5.15.4. 使用 nmstatectl 配置具有 PKI 身份验证和隧道模式的主机到主机的 IPsec VPN

流程

1. 安装所需的软件包：

   # dnf install nmstate libreswan NetworkManager-libreswan

2. 重启 NetworkManager 服务：

   # systemctl restart NetworkManager

3. 由于 Libreswan 已安装，请删除其旧的数据库文件，并重新创建它们：

   # systemctl stop ipsec
   # rm /var/lib/ipsec/nss/*db
   # ipsec initnss

4. 导入 PKCS#12 文件：

   # ipsec import node-example.p12

   在导入 PKCS#12 文件时，输入用来生成该文件的密码。

5. 启用并启动 ipsec 服务：

   # systemctl enable --now ipsec

6. 一个创建包含以下内容的 YAML 文件，如 ~/create-p2p-vpn-authentication.yml ：

   ---
   interfaces:
   - name: 'example_ipsec_conn1'             

   1

   
     type: ipsec
     libreswan:
       left: '192.0.2.150'                   

   2

   
       leftid:  'local-host.example.com'     

   3

   
       leftcert: 'local-host.example.com'    

   4

   
       leftmodecfgclient: no                 

   5

   
       right: '192.0.2.250'                  

   6

   
       rightid: 'remote-host.example.com'    

   7

   
       rightsubnet: '192.0.2.150/32'         

   8

   
       ikev2: 'insist'                       

   9

   YAML 文件定义以下设置：

   1

   IPsec 连接名称

   2

   用于本地主机的公共网络接口的静态 IPv4 地址

   3

   本地主机的可分辨名称(DN)

   4

   本地主机上安装的证书的名称

   5

   用于不是从远程主机检索客户端配置的值

   6

   用于远程主机的公共网络接口的静态 IPv4 地址

   7

   远程主机的可分辨名称(DN)

   8

   远程主机的子网范围 - 192.0.2.150，有 32 个 IPv4 地址

   9

   只接受和接收互联网密钥交换(IKEv2)协议的值

7. 将设置应用到系统：

   # nmstatectl apply ~/create-p2p-vpn-authentication.yml

8. 如果您在带有 DHCP 或无状态地址自动配置(SLAAC)的网络中使用此主机，则连接可能很容易被重定向。有关详情和缓解步骤，请参阅 将 VPN 连接分配给专用路由表，以防止连接绕过隧道。

验证

1. 显示创建的 P2P 策略：

   # ip xfrm policy

2. 验证 IPsec 状态：

   # ip xfrm state