23.3. IPsec VPN 설정

절차

1. libreswan 패키지를 설치합니다.

   # yum install libreswan

   Copy to Clipboard Toggle word wrap

2. Libreswan을 다시 설치하는 경우 이전 데이터베이스 파일을 제거하고 새 데이터베이스를 만듭니다.

   # systemctl stop ipsec
   # rm /etc/ipsec.d/*db
   # ipsec initnss

   Copy to Clipboard Toggle word wrap

3. ipsec 서비스를 시작하고 부팅 시 서비스를 자동으로 시작합니다.

   # systemctl enable ipsec --now

   Copy to Clipboard Toggle word wrap

4. ipsec 서비스를 추가하여 IKE, ESP 및 AH 프로토콜에 500 및 4500/UDP 포트를 허용하도록 방화벽을 구성합니다.

   # firewall-cmd --add-service="ipsec"
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

절차

1. 각 호스트에 원시 RSA 키 쌍을 생성합니다.

   # ipsec newhostkey

   Copy to Clipboard Toggle word wrap

2. 이전 단계에서 생성된 키의 c¢d 가 반환되었습니다. 예를 들면 왼쪽에서 다음 명령과 함께 cutord 를 사용합니다.

   # ipsec showhostkey --left --ckaid 2d3ea57b61c9419dfd6cf43a1eb6cb306c0e857d

   Copy to Clipboard Toggle word wrap

   이전 명령의 출력에서 구성에 필요한 leftrsasigkey= 행을 생성했습니다. 두 번째 호스트에서 동일한 작업을 수행합니다(오른쪽):

   # ipsec showhostkey --right --ckaid a9e1f6ce9ecd3608c24e8f701318383f41798f03

   Copy to Clipboard Toggle word wrap

3. /etc/ipsec.d/ 디렉터리에 새 my_host-to-host.conf 파일을 만듭니다. 이전 단계에서 ipsec showhostkey 명령의 출력에서 RSA 호스트 키를 새 파일로 작성합니다. 예를 들면 다음과 같습니다.

   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

   Copy to Clipboard Toggle word wrap

4. 키를 가져온 후 ipsec 서비스를 다시 시작하십시오.

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap

5. 연결을 로드합니다.

   # ipsec auto --add mytunnel

   Copy to Clipboard Toggle word wrap

6. 터널을 설정합니다.

   # ipsec auto --up mytunnel

   Copy to Clipboard Toggle word wrap

7. ipsec 서비스가 시작될 때 터널을 자동으로 시작하려면 연결 정의에 다음 행을 추가합니다.

   auto=start

   Copy to Clipboard Toggle word wrap
8. DHCP 또는 SLAAC(상태 비저장 주소 자동 구성)가 있는 네트워크에서 이 호스트를 사용하는 경우 연결이 리디렉션될 수 있습니다. 자세한 내용 및 완화 단계는 연결이 터널을 우회하지 못하도록 전용 라우팅 테이블에 VPN 연결 할당을 참조하십시오.

절차

1. host-to-host VPN의 구성으로 파일을 새 파일로 복사합니다. 예를 들면 다음과 같습니다.

   # cp /etc/ipsec.d/my_host-to-host.conf /etc/ipsec.d/my_site-to-site.conf

   Copy to Clipboard Toggle word wrap

2. 이전 단계에서 만든 파일에 서브넷 구성을 추가합니다. 예를 들면 다음과 같습니다.

   conn mysubnet
        also=mytunnel
        leftsubnet=192.0.1.0/24
        rightsubnet=192.0.2.0/24
        auto=start
   
   conn mysubnet6
        also=mytunnel
        leftsubnet=2001:db8:0:1::/64
        rightsubnet=2001:db8:0:2::/64
        auto=start
   
   # the following part of the configuration file is the same for both host-to-host and site-to-site connections:
   
   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

   Copy to Clipboard Toggle word wrap
3. DHCP 또는 SLAAC(상태 비저장 주소 자동 구성)가 있는 네트워크에서 이 호스트를 사용하는 경우 연결이 리디렉션될 수 있습니다. 자세한 내용 및 완화 단계는 연결이 터널을 우회하지 못하도록 전용 라우팅 테이블에 VPN 연결 할당을 참조하십시오.

