6.13.3. 使用 nmstatectl 将客户端配置为连接到 IPsec VPN 网关

流程

1. 如果 Libreswan 尚未安装：

   1. 安装所需的软件包：

      # dnf install nmstate libreswan NetworkManager-libreswan

   2. 重启 NetworkManager 服务：

      # systemctl restart NetworkManager

   3. 初始化 Network Security Services (NSS)数据库：

      # ipsec initnss

      命令在 /var/lib/ipsec/nss/ 目录中创建数据库。

   4. 在防火墙中打开 IPsec 端口和协议：

      # firewall-cmd --permanent --add-service="ipsec"
      # firewall-cmd --reload

2. 将 PKCS #12 文件导入到 NSS 数据库中：

   # ipsec import ~/file.p12
   Enter password for PKCS12 file: <password>
   pk12util: PKCS12 IMPORT SUCCESSFUL
   correcting trust bits for Example-CA

3. 显示用户的昵称和 CA 证书：

   # certutil -L -d /var/lib/ipsec/nss/
   Certificate Nickname     Trust Attributes
                            SSL,S/MIME,JAR/XPI
   
   user                     u,u,u
   Example-CA               CT,,
   ...

   您在 Nmstate YAML 文件中需要此信息。

4. 创建一个包含以下内容的 YAML 文件，如 ~/ipsec-host-to-site-cert-auth.yml ：

   ---
   interfaces:
   - name: '<connection_name>'
     type: ipsec
     libreswan:
       ikev2: insist
   
       left: <ip_address_or_fqdn_of_left_peer>
       leftid: '%fromcert'
       leftcert: <user_certificate_nickname>
   
       right: <ip_address_or_fqdn_of_right_peer>
       rightid: '%fromcert'
       rightsubnet: 192.0.2.0/24

   示例中指定的设置包括：

   ikev2: insist

   将现代 IKEv2 协议定义为唯一允许的协议，而不回退到 IKEv1。在使用 Nmstate 的主机到站点配置中，此设置是必须的。

   left=<ip_address_or_fqdn_of_left_peer> 和 right=<ip_address_or_fqdn_of_right_peer>

   定义对等点主机的 IP 地址或 DNS 名称。

   leftid=%fromcert 和 rightid=%fromcert

   将 Libreswan 配置为从证书的可分辨名称(DN)字段检索身份。

   leftcert="<server_certificate_nickname>"

   设置 NSS 数据库中使用的服务器证书的昵称。

   rightsubnet: <subnet>

   定义连接到网关的无类别域间路由(CIDR)格式的子网。

5. 将设置应用到系统：

   # nmstatectl apply ~/ipsec-host-to-site-cert-auth.yml