14.3. IPsec VPN のセットアップ

手順

1. libreswan パッケージをインストールします。

   # yum install libreswan

2. Libreswan を再インストールする場合は、古いデータベースファイルを削除し、新しいデータベースを作成します。

   # systemctl stop ipsec
   # rm /etc/ipsec.d/*db
   # ipsec initnss

3. ipsec サービスを開始して有効にし、システムの起動時にサービスを自動的に開始できるようにします。

   # systemctl enable ipsec --now

4. ファイアウォールで、ipsec サービスを追加して、IKE プロトコル、ESP プロトコル、および AH プロトコルの 500/UDP ポートおよび 4500/UDP ポートを許可するように設定します。

   # firewall-cmd --add-service="ipsec"
   # firewall-cmd --runtime-to-permanent

手順

1. 各ホストで Raw RSA 鍵ペアを生成します。

   # ipsec newhostkey

2. 前の手順で生成した鍵の ckaid を返します。左 で次のコマンドを実行して、その ckaid を使用します。以下に例を示します。

   # ipsec showhostkey --left --ckaid 2d3ea57b61c9419dfd6cf43a1eb6cb306c0e857d

   上のコマンドの出力により、設定に必要な leftrsasigkey= 行が生成されます。次のホスト (右) でも同じ操作を行います。

   # ipsec showhostkey --right --ckaid a9e1f6ce9ecd3608c24e8f701318383f41798f03

3. /etc/ipsec.d/ ディレクトリーで、新しい my_host-to-host.conf ファイルを作成します。上の手順の ipsec showhostkey コマンドの出力から、RSA ホストの鍵を新規ファイルに書き込みます。以下に例を示します。

   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

4. 鍵をインポートしたら、ipsec サービスを再起動します。

   # systemctl restart ipsec

5. 接続を読み込みます。

   # ipsec auto --add mytunnel

6. トンネルを確立します。

   # ipsec auto --up mytunnel

7. ipsec サービスの開始時に自動的にトンネルを開始するには、以下の行を接続定義に追加します。

   auto=start

手順

1. ホスト間の VPN の設定が含まれるファイルを、新規ファイルにコピーします。以下に例を示します。

   # cp /etc/ipsec.d/my_host-to-host.conf /etc/ipsec.d/my_site-to-site.conf

2. 上の手順で作成したファイルに、サブネット設定を追加します。以下に例を示します。

   conn mysubnet
        also=mytunnel
        leftsubnet=192.0.1.0/24
        rightsubnet=192.0.2.0/24
        auto=start
   
   conn mysubnet6
        also=mytunnel
        leftsubnet=2001:db8:0:1::/64
        rightsubnet=2001:db8:0:2::/64
        auto=start
   
   # the following part of the configuration file is the same for both host-to-host and site-to-site connections:
   
   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

手順

1. 各ノードで PKCS #12 ファイルをインポートします。この手順では、PKCS #12 ファイルの生成に使用するパスワードが必要になります。

   # ipsec import nodeXXX.p12

2. IPsec required (private)、IPsec optional (private-or-clear)、および No IPsec (clear) プロファイルに、以下のような 3 つの接続定義を作成します。

   # cat /etc/ipsec.d/mesh.conf
   conn clear
   	auto=ondemand 1
   	type=passthrough
   	authby=never
   	left=%defaultroute
   	right=%group
   
   conn private
   	auto=ondemand
   	type=transport
   	authby=rsasig
   	failureshunt=drop
   	negotiationshunt=drop
   	ikev2=insist
   	left=%defaultroute
   	leftcert=nodeXXXX
   	leftid=%fromcert 2
   	rightid=%fromcert
   	right=%opportunisticgroup
   
   conn private-or-clear
   	auto=ondemand
   	type=transport
   	authby=rsasig
   	failureshunt=passthrough
   	negotiationshunt=passthrough
   	# left
   	left=%defaultroute
   	leftcert=nodeXXXX 3
   	leftid=%fromcert
   	leftrsasigkey=%cert
   	# right
   	rightrsasigkey=%cert
   	rightid=%fromcert
   	right=%opportunisticgroup