절차

1. 각 노드에서 PKCS #12 파일을 가져옵니다. 이 단계에서는 PKCS #12 파일을 생성하는 데 사용되는 암호가 필요합니다.

   # ipsec import nodeXXX.p12

   Copy to Clipboard Toggle word wrap

2. IPsec 필수(사설), IPsec(공유 옵션) 및 No IPsec (공유) 프로필에 대해 다음 세 가지 연결 정의를 만듭니다.

   # cat /etc/ipsec.d/mesh.conf
   conn clear
   	auto=ondemand 

   1

   
   	type=passthrough
   	authby=never
   	left=%defaultroute
   	right=%group
   
   conn private
   	auto=ondemand
   	type=transport
   	authby=rsasig
   	failureshunt=drop
   	negotiationshunt=drop
   	ikev2=insist
   	left=%defaultroute
   	leftcert=nodeXXXX
   	leftid=%fromcert 

   2

   
   	rightid=%fromcert
   	right=%opportunisticgroup
   
   conn private-or-clear
   	auto=ondemand
   	type=transport
   	authby=rsasig
   	failureshunt=passthrough
   	negotiationshunt=passthrough
   	# left
   	left=%defaultroute
   	leftcert=nodeXXXX 

   3

   
   	leftid=%fromcert
   	leftrsasigkey=%cert
   	# right
   	rightrsasigkey=%cert
   	rightid=%fromcert
   	right=%opportunisticgroup

   Copy to Clipboard Toggle word wrap

   1

   auto 변수에는 몇 가지 옵션이 있습니다.

   opportunistic IPsec과 함께 온 디맨드 연결 옵션을 사용하여 IPsec 연결을 시작하거나 항상 활성화할 필요가 없는 명시적으로 구성된 연결에 사용할 수 있습니다. 이 옵션은 커널에 트랩 XFRM 정책을 설정하여 해당 정책과 일치하는 첫 번째 패킷을 수신할 때 IPsec 연결을 시작할 수 있습니다.

   다음 옵션을 사용하여 Opportunistic IPsec 또는 명시적으로 구성된 연결을 사용하는지 여부에 관계없이 IPsec 연결을 효과적으로 구성하고 관리할 수 있습니다.

   추가 옵션

   연결 구성을 로드하고 원격 시작에 응답하기 위해 준비합니다. 그러나 연결은 로컬 측에서 자동으로 시작되지 않습니다. ipsec auto --up 명령을 사용하여 IPsec 연결을 수동으로 시작할 수 있습니다.

   시작 옵션

   연결 구성을 로드하고 원격 시작에 응답하기 위해 준비합니다. 또한 원격 피어에 대한 연결을 즉시 시작합니다. 영구 및 항상 활성 연결에 이 옵션을 사용할 수 있습니다.

   2

   leftid 및 rightid 변수는 IPsec 터널 연결의 오른쪽과 왼쪽 채널을 식별합니다. 이러한 변수를 사용하여 구성된 경우 로컬 IP 주소의 값 또는 로컬 인증서의 제목 DN을 가져올 수 있습니다.

   3

   leftcert 변수는 사용하려는 NSS 데이터베이스의 닉네임을 정의합니다.

3. 네트워크의 IP 주소를 해당 카테고리에 추가합니다. 예를 들어 모든 노드가 10.15.0.0/16 네트워크에 있고 모든 노드가 IPsec 암호화를 사용해야 하는 경우 다음을 수행합니다.

