6.13. 使用 nmstatectl 配置 IPsec VPN 连接

流程

1. 如果 Libreswan 尚未安装，请执行以下步骤：

   1. 安装所需的软件包：

      # dnf install nmstate libreswan NetworkManager-libreswan

   2. 重启 NetworkManager 服务：

      # systemctl restart NetworkManager

   3. 初始化 Network Security Services (NSS)数据库：

      # ipsec initnss

      命令在 /var/lib/ipsec/nss/ 目录中创建数据库。

   4. 在防火墙中打开 IPsec 端口和协议：

      # firewall-cmd --permanent --add-service="ipsec"
      # firewall-cmd --reload

2. 创建一个 RSA 密钥对：

   # ipsec newhostkey

   ipsec 工具将密钥对存储在 NSS 数据库中。

3. 在左和右对等点上显示证书密钥属性 ID (CKAID)：

   # ipsec showhostkey --list
   < 1> RSA keyid: <key_id> ckaid: <ckaid>

   在下一步中需要两个对等主机上的 CKAID。

4. 显示公钥：

   1. 在左对等主机上，输入：

      # ipsec showhostkey --left --ckaid <ckaid_of_left_peer>
              # rsakey AwEAAdKCx
              leftrsasigkey=0sAwEAAdKCxpc9db48cehzQiQD...

   2. 在右对等主机上，输入：

      # ipsec showhostkey --right --ckaid <ckaid_of_right_peer>
              # rsakey AwEAAcNWC
              rightrsasigkey=0sAwEAAcNWCzZO+PR1j8WbO8X...

   命令会显示公钥，以及您必须在配置文件中使用的相应参数。

5. 创建一个包含以下内容的 YAML 文件，如 ~/ipsec-host-to-host-rsa-auth.yml ：

   ---
   interfaces:
   - name: '<connection_name>'
     type: ipsec
     libreswan:
       ikev2: insist
   
       left: <ip_address_or_fqdn_of_left_peer>
       leftid: peer_b
       leftrsasigkey: <public_key_of_left_peer>
       leftmodecfgclient: false
   
       right: <ip_address_or_fqdn_of_right_peer>
       rightid: peer_a
       rightrsasigkey: <public_key_of_right_peer>
       rightsubnet: <ip_address_of_right_peer>/32

   示例中指定的设置包括：

   ikev2: insist

   将现代 IKEv2 协议定义为唯一允许的协议，而不回退到 IKEv1。在使用 Nmstate 的主机配置中，此设置是必须的。

   left=<ip_address_or_fqdn_of_left_peer> 和 right=<ip_address_or_fqdn_of_right_peer>

   定义对等点主机的 IP 地址或 DNS 名称。

   leftid=<id> 和 rightid=<id>

   定义在互联网密钥交换(IKE)协商过程中是如何识别每个对等主机的。这可以是 IP 地址或字面字符串。请注意，NetworkManager 将 IP 地址以外的所有值解释为字面字符串，并在内部添加一个前导 @ 符号。这要求 Libreswan 对等点也使用字面字符串作为 ID ，否则身份验证失败。

   leftrsasigkey=<public_key> and rightrsasigkey=<public_key>

   指定对等点主机的公钥。使用上一步中 ipsec showhostkey 命令显示的值。

   leftmodecfgclient: false

   禁用此主机上的动态配置。在使用 Nmstate 的主机配置中，此设置是必须的。

   rightsubnet: <ip_address_of_right_peer>/32

   定义主机只能访问这个对等点。在使用 Nmstate 的主机配置中，此设置是必须的。

6. 将设置应用到系统：

   # nmstatectl apply ~/ipsec-host-to-host-rsa-auth.yml