検証

1. ping コマンドを使用して IPsec トンネルを開きます。

   # ping <nodeYYY>

2. インポートされた証明書を含む NSS データベースを表示します。

   # certutil -L -d sql:/etc/ipsec.d
   
   Certificate Nickname    Trust Attributes
                           SSL,S/MIME,JAR/XPI
   
   west                    u,u,u
   ca                      CT,,

3. ノード上の開いているトンネルを確認します。

   # ipsec trafficstatus
   006 #2: "private#10.15.0.0/16"[1] ...<nodeYYY>, type=ESP, add_time=1691399301, inBytes=512, outBytes=512, maxBytes=2^63B, id='C=US, ST=NC, O=Example Organization, CN=east'

手順

1. libreswan パッケージをインストールします。

   # yum install libreswan

2. Libreswan を再インストールする場合は、古い NSS データベースを削除します。

   # systemctl stop ipsec
   # rm /etc/ipsec.d/*db

3. ipsec サービスを開始して有効にし、システムの起動時にサービスを自動的に開始できるようにします。

   # systemctl enable ipsec --now

4. ファイアウォールで、ipsec サービスを追加して、IKE プロトコル、ESP プロトコル、および AH プロトコルの 500 および 4500 UDP ポートを許可するように設定します。

   # firewall-cmd --add-service="ipsec"
   # firewall-cmd --runtime-to-permanent

5. システムを FIPS モードに切り替えます。

   # fips-mode-setup --enable

6. システムを再起動して、カーネルを FIPS モードに切り替えます。

   # reboot

検証

1. Libreswan が FIPS モードで実行されていることを確認します。

   # ipsec whack --fipsstatus
   000 FIPS mode enabled

2. または、systemd ジャーナルで ipsec ユニットのエントリーを確認します。

   $ journalctl -u ipsec
   ...
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Product: YES
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Kernel: YES
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Mode: YES

3. FIPS モードで使用可能なアルゴリズムを表示するには、次のコマンドを実行します。

   # ipsec pluto --selftest 2>&1 | head -11
   FIPS Product: YES
   FIPS Kernel: YES
   FIPS Mode: YES
   NSS DB directory: sql:/etc/ipsec.d
   Initializing NSS
   Opening NSS database "sql:/etc/ipsec.d" read-only
   NSS initialized
   NSS crypto library initialized
   FIPS HMAC integrity support [enabled]
   FIPS mode enabled for pluto daemon
   NSS library is running in FIPS mode
   FIPS HMAC integrity verification self-test passed

4. FIPS モードで無効化されたアルゴリズムをクエリーするには、次のコマンドを実行します。

   # ipsec pluto --selftest 2>&1 | grep disabled
   Encryption algorithm CAMELLIA_CTR disabled; not FIPS compliant
   Encryption algorithm CAMELLIA_CBC disabled; not FIPS compliant
   Encryption algorithm SERPENT_CBC disabled; not FIPS compliant
   Encryption algorithm TWOFISH_CBC disabled; not FIPS compliant
   Encryption algorithm TWOFISH_SSH disabled; not FIPS compliant
   Encryption algorithm NULL disabled; not FIPS compliant
   Encryption algorithm CHACHA20_POLY1305 disabled; not FIPS compliant
   Hash algorithm MD5 disabled; not FIPS compliant
   PRF algorithm HMAC_MD5 disabled; not FIPS compliant
   PRF algorithm AES_XCBC disabled; not FIPS compliant
   Integrity algorithm HMAC_MD5_96 disabled; not FIPS compliant
   Integrity algorithm HMAC_SHA2_256_TRUNCBUG disabled; not FIPS compliant
   Integrity algorithm AES_XCBC_96 disabled; not FIPS compliant
   DH algorithm MODP1024 disabled; not FIPS compliant
   DH algorithm MODP1536 disabled; not FIPS compliant
   DH algorithm DH31 disabled; not FIPS compliant