   # echo "10.15.0.0/16" >> /etc/ipsec.d/policies/private

   Copy to Clipboard Toggle word wrap

4. 특정 노드(예: 10.15.34.0/24 )가 IPsec과 함께 작동하도록 허용하려면 해당 노드를 private-or-clear 그룹에 추가합니다.

   # echo "10.15.34.0/24" >> /etc/ipsec.d/policies/private-or-clear

   Copy to Clipboard Toggle word wrap

5. IPsec을 clear 그룹으로 할 수 없는 호스트(예: 10.15.1.2 )를 정의하려면 다음을 사용합니다.

   # echo "10.15.1.2/32" >> /etc/ipsec.d/policies/clear

   Copy to Clipboard Toggle word wrap

   각 새 노드의 템플릿에서 /etc/ipsec.d/policies 디렉터리에 파일을 생성하거나 Puppet 또는 Ansible을 사용하여 파일을 프로비저닝할 수 있습니다.

   모든 노드에는 예외 또는 트래픽 흐름 예상과 동일한 목록이 있습니다. 따라서 두 노드는 IPsec이 필요하며 다른 노드는 IPsec을 사용할 수 없기 때문에 통신할 수 없습니다.

6. 노드를 재시작하여 구성된 메시에 추가합니다.

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap
7. DHCP 또는 SLAAC(상태 비저장 주소 자동 구성)가 있는 네트워크에서 이 호스트를 사용하는 경우 연결이 리디렉션될 수 있습니다. 자세한 내용 및 완화 단계는 연결이 터널을 우회하지 못하도록 전용 라우팅 테이블에 VPN 연결 할당을 참조하십시오.

검증

1. ping 명령을 사용하여 IPsec 터널을 엽니다.

   # ping <nodeYYY>

   Copy to Clipboard Toggle word wrap

2. 가져온 인증서를 사용하여 NSS 데이터베이스를 표시합니다.

   # certutil -L -d sql:/etc/ipsec.d
   
   Certificate Nickname    Trust Attributes
                           SSL,S/MIME,JAR/XPI
   
   west                    u,u,u
   ca                      CT,,

   Copy to Clipboard Toggle word wrap

3. 노드에서 열려 있는 터널을 확인합니다.

   # ipsec trafficstatus
   006 #2: "private#10.15.0.0/16"[1] ...<nodeYYY>, type=ESP, add_time=1691399301, inBytes=512, outBytes=512, maxBytes=2^63B, id='C=US, ST=NC, O=Example Organization, CN=east'

   Copy to Clipboard Toggle word wrap

절차

1. libreswan 패키지를 설치합니다.

   # yum install libreswan

   Copy to Clipboard Toggle word wrap

2. Libreswan을 다시 설치하는 경우 이전 NSS 데이터베이스를 제거하십시오.

   # systemctl stop ipsec
   # rm /etc/ipsec.d/*db

   Copy to Clipboard Toggle word wrap

3. ipsec 서비스를 시작하고 부팅 시 서비스를 자동으로 시작합니다.

   # systemctl enable ipsec --now

   Copy to Clipboard Toggle word wrap

4. ipsec 서비스를 추가하여 IKE, ESP 및 AH 프로토콜에 500 및 4500 UDP 포트를 허용하도록 방화벽을 구성합니다.

   # firewall-cmd --add-service="ipsec"
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

5. 시스템을 FIPS 모드로 전환합니다.

   # fips-mode-setup --enable

   Copy to Clipboard Toggle word wrap

6. 커널이 FIPS 모드로 전환되도록 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap

검증

1. Libreswan이 FIPS 모드에서 실행 중인지 확인합니다.

   # ipsec whack --fipsstatus
   000 FIPS mode enabled

   Copy to Clipboard Toggle word wrap

2. 또는 systemd 저널의 ipsec 유닛 항목을 확인합니다.

