5.15.5. 使用 nmstatectl 使用 PKI 身份验证和传输模式配置主机到主机的 IPsec VPN

流程

1. 安装所需的软件包：

   # dnf install nmstate libreswan NetworkManager-libreswan

2. 重启 NetworkManager 服务：

   # systemctl restart NetworkManager

3. 由于 Libreswan 已安装，请删除其旧的数据库文件，并重新创建它们：

   # systemctl stop ipsec
   # rm /var/lib/ipsec/nss/*db
   # ipsec initnss

4. 导入 PKCS#12 文件：

   # ipsec import node-example.p12

   导入 PKCS#12 文件时，请输入用来创建该文件的密码。

5. 启用并启动 ipsec 服务：

   # systemctl enable --now ipsec

6. 创建一个包含以下内容的 YAML 文件，如 ~/create-p2p-transport-authentication.yml ：

   ---
   interfaces:
   - name: 'example_ipsec_conn1'           

   1

   
     type: ipsec
     libreswan:
       type: 'transport'                   

   2

   
       ipsec-interface: '99'               

   3

   
       left: '192.0.2.150'                 

   4

   
       leftid: '%fromcert'                 

   5

   
       leftcert: 'local-host.example.org'  

   6

   
       right: '192.0.2.250'                

   7

   
       prefix-length: '32'                 

   8

   
       rightid: '%fromcert'                

   9

   
       ikev2: 'insist'                     

   10

   
       ikelifetime: '24h'                  

   11

   
       salifetime: '24h'                   

   12

   YAML 文件定义以下设置：

   1

   IPsec 连接名称

   2

   IPsec 模式

   3

   值 99 表示 libreswan 创建一个 IPsec xfrm 虚拟接口 ipsec<number>，并自动查找下一个可用数字

   4

   用于本地主机的公共网络接口的静态 IPv4 地址

   5

   在本地主机上，%fromcert 的值将 ID 设置为从加载的证书获取的可分辨名称(DN)

   6

   本地主机的公钥的可分辨名称(DN)

   7

   用于远程主机的公共网络接口的静态 IPv4 地址

   8

   本地主机的静态 IPv4 地址的子网掩码

   9

   在远程主机上，%fromcert 的值将 ID 设置为从加载的证书中获取的可分辨名称(DN)

   10

   只接受和接收互联网密钥交换(IKEv2)协议的值

   11

   IKE 协议的持续时间

   12

   IPsec 安全联盟(SA)的持续时间

7. 将设置应用到系统：

   # nmstatectl apply ~/create-p2p-transport-authentication.yml

8. 如果您在带有 DHCP 或无状态地址自动配置(SLAAC)的网络中使用此主机，则连接可能很容易被重定向。有关详情和缓解步骤，请参阅 将 VPN 连接分配给专用路由表，以防止连接绕过隧道。

验证

1. 验证 IPsec 状态：

   # ip xfrm state

2. 验证 IPsec 策略：

   # ip xfrm policy