5.15. 使用 nmstatectl 配置基于 IPsec 的 VPN 连接

流程

1. 安装所需的软件包：

   # dnf install nmstate libreswan NetworkManager-libreswan

2. 重启 NetworkManager 服务：

   # systemctl restart NetworkManager

3. 由于 Libreswan 已安装，请删除其旧的数据库文件，并重新创建它们：

   # systemctl stop ipsec
   # rm /var/lib/ipsec/nss/*db
   # ipsec initnss

4. 启用并启动 ipsec 服务：

   # systemctl enable --now ipsec

5. 导入 PKCS#12 文件：

   # ipsec import node-example.p12

   导入 PKCS#12 文件时，请输入用来创建该文件的密码。

6. 创建一个包含以下内容的 YAML 文件，如 ~/create-pki-authentication.yml ：

   ---
   interfaces:
   - name: 'example_ipsec_conn1'            

   1

   
     type: ipsec
     ipv4:
       enabled: true
       dhcp: true
     libreswan:
       ipsec-interface: 'yes'               

   2

   
       left: '192.0.2.150'                  

   3

   
       leftid: '%fromcert'                  

   4

   
       leftcert: 'local-host.example.com'   

   5

   
       right: '192.0.2.250'                 

   6

   
       rightid: '%fromcert'                 

   7

   
       ikev2: 'insist'                      

   8

   
       ikelifetime: '24h'                   

   9

   
       salifetime: '24h'                    

   10

   YAML 文件定义以下设置：

   1

   IPsec 连接名称

   2

   值 yes 表示 libreswan 创建一个 IPsec xfrm 虚拟接口 ipsec<number>，并自动查找下一个可用数字

   3

   用于本地主机的公共网络接口的静态 IPv4 地址

   4

   在本地主机上，%fromcert 的值将 ID 设置为从加载的证书中获取的可分辨名称(DN)

   5

   本地主机的公钥的可分辨名称(DN)

   6

   用于远程主机的公共网络接口的静态 IPv4 地址

   7

   在远程主机上，%fromcert 的值将 ID 设置为从加载的证书中获取的可分辨名称(DN)。

   8

   insist 值只接受并接收互联网密钥交换(IKEv2)协议

   9

   IKE 协议的持续时间

   10

   IPsec 安全联盟(SA)的持续时间

7. 将设置应用到系统：

   # nmstatectl apply ~/create-pki-authentication.yml

8. 如果您在带有 DHCP 或无状态地址自动配置(SLAAC)的网络中使用此主机，则连接可能很容易被重定向。有关详情和缓解步骤，请参阅 将 VPN 连接分配给专用路由表，以防止连接绕过隧道。

验证

1. 验证 IPsec 状态：

   # ip xfrm state

2. 验证 IPsec 策略：

   # ip xfrm policy