   $ journalctl -u ipsec
   ...
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Product: YES
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Kernel: YES
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Mode: YES

   Copy to Clipboard Toggle word wrap

3. FIPS 모드에서 사용 가능한 알고리즘을 보려면 다음을 수행합니다.

   # ipsec pluto --selftest 2>&1 | head -11
   FIPS Product: YES
   FIPS Kernel: YES
   FIPS Mode: YES
   NSS DB directory: sql:/etc/ipsec.d
   Initializing NSS
   Opening NSS database "sql:/etc/ipsec.d" read-only
   NSS initialized
   NSS crypto library initialized
   FIPS HMAC integrity support [enabled]
   FIPS mode enabled for pluto daemon
   NSS library is running in FIPS mode
   FIPS HMAC integrity verification self-test passed

   Copy to Clipboard Toggle word wrap

4. FIPS 모드에서 비활성화된 알고리즘을 쿼리하려면 다음을 수행합니다.

   # ipsec pluto --selftest 2>&1 | grep disabled
   Encryption algorithm CAMELLIA_CTR disabled; not FIPS compliant
   Encryption algorithm CAMELLIA_CBC disabled; not FIPS compliant
   Encryption algorithm SERPENT_CBC disabled; not FIPS compliant
   Encryption algorithm TWOFISH_CBC disabled; not FIPS compliant
   Encryption algorithm TWOFISH_SSH disabled; not FIPS compliant
   Encryption algorithm NULL disabled; not FIPS compliant
   Encryption algorithm CHACHA20_POLY1305 disabled; not FIPS compliant
   Hash algorithm MD5 disabled; not FIPS compliant
   PRF algorithm HMAC_MD5 disabled; not FIPS compliant
   PRF algorithm AES_XCBC disabled; not FIPS compliant
   Integrity algorithm HMAC_MD5_96 disabled; not FIPS compliant
   Integrity algorithm HMAC_SHA2_256_TRUNCBUG disabled; not FIPS compliant
   Integrity algorithm AES_XCBC_96 disabled; not FIPS compliant
   DH algorithm MODP1024 disabled; not FIPS compliant
   DH algorithm MODP1536 disabled; not FIPS compliant
   DH algorithm DH31 disabled; not FIPS compliant

   Copy to Clipboard Toggle word wrap

5. FIPS 모드에서 허용되는 모든 알고리즘 및 암호를 나열하려면 다음을 수행합니다.

   # ipsec pluto --selftest 2>&1 | grep ESP | grep FIPS | sed "s/^.*FIPS//"
   {256,192,*128}  aes_ccm, aes_ccm_c
   {256,192,*128}  aes_ccm_b
   {256,192,*128}  aes_ccm_a
   [*192]  3des
   {256,192,*128}  aes_gcm, aes_gcm_c
   {256,192,*128}  aes_gcm_b
   {256,192,*128}  aes_gcm_a
   {256,192,*128}  aesctr
   {256,192,*128}  aes
   {256,192,*128}  aes_gmac
   sha, sha1, sha1_96, hmac_sha1
   sha512, sha2_512, sha2_512_256, hmac_sha2_512
   sha384, sha2_384, sha2_384_192, hmac_sha2_384
   sha2, sha256, sha2_256, sha2_256_128, hmac_sha2_256
   aes_cmac
   null
   null, dh0
   dh14
   dh15
   dh16
   dh17
   dh18
   ecp_256, ecp256
   ecp_384, ecp384
   ecp_521, ecp521

   Copy to Clipboard Toggle word wrap

절차

1. Libreswan의 NSS 데이터베이스에 대한 암호 보호를 활성화합니다.

   # certutil -N -d sql:/etc/ipsec.d
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:

   Copy to Clipboard Toggle word wrap

2. 이전 단계에서 설정한 암호가 포함된 /etc/ipsec.d/nsspassword 파일을 만듭니다. 예를 들면 다음과 같습니다.

   # cat /etc/ipsec.d/nsspassword
   NSS Certificate DB:_<password>_

   Copy to Clipboard Toggle word wrap

   nsspassword 파일은 다음 구문을 사용합니다.

