6.13. 使用 nmstatectl 配置 IPsec VPN 连接

流程

1. 如果 Libreswan 尚未安装，请执行以下步骤：

   1. 安装所需的软件包：

      # dnf install nmstate libreswan NetworkManager-libreswan

      Copy to Clipboard Toggle word wrap

   2. 重启 NetworkManager 服务：

      # systemctl restart NetworkManager

      Copy to Clipboard Toggle word wrap

   3. 初始化网络安全服务(NSS)数据库：

      # ipsec initnss

      Copy to Clipboard Toggle word wrap

      该命令在 /var/lib/ipsec/nss/ 目录中创建数据库。

   4. 在防火墙中打开 IPsec 端口和协议：

      # firewall-cmd --permanent --add-service="ipsec"
      # firewall-cmd --reload

      Copy to Clipboard Toggle word wrap

2. 创建 RSA 密钥对：

   # ipsec newhostkey

   Copy to Clipboard Toggle word wrap

   ipsec 实用程序将密钥对存储在 NSS 数据库中。

3. 在左侧和右侧对等点上显示证书密钥属性 ID (CKAID)：

   # ipsec showhostkey --list
   < 1> RSA keyid: <key_id> ckaid: <ckaid>

   Copy to Clipboard Toggle word wrap

   下一步需要两个对等点的 CKAID。

4. 显示公钥：

   1. 在左侧 peer 中，输入：

      # ipsec showhostkey --left --ckaid <ckaid_of_left_peer>
              # rsakey AwEAAdKCx
              leftrsasigkey=0sAwEAAdKCxpc9db48cehzQiQD...

      Copy to Clipboard Toggle word wrap

   2. 在右 peer 中，输入：

      # ipsec showhostkey --right --ckaid <ckaid_of_right_peer>
              # rsakey AwEAAcNWC
              rightrsasigkey=0sAwEAAcNWCzZO+PR1j8WbO8X...

      Copy to Clipboard Toggle word wrap

   命令会显示公钥，以及必须在配置文件中使用的对应参数。

5. 创建包含以下内容的 YAML 文件，如 ~/ipsec-host-to-host-rsa-auth.yml ：

   ---
   interfaces:
   - name: '<connection_name>'
     type: ipsec
     libreswan:
       ikev2: insist
   
       left: <ip_address_or_fqdn_of_left_peer>
       leftid: peer_b
       leftrsasigkey: <public_key_of_left_peer>
       leftmodecfgclient: false
   
       right: <ip_address_or_fqdn_of_right_peer>
       rightid: peer_a
       rightrsasigkey: <public_key_of_right_peer>
       rightsubnet: <ip_address_of_right_peer>/32

   Copy to Clipboard Toggle word wrap

   示例中指定的设置包括：

   ikev2: insist

   将现代 IKEv2 协议定义为唯一允许的协议，而不回退到 IKEv1。在带有 Nmstate 的主机配置中，此设置是必须的。

   left= <ip_address_or_fqdn_of_left_peer> 和 right= <ip_address_or_fqdn_of_right_peer>

   定义对等点的 IP 地址或 DNS 名称。

   leftid= <id> 和 rightid= <id>

   定义如何在互联网密钥交换(IKE)协商过程中识别每个对等点。这可以是 IP 地址或字面字符串。请注意，NetworkManager 将 IP 地址以外的所有值解释为字面字符串，并在内部添加前导 @ 符号。这要求 Libreswan peer 还使用字面字符串作为 ID 或身份验证失败。