5. FIPS モードで許可されているすべてのアルゴリズムと暗号のリストを表示するには、次のコマンドを実行します。

   # ipsec pluto --selftest 2>&1 | grep ESP | grep FIPS | sed "s/^.*FIPS//"
   {256,192,*128}  aes_ccm, aes_ccm_c
   {256,192,*128}  aes_ccm_b
   {256,192,*128}  aes_ccm_a
   [*192]  3des
   {256,192,*128}  aes_gcm, aes_gcm_c
   {256,192,*128}  aes_gcm_b
   {256,192,*128}  aes_gcm_a
   {256,192,*128}  aesctr
   {256,192,*128}  aes
   {256,192,*128}  aes_gmac
   sha, sha1, sha1_96, hmac_sha1
   sha512, sha2_512, sha2_512_256, hmac_sha2_512
   sha384, sha2_384, sha2_384_192, hmac_sha2_384
   sha2, sha256, sha2_256, sha2_256_128, hmac_sha2_256
   aes_cmac
   null
   null, dh0
   dh14
   dh15
   dh16
   dh17
   dh18
   ecp_256, ecp256
   ecp_384, ecp384
   ecp_521, ecp521

手順

1. Libreswan の NSS データベースのパスワード保護を有効にします。

   # certutil -N -d sql:/etc/ipsec.d
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:

2. 前の手順で設定したパスワードを含む /etc/ipsec.d/nsspassword ファイルを作成します。次に例を示します。

   # cat /etc/ipsec.d/nsspassword
   NSS Certificate DB:_<password>_

   nsspassword ファイルは次の構文を使用します。

   <token_1>:<password1>
   <token_2>:<password2>

   デフォルトの NSS ソフトウェアトークンは NSS Certificate DB です。システムが FIPS モードで実行し場合は、トークンの名前が NSS FIPS 140-2 Certificate DB になります。

3. 選択したシナリオに応じて、nsspassword ファイルの完了後に ipsec サービスを起動または再起動します。

   # systemctl restart ipsec

検証

1. NSS データベースに空でないパスワードを追加した後に、ipsec サービスが実行中であることを確認します。

   # systemctl status ipsec
   ● ipsec.service - Internet Key Exchange (IKE) Protocol Daemon for IPsec
      Loaded: loaded (/usr/lib/systemd/system/ipsec.service; enabled; vendor preset: disable>
      Active: active (running)...

2. Journal ログに初期化が成功したことを確認するエントリーが含まれていることを確認します。

   # journalctl -u ipsec
   ...
   pluto[6214]: Initializing NSS using read-write database "sql:/etc/ipsec.d"
   pluto[6214]: NSS Password from file "/etc/ipsec.d/nsspassword" for token "NSS Certificate DB" with length 20 passed to NSS
   pluto[6214]: NSS crypto library initialized
   ...

手順

1. config setup セクションの /etc/ipsec.conf ファイルに以下のオプションを追加します。

   listen-tcp=yes

2. UDP で最初の試行に失敗した場合に TCP カプセル化をフォールバックオプションとして使用するには、クライアントの接続定義に以下の 2 つのオプションを追加します。

   enable-tcp=fallback
   tcp-remoteport=4500

   または、UDP を永続的にブロックしている場合は、クライアントの接続設定で以下のオプションを使用します。

   enable-tcp=yes
   tcp-remoteport=4500

手順

1. ESP ハードウェアオフロードサポートの自動検出を使用する接続の /etc/ipsec.d/ ディレクトリーにある Libreswan 設定ファイルを編集します。
2. 接続の設定で nic-offload パラメーターが設定されていないことを確認します。