   <token_1>:<password1>
   <token_2>:<password2>

   Copy to Clipboard Toggle word wrap

   기본 NSS 소프트웨어 토큰은 NSS 인증서 DB 입니다. 시스템이 FIPS 모드에서 실행 중인 경우 토큰 이름은 NSS FIPS 140-2 인증서 DB 입니다.

3. 시나리오에 따라 nsspassword 파일을 완료한 후 ipsec 서비스를 시작하거나 다시 시작합니다.

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap

검증

1. NSS 데이터베이스에 비어 있지 않은 암호를 추가한 후 ipsec 서비스가 실행 중인지 확인합니다.

   # systemctl status ipsec
   ● ipsec.service - Internet Key Exchange (IKE) Protocol Daemon for IPsec
      Loaded: loaded (/usr/lib/systemd/system/ipsec.service; enabled; vendor preset: disable>
      Active: active (running)...

   Copy to Clipboard Toggle word wrap

2. 저널 로그에 초기화에 성공했는지 확인하는 항목이 포함되어 있는지 확인합니다.

   # journalctl -u ipsec
   ...
   pluto[6214]: Initializing NSS using read-write database "sql:/etc/ipsec.d"
   pluto[6214]: NSS Password from file "/etc/ipsec.d/nsspassword" for token "NSS Certificate DB" with length 20 passed to NSS
   pluto[6214]: NSS crypto library initialized
   ...

   Copy to Clipboard Toggle word wrap

절차

1. config setup 섹션의 /etc/ipsec.conf 파일에 다음 옵션을 추가합니다.

   listen-tcp=yes

   Copy to Clipboard Toggle word wrap

2. UDP를 처음 시도하지 못하면 TCP 캡슐화를 대체 옵션으로 사용하려면 클라이언트의 연결 정의에 다음 두 옵션을 추가합니다.

   enable-tcp=fallback
   tcp-remoteport=4500

   Copy to Clipboard Toggle word wrap

   또는 UDP가 영구적으로 차단되었음을 알고 있는 경우 클라이언트 연결 구성에서 다음 옵션을 사용합니다.

   enable-tcp=yes
   tcp-remoteport=4500

   Copy to Clipboard Toggle word wrap

절차

1. ESP 하드웨어 오프로드 지원의 자동 검색을 사용해야 하는 연결의 /etc/ipsec.d/ 디렉터리에서 Libreswan 구성 파일을 편집합니다.
2. nic-offload 매개변수가 연결 설정에 설정되지 않았는지 확인합니다.

3. nic-offload 를 제거한 경우 ipsec 서비스를 다시 시작합니다.

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap

검증

1. IPsec 연결에 사용하는 이더넷 장치의 tx_ipsec 및 rx_ipsec 카운터를 표시합니다.

   # ethtool -S enp1s0 | grep -E "_ipsec"
        tx_ipsec: 10
        rx_ipsec: 10

   Copy to Clipboard Toggle word wrap

2. IPsec 터널을 통해 트래픽을 전송합니다. 예를 들어 원격 IP 주소를 ping합니다.

   # ping -c 5 remote_ip_address

   Copy to Clipboard Toggle word wrap

3. 이더넷 장치의 tx_ipsec 및 rx_ipsec 카운터를 다시 표시합니다.

   # ethtool -S enp1s0 | grep -E "_ipsec"
        tx_ipsec: 15
        rx_ipsec: 15

   Copy to Clipboard Toggle word wrap

   카운터 값이 증가하면 ESP 하드웨어 오프로드가 작동합니다.

절차

1. 네트워크 본딩에서 ESP 하드웨어 오프로드 지원을 활성화합니다.

   # nmcli connection modify bond0 ethtool.feature-esp-hw-offload on

   Copy to Clipboard Toggle word wrap

   이 명령을 사용하면 bond0 연결에서 ESP 하드웨어 오프로드를 지원할 수 있습니다.