   leftrsasigkey=<public_key> and rightrsasigkey=<public_key>

   指定对等点的公钥。使用上一步中 ipsec showhostkey 命令显示的值。

   leftmodecfgclient: false

   禁用此主机上的动态配置。在带有 Nmstate 的主机配置中，此设置是必须的。

   rightsubnet: <ip_address_of_right_peer>/32

   定义主机只能访问这个对等点。在带有 Nmstate 的主机配置中，此设置是必须的。

6. 将设置应用到系统：

   # nmstatectl apply ~/ipsec-host-to-host-rsa-auth.yml

   Copy to Clipboard Toggle word wrap

流程

1. 如果 Libreswan 尚未安装，请执行以下步骤：

   1. 安装所需的软件包：

      # dnf install nmstate libreswan NetworkManager-libreswan

      Copy to Clipboard Toggle word wrap

   2. 重启 NetworkManager 服务：

      # systemctl restart NetworkManager

      Copy to Clipboard Toggle word wrap

   3. 初始化网络安全服务(NSS)数据库：

      # ipsec initnss

      Copy to Clipboard Toggle word wrap

      该命令在 /var/lib/ipsec/nss/ 目录中创建数据库。

   4. 在防火墙中打开 IPsec 端口和协议：

      # firewall-cmd --permanent --add-service="ipsec"
      # firewall-cmd --reload

      Copy to Clipboard Toggle word wrap

2. 创建 RSA 密钥对：

   # ipsec newhostkey

   Copy to Clipboard Toggle word wrap

   ipsec 实用程序将密钥对存储在 NSS 数据库中。

3. 在左侧和右侧显示证书密钥属性 ID (CKAID)：

   # ipsec showhostkey --list
   < 1> RSA keyid: <key_id> ckaid: <ckaid>

   Copy to Clipboard Toggle word wrap

   在以下步骤中，您需要两个对等点的 CKAID。

4. 显示公钥：

   1. 在左侧 peer 中，输入：

      # ipsec showhostkey --left --ckaid <ckaid_of_left_peer>
              # rsakey AwEAAdKCx
              leftrsasigkey=0sAwEAAdKCxpc9db48cehzQiQD...

      Copy to Clipboard Toggle word wrap

   2. 在右 peer 中，输入：

      # ipsec showhostkey --right --ckaid <ckaid_of_right_peer>
              # rsakey AwEAAcNWC
              rightrsasigkey=0sAwEAAcNWCzZO+PR1j8WbO8X...

      Copy to Clipboard Toggle word wrap

   命令会显示公钥，以及必须在配置文件中使用的对应参数。

5. 创建包含以下内容的 YAML 文件，如 ~/ipsec-site-to-site-rsa-auth.yml ：

   ---
   interfaces:
   - name: '<connection_name>'
     type: ipsec
     libreswan:
       ikev2: insist
   
       left: <ip_address_or_fqdn_of_left_peer>
       leftid: peer_b
       leftrsasigkey: <public_key_of_left_peer>
       leftmodecfgclient: false
       leftsubnet: 198.51.100.0/24
   
       right: <ip_address_or_fqdn_of_right_peer>
       rightid: peer_a
       rightrsasigkey: <public_key_of_right_peer>
       rightsubnet: 192.0.2.0/24

   Copy to Clipboard Toggle word wrap

   示例中指定的设置包括：

   ikev2: insist

   将现代 IKEv2 协议定义为唯一允许的协议，而不回退到 IKEv1。在带有 Nmstate 的站点到站点配置中，此设置是必须的。

   left= <ip_address_or_fqdn_of_left_peer> 和 right= <ip_address_or_fqdn_of_right_peer>

   定义对等点的 IP 地址或 DNS 名称。

   leftid= <id> 和 rightid= <id>

   定义如何在互联网密钥交换(IKE)协商过程中识别每个对等点。这可以是 IP 地址或字面字符串。请注意，NetworkManager 将 IP 地址以外的所有值解释为字面字符串，并在内部添加前导 @ 符号。这要求 Libreswan peer 还使用字面字符串作为 ID 或身份验证失败。

   leftrsasigkey=<public_key> and rightrsasigkey=<public_key>

   指定对等点的公钥。使用上一步中 ipsec showhostkey 命令显示的值。

   leftmodecfgclient: false

   禁用此主机上的动态配置。在带有 Nmstate 的站点到站点配置中，此设置是必须的。

   leftsubnet= <subnet> 和 rightsubnet= <subnet>

   定义通过隧道连接的无类别域间路由(CIDR)格式的子网。

6. 启用数据包转发：

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

   Copy to Clipboard Toggle word wrap

7. 将设置应用到系统：

   # nmstatectl apply ~/ipsec-site-to-site-rsa-auth.yml

   Copy to Clipboard Toggle word wrap

验证

1. 显示 IPsec 状态：

   # ipsec status

   Copy to Clipboard Toggle word wrap

   如果成功建立连接，输出包含如下行：

   • 互联网密钥交换版本 2 (IKEv2)协商的阶段 1 成功完成：

     000 #1: "<connection_name>":500 STATE_V2_ESTABLISHED_IKE_SA (established IKE SA); REKEY in 27935s; REPLACE in 28610s; newest; idle;

