5.4. ホスト間の VPN の作成

手順

1. 各ホストで Raw RSA 鍵ペアを生成します。

   Copy to Clipboard Toggle word wrap

   # ipsec newhostkey

2. 前の手順で生成した鍵の ckaid を返します。左 で次のコマンドを実行して、その ckaid を使用します。以下に例を示します。

   Copy to Clipboard Toggle word wrap

   # ipsec showhostkey --left --ckaid 2d3ea57b61c9419dfd6cf43a1eb6cb306c0e857d

   上のコマンドの出力により、設定に必要な leftrsasigkey= 行が生成されます。次のホスト (右) でも同じ操作を行います。

   Copy to Clipboard Toggle word wrap

   # ipsec showhostkey --right --ckaid a9e1f6ce9ecd3608c24e8f701318383f41798f03

3. /etc/ipsec.d/ ディレクトリーで、新しい my_host-to-host.conf ファイルを作成します。上の手順の ipsec showhostkey コマンドの出力から、RSA ホストの鍵を新規ファイルに書き込みます。以下に例を示します。

   Copy to Clipboard Toggle word wrap

   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

4. 鍵をインポートしたら、ipsec サービスを再起動します。

   Copy to Clipboard Toggle word wrap

   # systemctl restart ipsec

5. 接続を読み込みます。

   Copy to Clipboard Toggle word wrap

   # ipsec auto --add mytunnel

6. トンネルを確立します。

   Copy to Clipboard Toggle word wrap

   # ipsec auto --up mytunnel

7. ipsec サービスの開始時に自動的にトンネルを開始するには、以下の行を接続定義に追加します。

   Copy to Clipboard Toggle word wrap

   auto=start

8. DHCP またはステートレスアドレス自動設定 (SLAAC) が設定されたネットワークでこのホストを使用すると、接続がリダイレクトされる危険性があります。詳細と緩和手順については、接続がトンネルをバイパスしないようにするために VPN 接続を専用ルーティングテーブルに割り当てるを 参照してください。