2. bond0 연결을 다시 활성화합니다.

   # nmcli connection up bond0

   Copy to Clipboard Toggle word wrap

3. ESP 하드웨어 오프로드를 사용해야 하는 연결의 /etc/ipsec.d/ 디렉터리에서 Libreswan 구성 파일을 편집하고 nic-offload=yes 문을 연결 항목에 추가합니다.

   conn example
       ...
       nic-offload=yes

   Copy to Clipboard Toggle word wrap

4. ipsec 서비스를 다시 시작하십시오.

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap

1. 본딩의 활성 포트를 표시합니다.

   # grep "Currently Active Slave" /proc/net/bonding/bond0
   Currently Active Slave: enp1s0

   Copy to Clipboard Toggle word wrap

2. 활성 포트의 tx_ipsec 및 rx_ipsec 카운터를 표시합니다.

   # ethtool -S enp1s0 | grep -E "_ipsec"
        tx_ipsec: 10
        rx_ipsec: 10

   Copy to Clipboard Toggle word wrap

3. IPsec 터널을 통해 트래픽을 전송합니다. 예를 들어 원격 IP 주소를 ping합니다.

   # ping -c 5 remote_ip_address

   Copy to Clipboard Toggle word wrap

4. 활성 포트의 tx_ipsec 및 rx_ipsec 카운터를 다시 표시합니다.

   # ethtool -S enp1s0 | grep -E "_ipsec"
        tx_ipsec: 15
        rx_ipsec: 15

   Copy to Clipboard Toggle word wrap

   카운터 값이 증가하면 ESP 하드웨어 오프로드가 작동합니다.

1. vpn.example.com 연결을 다시 로드합니다.

   # ipsec auto --add vpn.example.com
   002 added connection description "vpn.example.com"

   Copy to Clipboard Toggle word wrap

2. 다음으로 VPN 연결을 시작합니다.

   # ipsec auto --up vpn.example.com

   Copy to Clipboard Toggle word wrap

절차

1. Super 키를 누른 상태에서 Settings 를 입력하고 Enter 를 눌러 control-center 애플리케이션을 엽니다.
2. 왼쪽에서 Network 항목을 선택합니다.
3. + 아이콘을 클릭합니다.
4. VPN 을 선택합니다.

5. ID 메뉴 항목을 선택하여 기본 구성 옵션을 확인합니다.

   일반

   gateway - 원격 VPN 게이트웨이의 이름 또는 IP 주소입니다.

   인증

   유형

   • IKEv2 (Certificate)- 클라이언트는 인증서로 인증됩니다. 더 안전합니다(기본값).

   • IKEv1(XAUTH) - 클라이언트는 사용자 이름 및 암호 또는 PSK(사전 공유 키)로 인증됩니다.

     다음 구성 설정은 고급 섹션에서 사용할 수 있습니다.

     그림 23.1. VPN 연결의 고급 옵션

     

     View larger image

     
     주의

     gnome-control-center 애플리케이션을 사용하여 IPsec 기반 VPN 연결을 구성할 때 고급 대화 상자에 구성이 표시되지만 변경 사항은 허용하지 않습니다. 결과적으로 사용자는 고급 IPsec 옵션을 변경할 수 없습니다. 대신 nm-connection-editor 또는 nmcli 툴을 사용하여 고급 속성 구성을 수행합니다.

     식별

   • Domain - 필요한 경우 도메인 이름을 입력합니다.

     보안

   • Phase1 알고리즘 - Libre s wan 매개변수와 같이 - 암호화된 채널을 인증하고 설정하는 데 사용할 알고리즘을 입력합니다.

   • Phase2 알고리즘 - esp Libreswan 매개변수에 해당합니다 - IPsec 협상에 사용할 알고리즘을 입력합니다.

     PFS를 지원하지 않는 이전 서버와의 호환성을 확인하려면 PFS(Perfect Forward Secrecy)를 해제 하려면 PFS 필드를 선택합니다.

