6.13.3. nmstatectl을 사용하여 IPsec VPN 게이트웨이에 연결하도록 클라이언트 구성

프로세스

1. Libreswan이 아직 설치되지 않은 경우:

   1. 필수 패키지를 설치합니다.

      # dnf install nmstate libreswan NetworkManager-libreswan

   2. NetworkManager 서비스를 다시 시작하십시오.

      # systemctl restart NetworkManager

   3. NSS(Network Security Services) 데이터베이스를 초기화합니다.

      # ipsec initnss

      이 명령은 /var/lib/ipsec/nss/ 디렉터리에 데이터베이스를 생성합니다.

   4. 방화벽에서 IPsec 포트 및 프로토콜을 엽니다.

      # firewall-cmd --permanent --add-service="ipsec"
      # firewall-cmd --reload

2. PKCS #12 파일을 NSS 데이터베이스로 가져옵니다.

   # ipsec import ~/file.p12
   Enter password for PKCS12 file: <password>
   pk12util: PKCS12 IMPORT SUCCESSFUL
   correcting trust bits for Example-CA

3. 사용자 및 CA 인증서의 닉네임을 표시합니다.

   # certutil -L -d /var/lib/ipsec/nss/
   Certificate Nickname     Trust Attributes
                            SSL,S/MIME,JAR/XPI
   
   user                     u,u,u
   Example-CA               CT,,
   ...

   Nmstate YAML 파일에 이 정보가 필요합니다.

4. 다음 콘텐츠를 사용하여 YAML 파일(예: ~/ipsec-host-to-site-cert-auth.yml )을 생성합니다.

   ---
   interfaces:
   - name: '<connection_name>'
     type: ipsec
     libreswan:
       ikev2: insist
   
       left: <ip_address_or_fqdn_of_left_peer>
       leftid: '%fromcert'
       leftcert: <user_certificate_nickname>
   
       right: <ip_address_or_fqdn_of_right_peer>
       rightid: '%fromcert'
       rightsubnet: 192.0.2.0/24

   예제에 지정된 설정은 다음과 같습니다.

   ikev2: insist

   IKEv2 프로토콜을 IKEv1에 대체하지 않고 허용된 유일한 프로토콜로 정의합니다. 이 설정은 Nmstate를 사용하여 호스트 간 구성에서 필수입니다.

   left= <ip_address_or_fqdn_of_left_peer > 및 right= <ip_address_or_fqdn_of_right_peer>

   피어의 IP 주소 또는 DNS 이름을 정의합니다.

   leftid=%fromcert 및 rightid=%fromcert

   인증서의 고유 이름(DN) 필드에서 ID를 검색하도록 Libreswan을 구성합니다.

   leftcert="<server_certificate_nickname>"

   NSS 데이터베이스에 사용된 서버 인증서의 닉네임을 설정합니다.

   rightsubnet: <subnet>

   게이트웨이에 연결된 CIDR(Classless inter-domain routing) 형식으로 서브넷을 정의합니다.

5. 시스템에 설정을 적용합니다.

   # nmstatectl apply ~/ipsec-host-to-site-cert-auth.yml