6.9. IPsec VPN 연결에 대한 TCP 대체 구성

프로세스

1. /etc/ipsec.conf 파일을 편집하고 config setup 섹션에서 다음과 같이 변경합니다.

   1. TCP 포트에서 수신 대기하도록 Libreswan을 구성합니다.

      listen-tcp=yes

      Copy to Clipboard Toggle word wrap

   2. 기본적으로 Libreswan은 포트 4500에서 수신 대기합니다. 다른 포트를 사용하려면 다음을 입력합니다.

      tcp-remoteport=<port_number>

      Copy to Clipboard Toggle word wrap

   3. UDP를 사용할 수 없거나 영구적으로 TCP를 대체 옵션으로 사용해야 하는지 여부를 결정합니다.

      • 대체 옵션으로 다음을 입력합니다.

        enable-tcp=fallback
        retransmit-timeout=5s

        Copy to Clipboard Toggle word wrap

        기본적으로 Libreswan은 TCP를 통해 연결을 다시 시도하기 전에 UDP를 사용하여 연결할 수 없는 후 60초를 기다립니다. retransmit-timeout 값을 낮추면 지연이 줄어들어 대체 프로토콜이 더 빨리 시작됩니다.

      • UDP를 영구적으로 교체하려면 다음을 입력합니다.

        enable-tcp=yes

        Copy to Clipboard Toggle word wrap

2. ipsec 서비스를 다시 시작하십시오.

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap

3. 기본 4500 이외의 TCP 포트를 구성한 경우 방화벽에서 포트를 엽니다.

   # firewall-cmd --permanent --add-port=<tcp_port>/tcp
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap
4. 이 게이트웨이를 사용하는 피어에서 절차를 반복합니다.