   • Phase1 Lifetime - ikelifetime Libreswan 매개변수 - 트래픽을 암호화하는 데 사용되는 키의 유효 기간에 해당합니다.

   • Phase2 Lifetime - salifetime Libreswan 매개변수 - 만료되기 전에 특정 연결 인스턴스가 얼마나 오래되어야 하는지에 해당합니다.

     보안상의 이유로 암호화 키를 수시로 변경해야 합니다.

   • 원격 네트워크 - rightsubnet Libreswan 매개변수 - VPN을 통해 도달해야 하는 대상 프라이빗 원격 네트워크에 해당합니다.

     범위를 좁 힐 수 있도록 좁은 필드를 확인합니다. IKEv2 협상에서만 효과가 있습니다.

   • 조각화 활성화 - IKE 조각화를 허용할지 여부에 관계없이 fragmentation Libreswan 매개변수에 해당합니다. 유효한 값은 yes (기본값) 또는 no 입니다.
   • Mobike 활성화 - mobike Libreswan 매개변수에 해당합니다. - Cryostat 및 Multihoming Protocol (MOBIKE, RFC 4555)을 허용할지 여부에 따라 연결을 처음부터 다시 시작할 필요없이 끝점을 마이그레이션할 수 있습니다. 이는 유선, 무선 또는 모바일 데이터 연결 간에 전환하는 모바일 장치에서 사용됩니다. 값은 no (기본값) 또는 yes 입니다.

6. IPv4 메뉴 항목을 선택합니다.

   IPv4 방법

   • Automatic (DHCP) - 연결하는 네트워크가 DHCP 서버를 사용하여 동적 IP 주소를 할당하는 경우 이 옵션을 선택합니다.
   • Link-Local Only - 연결된 네트워크에 DHCP 서버가 없고 IP 주소를 수동으로 할당하지 않는 경우 이 옵션을 선택합니다. 임의의 주소는 접두사 169.254/16 인 RFC 3927 에 따라 할당됩니다.
   • 수동 - IP 주소를 수동으로 할당하려는 경우 이 옵션을 선택합니다.

   • disable - IPv4 는 이 연결에 대해 비활성화되어 있습니다.

     DNS

     DNS 섹션에서 Automatic 이 ON 인 경우 OFF 로 전환하여 IP를 쉼표로 분리하는 데 사용할 DNS 서버의 IP 주소를 입력합니다.

     라우트

     경로 섹션에서 Automatic 이 ON 인 경우 DHCP의 경로가 사용되지만 정적 경로도 추가할 수 있습니다. OFF 인 경우 정적 경로만 사용됩니다.

   • address - 원격 네트워크 또는 호스트의 IP 주소를 입력합니다.
   • 넷마스크 - 위에서 입력한 IP 주소의 넷마스크 또는 접두사 길이입니다.
   • gateway - 위에서 입력한 원격 네트워크 또는 호스트로 이어지는 게이트웨이의 IP 주소입니다.

   • metric - 네트워크 비용, 이 경로에 제공할 기본 값입니다. 더 낮은 값이 더 높은 값보다 우선합니다.

     이 연결은 네트워크의 리소스에만 사용

     연결이 기본 경로가 되지 않도록 하려면 이 확인란을 선택합니다. 이 옵션을 선택하면 연결을 통해 자동으로 학습되거나 여기에 입력된 경로로 특별히 예정된 트래픽만 연결을 통해 라우팅됩니다.

