6.13.3. nmstatectl を使用してクライアントを IPsec VPN ゲートウェイに接続するように設定する

手順

1. Libreswan がまだインストールされていない場合は、以下を実行します。

   1. 必要なパッケージをインストールします。

      # dnf install nmstate libreswan NetworkManager-libreswan

   2. NetworkManager サービスを再起動します。

      # systemctl restart NetworkManager

   3. ネットワークセキュリティーサービス (NSS) データベースを初期化します。

      # ipsec initnss

      このコマンドにより、/var/lib/ipsec/nss/ ディレクトリーにデータベースが作成されます。

   4. ファイアウォールで IPsec ポートとプロトコルを開きます。

      # firewall-cmd --permanent --add-service="ipsec"
      # firewall-cmd --reload

2. PKCS #12 ファイルを NSS データベースにインポートします。

   # ipsec import ~/file.p12
   Enter password for PKCS12 file: <password>
   pk12util: PKCS12 IMPORT SUCCESSFUL
   correcting trust bits for Example-CA

3. ユーザーのニックネームと CA 証明書を表示します。

   # certutil -L -d /var/lib/ipsec/nss/
   Certificate Nickname     Trust Attributes
                            SSL,S/MIME,JAR/XPI
   
   user                     u,u,u
   Example-CA               CT,,
   ...

   この情報は Nmstate の YAML ファイルに必要です。

4. 次の内容を含む YAML ファイル (例: ~/ipsec-host-to-site-cert-auth.yml) を作成します。

   ---
   interfaces:
   - name: '<connection_name>'
     type: ipsec
     libreswan:
       ikev2: insist
   
       left: <ip_address_or_fqdn_of_left_peer>
       leftid: '%fromcert'
       leftcert: <user_certificate_nickname>
   
       right: <ip_address_or_fqdn_of_right_peer>
       rightid: '%fromcert'
       rightsubnet: 192.0.2.0/24

   この例で指定されている設定は次のとおりです。

   ikev2: insist

   最新の IKEv2 プロトコルを、IKEv1 へのフォールバックなしで、唯一許可されるプロトコルとして定義します。この設定は、Nmstate を使用したホスト/サイト設定では必須です。

   left=<ip_address_or_fqdn_of_left_peer> および right=<ip_address_or_fqdn_of_right_peer>

   ピアの IP アドレスまたは DNS 名を定義します。

   leftid=%fromcert および rightid=%fromcert

   証明書の識別名 (DN) フィールドからアイデンティティーを取得するように Libreswan を設定します。

   leftcert="<server_certificate_nickname>"

   NSS データベースで使用されるサーバーの証明書のニックネームを設定します。

   rightsubnet: <subnet>

   ゲートウェイに接続されているサブネットを Classless Inter-Domain Routing (CIDR) 形式で定義します。

5. 設定をシステムに適用します。

   # nmstatectl apply ~/ipsec-host-to-site-cert-auth.yml