3. nic-offload を削除した場合は、ipsec を再起動します。

   # systemctl restart ipsec

検証

1. IPsec 接続が使用するイーサネットデバイスの tx_ipsec および rx_ipsec カウンターを表示します。

   # ethtool -S enp1s0 | egrep "_ipsec"
        tx_ipsec: 10
        rx_ipsec: 10

2. IPsec トンネルを介してトラフィックを送信します。たとえば、リモート IP アドレスに ping します。

   # ping -c 5 remote_ip_address

3. イーサネットデバイスの tx_ipsec および rx_ipsec カウンターを再度表示します。

   # ethtool -S enp1s0 | egrep "_ipsec"
        tx_ipsec: 15
        rx_ipsec: 15

   カウンターの値が増えると、ESP ハードウェアオフロードが動作します。

手順

1. ネットワークボンディングで ESP ハードウェアオフロードのサポートを有効にします。

   # nmcli connection modify bond0 ethtool.feature-esp-hw-offload on

   このコマンドにより、bond0 接続での ESP ハードウェアオフロードのサポートが有効になります。

2. bond0 接続を再度アクティブにします。

   # nmcli connection up bond0

3. ESP ハードウェアオフロードに使用すべき接続の /etc/ipsec.d/ ディレクトリーにある Libreswan 設定ファイルを編集し、nic-offload=yes ステートメントを接続エントリーに追加します。

   conn example
       ...
       nic-offload=yes

4. ipsec サービスを再起動します。

   # systemctl restart ipsec

1. ボンディングのアクティブなポートを表示します。

   # grep "Currently Active Slave" /proc/net/bonding/bond0
   Currently Active Slave: enp1s0

2. アクティブなポートの tx_ipsec カウンターおよび rx_ipsec カウンターを表示します。

   # ethtool -S enp1s0 | egrep "_ipsec"
        tx_ipsec: 10
        rx_ipsec: 10

3. IPsec トンネルを介してトラフィックを送信します。たとえば、リモート IP アドレスに ping します。

   # ping -c 5 remote_ip_address

4. アクティブなポートの tx_ipsec カウンターおよび rx_ipsec カウンターを再度表示します。

   # ethtool -S enp1s0 | egrep "_ipsec"
        tx_ipsec: 15
        rx_ipsec: 15

   カウンターの値が増えると、ESP ハードウェアオフロードが動作します。

1. vpn.example.com 接続をもう一度読み込みます。

   # ipsec auto --add vpn.example.com
   002 added connection description "vpn.example.com"

2. 次に、VPN 接続を開始します。

   # ipsec auto --up vpn.example.com

手順

1. Super キーを押して Settings と入力し、Enter を押して control-center アプリケーションを開きます。
2. 左側の Network エントリーを選択します。
3. + アイコンをクリックします。
4. VPN を選択します。

5. Identity メニューエントリーを選択して、基本的な設定オプションを表示します。

   一般

   Gateway - リモート VPN ゲートウェイの名前または IP アドレスです。

   認証

   Type

   • IKEv2 (証明書)- クライアントは、証明書により認証されます。これはより安全です (デフォルト)。

   • IKEv1(XAUTH): クライアントは、ユーザー名とパスワード、または事前共有キー (PSK) で認証されます。

     Advanced セクションでは、以下の設定が可能です。

     図14.1 VPN 接続の詳細なオプション

     
     警告

     gnome-control-center アプリケーションを使用して IPsec ベースの VPN 接続を設定すると、Advanced ダイアログには設定が表示されますが、変更することはできません。したがって、詳細な IPsec オプションを変更できません。nm-connection-editor ツールまたは nmcli ツールを使用して、詳細なプロパティーの設定を実行します。

     識別

   • Domain - 必要な場合は、ドメイン名を入力します。

     セキュリティー

   • Phase1 Algorithms - Libreswan パラメーター ike に対応します。暗号化チャンネルの認証および設定に使用するアルゴリズムを入力します。

   • Phase2 Algorithms - Libreswan パラメーター esp に対応します。IPsec ネゴシエーションに使用するアルゴリズムを入力します。

     Disable PFS フィールドで PFS (Perfect Forward Secrecy) を無効にし、PFS に対応していない古いサーバーとの互換性があることを確認します。

   • Phase1 Lifetime - Libreswan パラメーター ikelifetime に対応します。このパラメーターは、トラフィックの暗号化に使用される鍵がどのぐらい有効であるかどうかを示します。

   • Phase2 Lifetime - Libreswan パラメーター salifetime に対応します。このパラメーターは、接続の特定インスタンスが最後に終了するまでの時間を指定します。