     Copy to Clipboard Toggle word wrap

     安全关联(SA)现在可以协商实际数据加密隧道，称为子 SA 或阶段 2 SA。

   • 已建立了子 SA：

     000 #2: "<connection_name>":500 STATE_V2_ESTABLISHED_CHILD_SA (established Child SA); REKEY in 27671s; REPLACE in 28610s; IKE SA #1; idle;

     Copy to Clipboard Toggle word wrap

     这是您的数据流量通过的实际隧道。

2. 从本地子网中的客户端 ping 远程子网中的客户端。

流程

1. 如果 Libreswan 尚未安装：

   1. 安装所需的软件包：

      # dnf install nmstate libreswan NetworkManager-libreswan

      Copy to Clipboard Toggle word wrap

   2. 重启 NetworkManager 服务：

      # systemctl restart NetworkManager

      Copy to Clipboard Toggle word wrap

   3. 初始化网络安全服务(NSS)数据库：

      # ipsec initnss

      Copy to Clipboard Toggle word wrap

      该命令在 /var/lib/ipsec/nss/ 目录中创建数据库。

   4. 在防火墙中打开 IPsec 端口和协议：

      # firewall-cmd --permanent --add-service="ipsec"
      # firewall-cmd --reload

      Copy to Clipboard Toggle word wrap

2. 将 PKCSautomationhub 文件导入到 NSS 数据库中：

   # ipsec import ~/file.p12
   Enter password for PKCS12 file: <password>
   pk12util: PKCS12 IMPORT SUCCESSFUL
   correcting trust bits for Example-CA

   Copy to Clipboard Toggle word wrap

3. 显示用户和 CA 证书的别名：

   # certutil -L -d /var/lib/ipsec/nss/
   Certificate Nickname     Trust Attributes
                            SSL,S/MIME,JAR/XPI
   
   user                     u,u,u
   Example-CA               CT,,
   ...

   Copy to Clipboard Toggle word wrap

   在 Nmstate YAML 文件中需要此信息。

4. 创建包含以下内容的 YAML 文件，如 ~/ipsec-host-to-site-cert-auth.yml ：

   ---
   interfaces:
   - name: '<connection_name>'
     type: ipsec
     libreswan:
       ikev2: insist
   
       left: <ip_address_or_fqdn_of_left_peer>
       leftid: '%fromcert'
       leftcert: <user_certificate_nickname>
   
       right: <ip_address_or_fqdn_of_right_peer>
       rightid: '%fromcert'
       rightsubnet: 192.0.2.0/24

   Copy to Clipboard Toggle word wrap

   示例中指定的设置包括：

   ikev2: insist

   将现代 IKEv2 协议定义为唯一允许的协议，而不回退到 IKEv1。在带有 Nmstate 的主机到站点配置中，此设置是必须的。

   left= <ip_address_or_fqdn_of_left_peer> 和 right= <ip_address_or_fqdn_of_right_peer>

   定义对等点的 IP 地址或 DNS 名称。

   leftid=%fromcert 和 rightid=%fromcert

   将 Libreswan 配置为从证书的可分辨名称(DN)字段检索身份。

   leftcert="<server_certificate_nickname>"

   设置 NSS 数据库中使用的服务器证书的别名。

   rightsubnet: &lt ;subnet>

   以无类别域间路由(CIDR)格式定义连接到网关的子网。

5. 将设置应用到系统：

   # nmstatectl apply ~/ipsec-host-to-site-cert-auth.yml

   Copy to Clipboard Toggle word wrap