシュに追加します。

   # systemctl restart ipsec

   Copy to Clipboard
7. DHCP またはステートレスアドレス自動設定 (SLAAC) が設定されたネットワークでこのホストを使用すると、接続がリダイレクトされる危険性があります。詳細と軽減策については、接続がトンネルを回避しないように VPN 接続を専用ルーティングテーブルに割り当てる を参照してください。

検証

1. ping コマンドを使用して IPsec トンネルを開きます。

   # ping <nodeYYY>

   Copy to Clipboard

2. インポートされた証明書を含む NSS データベースを表示します。

   # certutil -L -d sql:/var/lib/ipsec/nss/
   
   Certificate Nickname    Trust Attributes
                           SSL,S/MIME,JAR/XPI
   
   west                    u,u,u
   ca                      CT,,

   Copy to Clipboard

3. ノード上の開いているトンネルを確認します。

   # ipsec trafficstatus
   006 #2: "private#10.15.0.0/16"[1] ...<nodeYYY>, type=ESP, add_time=1691399301, inBytes=512, outBytes=512, maxBytes=2^63B, id='C=US, ST=NC, O=Example Organization, CN=east'

   Copy to Clipboard

手順

1. libreswan パッケージをインストールします。

   # dnf install libreswan

   Copy to Clipboard

2. Libreswan を再インストールする場合は、古い NSS データベースを削除します。

   # systemctl stop ipsec
   # rm /var/lib/ipsec/nss/*db

   Copy to Clipboard

3. ipsec サービスを開始して有効にし、システムの起動時にサービスを自動的に開始できるようにします。

   # systemctl enable ipsec --now

   Copy to Clipboard

4. ファイアウォールで、ipsec サービスを追加して、IKE プロトコル、ESP プロトコル、および AH プロトコルの 500 および 4500 UDP ポートを許可するように設定します。

   # firewall-cmd --add-service="ipsec"
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard

検証

1. Libreswan が FIPS モードで実行されていることを確認します。

   # ipsec whack --fipsstatus
   FIPS mode enabled

   Copy to Clipboard

2. または、systemd ジャーナルで ipsec ユニットのエントリーを確認します。

   $ journalctl -u ipsec
   ...
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Mode: ON

   Copy to Clipboard

3. FIPS モードで使用可能なアルゴリズムを表示するには、次のコマンドを実行します。

   # ipsec pluto --selftest 2>&1 | head -6
   Initializing NSS using read-only database "sql:/var/lib/ipsec/nss"
   FIPS Mode: ON
   NSS crypto library initialized
   FIPS mode enabled for pluto daemon
   NSS library is running in FIPS mode
   FIPS HMAC integrity support [not required]

   Copy to Clipboard

4. FIPS モードで無効化されたアルゴリズムをクエリーするには、次のコマンドを実行します。

   # ipsec pluto --selftest 2>&1 | grep disabled
   Encryption algorithm CAMELLIA_CTR disabled; not FIPS compliant
   Encryption algorithm CAMELLIA_CBC disabled; not FIPS compliant
   Encryption algorithm NULL disabled; not FIPS compliant
   Encryption algorithm CHACHA20_POLY1305 disabled; not FIPS compliant
   Hash algorithm MD5 disabled; not FIPS compliant
   PRF algorithm HMAC_MD5 disabled; not FIPS compliant
   PRF algorithm AES_XCBC disabled; not FIPS compliant
   Integrity algorithm HMAC_MD5_96 disabled; not FIPS compliant
   Integrity algorithm HMAC_SHA2_256_TRUNCBUG disabled; not FIPS compliant
   Integrity algorithm AES_XCBC_96 disabled; not FIPS compliant
   DH algorithm MODP1536 disabled; not FIPS compliant
   DH algorithm DH31 disabled; not FIPS compliant

   Copy to Clipboard

5. FIPS モードで許可されているすべてのアルゴリズムと暗号のリストを表示するには、次のコマンドを実行します。

   # ipsec pluto --selftest 2>&1 | grep ESP | grep FIPS | sed "s/^.*FIPS//"
   aes_ccm, aes_ccm_c
   aes_ccm_b
   aes_ccm_a
   NSS(CBC)  3des
   NSS(GCM)  aes_gcm, aes_gcm_c
   NSS(GCM)  aes_gcm_b
   NSS(GCM)  aes_gcm_a
   NSS(CTR)  aesctr
   NSS(CBC)  aes
   aes_gmac
   NSS       sha, sha1, sha1_96, hmac_sha1
   NSS       sha512, sha2_512, sha2_512_256, hmac_sha2_512
   NSS       sha384, sha2_384, sha2_384_192, hmac_sha2_384
   NSS       sha2, sha256, sha2_256, sha2_256_128, hmac_sha2_256
   aes_cmac
   null
   NSS(MODP) null, dh0
   NSS(MODP) dh14
   NSS(MODP) dh15
   NSS(MODP) dh16
   NSS(MODP) dh17
   NSS(MODP) dh18
   NSS(ECP)  ecp_256, ecp256
   NSS(ECP)  ecp_384, ecp384
   NSS(ECP)  ecp_521, ecp521

   Copy to Clipboard

手順

1. Libreswan の NSS データベースのパスワード保護を有効にします。

   # certutil -N -d sql:/var/lib/ipsec/nss
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:

   Copy to Clipboard

2. 前の手順で設定したパスワードを含む /etc/ipsec.d/nsspassword ファイルを作成します。以下はその例です。

   # cat /etc/ipsec.d/nsspassword
   NSS Certificate DB:<password>

   Copy to Clipboard

   nsspassword ファイルは次の構文を使用します。

   <token_1>:<password1>
   <token_2>:<password2>

   Copy to Clipboard

   デフォルトの NSS ソフトウェアトークンは NSS Certificate DB です。システムが FIPS モードで実行し場合は、トークンの名前が NSS FIPS 140-2 Certificate DB になります。

3. 選択したシナリオに応じて、nsspassword ファイルの完了後に ipsec サービスを起動または再起動します。

   # systemctl restart ipsec

   Copy to Clipboard

検証

1. NSS データベースに空でないパスワードを追加した後に、ipsec サービスが実行中であることを確認します。

   # systemctl status ipsec
   ● ipsec.service - Internet Key Exchange (IKE) Protocol Daemon for IPsec
      Loaded: loaded (/usr/lib/systemd/system/ipsec.service; enabled; vendor preset: disable>
      Active: active (running)…

   Copy to Clipboard

手順

1. config setup セクションの /etc/ipsec.conf ファイルに以下のオプションを追加します。

   listen-tcp=yes

   Copy to Clipboard

2. UDP で最初の試行に失敗した場合に TCP カプセル化をフォールバックオプションとして使用するには、クライアントの接続定義に以下の 2 つのオプションを追加します。

   enable-tcp=fallback
   tcp-remoteport=4500

   Copy to Clipboard

   または、UDP を永続的にブロックしている場合は、クライアントの接続設定で以下のオプションを使用します。

   enable-tcp=yes
   tcp-remoteport=4500

   Copy to Clipboard