     セキュリティー上の理由から、暗号化キーは定期的に変更する必要があります。

   • Remote network - Libreswan パラメーター rightsubnet に対応します。このパラメーターは、VPN から到達できる宛先のプライベートリモートネットワークです。

     絞り込むことのできる narrowing フィールドを確認します。これは IKEv2 ネゴシエーションの場合にのみ有効であることに注意してください。

   • Enable fragmentation - Libreswan パラメーターの 断片化 に対応します。IKE 断片化を許可するかどうかを指定します。有効な値は、yes (デフォルト) または no です。
   • Enable Mobike - Libreswan パラメーター mobike に対応します。最初から接続を再起動しなくても、接続がエンドポイントを移行することを Mobility and Multihoming Protocol (MOBIKE, RFC 4555) が許可するかどうかを設定します。これは、有線、無線、またはモバイルデータの接続の切り替えを行うモバイルデバイスで使用されます。値は、no (デフォルト) または yes です。

6. IPv4 メニューエントリーを選択します。

   IPv4 Method

   • Automatic (DHCP) - 接続しているネットワークが動的 IP アドレスの割り当てに DHCP サーバーを使用する場合は、このオプションを選択します。
   • Link-Local Only - 接続しているネットワークに DHCP サーバーがなく、IP アドレスを手動で割り当てない場合は、このオプションを選択します。接頭辞 169.254/16 付きのランダムなアドレスが、RFC 3927 に従って割り当てられます。
   • Manual - IP アドレスを手動で割り当てる場合は、このオプションを選択します。

   • Disable - この接続では IPv4 は無効です。

     DNS

     DNS セクションでは、Automatic が ON になっているときに、これを OFF に切り替えて、使用する DNS サーバーの IP アドレスを入力します。IP アドレスはコンマで区切ります。

     Routes

     Routes セクションでは、Automatic が ON になっている場合は、DHCP からのルートが使用されますが、他の静的ルートを追加することもできることに注意してください。OFF の場合は、静的ルートだけが使用されます。

   • Address - リモートネットワークまたはホストの IP アドレスを入力します。
   • Netmask - 上に入力した IP アドレスのネットマスクまたは接頭辞長。
   • Gateway - 上に入力したリモートネットワーク、またはホストにつながるゲートウェイの IP アドレス。

   • Metric - このルートに付与する優先値であるネットワークコスト。数値が低い方が優先されます。

     Use this connection only for resources on its network (この接続はネットワーク上のリソースのためだけに使用)

     このチェックボックスを選択すると、この接続はデフォルトルートになりません。このオプションを選択すると、この接続で自動的に学習したルートを使用することが明確なトラフィックか、手動で入力したトラフィックのみがこの接続を経由します。

7. VPN 接続の IPv6 設定を設定するには、IPv6 メニューエントリーを選択します。

   IPv6 Method

   • Automatic - IPv6 ステートレスアドレス自動設定 (SLAAC) を使用して、ハードウェアのアドレスとルーター通知 (RA) に基づくステートレスの自動設定を作成するには、このオプションを選択します。
   • Automatic, DHCP only - RA を使用せず、直接 DHCPv6 に情報を要求してステートフルな設定を作成する場合は、このオプションを選択します。
   • Link-Local Only - 接続しているネットワークに DHCP サーバーがなく、IP アドレスを手動で割り当てない場合は、このオプションを選択します。接頭辞 FE80::0 付きのランダムなアドレスが、RFC 4862 に従って割り当てられます。
   • Manual - IP アドレスを手動で割り当てる場合は、このオプションを選択します。

   • Disable - この接続では IPv6 は無効です。

     DNS、Routes、Use this connection only for resources on its network が、一般的な IPv4 設定となることに注意してください。

8. VPN 接続の編集が終了したら、追加 ボタンをクリックして設定をカスタマイズするか、適用 ボタンをクリックして、既存の接続に保存します。
9. プロファイルを ON に切り替え、VPN 接続をアクティブにします。