7. VPN 연결에서 IPv6 설정을 구성하려면 IPv6 메뉴 항목을 선택합니다.

   IPv6 방법

   • 자동 - IPv6 SLAAC(상태 비저장 주소 자동 구성)를 사용하여 하드웨어 주소 및RA(라우터 알림)를 기반으로 자동, 상태 비저장 구성을 만들려면 이 옵션을 선택합니다.
   • 자동, DHCP만 - 이 옵션을 선택하여 RA를 사용하지 않고 DHCPv6 에서 정보를 직접 요청하여 상태 저장 구성을 생성합니다.
   • Link-Local Only - 연결된 네트워크에 DHCP 서버가 없고 IP 주소를 수동으로 할당하지 않는 경우 이 옵션을 선택합니다. 임의의 주소는 FE80::0 접두사를 사용하여 RFC 4862 에 따라 할당됩니다.
   • 수동 - IP 주소를 수동으로 할당하려는 경우 이 옵션을 선택합니다.

   • disable - 이 연결에 대해 IPv6 가 비활성화되어 있습니다.

     DNS,경로,이 연결을 네트워크의 리소스에만 사용하는 것은 IPv4 설정에 공통입니다.

8. VPN 연결 편집을 완료하면 추가 버튼을 클릭하여 구성을 사용자 지정하거나 Apply 버튼을 클릭하여 기존 연결을 위해 저장합니다.
9. 프로필을 ON 으로 전환하여 VPN 연결을 활성화합니다.
10. DHCP 또는 SLAAC(상태 비저장 주소 자동 구성)가 있는 네트워크에서 이 호스트를 사용하는 경우 연결이 리디렉션될 수 있습니다. 자세한 내용 및 완화 단계는 연결이 터널을 우회하지 못하도록 전용 라우팅 테이블에 VPN 연결 할당을 참조하십시오.

프로세스

1. 사용할 라우팅 테이블을 결정합니다. 다음 단계는 표 75을 사용합니다. 기본적으로 RHEL은 테이블 1-254를 사용하지 않으며 이 테이블 중 하나를 사용할 수 있습니다.

2. VPN 경로를 전용 라우팅 테이블에 배치하도록 VPN 연결 프로필을 구성합니다.

   # nmcli connection modify <vpn_connection_profile> ipv4.route-table 75 ipv6.route-table 75

   Copy to Clipboard Toggle word wrap

3. 이전 명령에서 사용한 테이블에 대해 우선순위가 낮은 값을 설정합니다.

   # nmcli connection modify <vpn_connection_profile> ipv4.routing-rules "priority 32345 from all table 75" ipv6.routing-rules "priority 32345 from all table 75"

   Copy to Clipboard Toggle word wrap

   우선순위 값은 1에서 32766 사이의 모든 값일 수 있습니다. 값이 작을수록 우선순위가 높습니다.

4. VPN 연결을 다시 연결합니다.

   # nmcli connection down <vpn_connection_profile>
   # nmcli connection up <vpn_connection_profile>

   Copy to Clipboard Toggle word wrap

검증

1. 표 75에 IPv4 경로를 표시합니다.

   # ip route show table 75
   ...
   192.0.2.0/24 via 192.0.2.254 dev vpn_device proto static metric 50
   default dev vpn_device proto static scope link metric 50

   Copy to Clipboard Toggle word wrap

   출력은 원격 네트워크에 대한 경로와 기본 게이트웨이가 라우팅 테이블 75에 할당되므로 모든 트래픽이 터널을 통해 라우팅되는지 확인합니다. VPN 연결 프로필에 ipv4.never-default true 를 설정하면 기본 경로가 생성되지 않으므로 이 출력에 표시되지 않습니다.

2. 표 75에 IPv6 경로를 표시합니다.

   # ip -6 route show table 75
   ...
   2001:db8:1::/64 dev vpn_device proto kernel metric 50 pref medium
   default dev vpn_device proto static metric 50 pref medium

   Copy to Clipboard Toggle word wrap

   출력은 원격 네트워크에 대한 경로와 기본 게이트웨이가 라우팅 테이블 75에 할당되므로 모든 트래픽이 터널을 통해 라우팅되는지 확인합니다. VPN 연결 프로필에 ipv4.never-default true 를 설정하면 기본 경로가 생성되지 않으므로 이 출력에 표시되지 않습니다.