6.5. 手动配置具有基于证书身份验证的 IPsec 主机到站点 VPN

流程

1. 如果 Libreswan 尚未安装：

   1. 安装 libreswan 软件包：

      # dnf install libreswan

   2. 初始化 Network Security Services (NSS)数据库：

      # ipsec initnss

      命令在 /var/lib/ipsec/nss/ 目录中创建数据库。

   3. 启用并启动 ipsec 服务：

      # systemctl enable --now ipsec

   4. 在防火墙中打开 IPsec 端口和协议：

      # firewall-cmd --permanent --add-service="ipsec"
      # firewall-cmd --reload

2. 将 PKCS #12 文件导入到 NSS 数据库中：

   # ipsec import ~/file.p12
   Enter password for PKCS12 file: <password>
   pk12util: PKCS12 IMPORT SUCCESSFUL
   correcting trust bits for Example-CA

3. 显示服务器的昵称和 CA 证书：

   # certutil -L -d /var/lib/ipsec/nss/
   Certificate Nickname     Trust Attributes
                            SSL,S/MIME,JAR/XPI
   
   vpn-gateway              u,u,u
   Example-CA               CT,,
   ...

   您需要配置文件的此信息。

4. 在 /etc/ipsec.d/ 目录中为连接创建一个 .conf 文件。例如，使用以下设置创建 /etc/ipsec.d/host-to-site.conf 文件：

   1. 添加 config setup 部分以启用 CRL 检查：

      config setup
          crl-strict=yes
          crlcheckinterval=1h

      示例中指定的设置包括：

      crl-strict=yes

      启用 CRL 检查。如果 NSS 数据库中没有 CRL，则身份验证客户端将被拒绝。

      crlcheckinterval=1h

      在指定的时间段后，从服务器证书中指定的 URL 重新获取 CRL。

   2. 为网关添加一个部分：

      conn <connection_name>
          # General setup and authentication type
          auto=start
          ikev2=insist
          authby=rsasig
      
          # VPN gateway settings
          left=%defaultroute
          leftid=%fromcert
          leftcert="<server_certificate_nickname>"
          leftrsasigkey=%cert
          leftsendcert=always
          leftsubnet=192.0.2.0/24
          rekey=no
          mobike=yes
          narrowing=yes
      
          # Client-related settings
          right=%any
          rightid=%fromcert
          rightrsasigkey=%cert
          rightaddresspool=198.51.100.129-198.51.100.254
          rightmodecfgclient=yes
          modecfgclient=yes
          modecfgdns=192.0.2.5
          modecfgdomains="example.com"
      
          # Dead Peer Detection
          dpddelay=30
          dpdtimeout=120
          dpdaction=clear

      示例中指定的设置包括：

      ikev2=insist

      将现代 IKEv2 协议定义为唯一允许的协议，而不回退到 IKEv1。

      left=%defaultroute

      当 ipsec 服务启动时，动态设置默认路由接口的 IP 地址。或者，您可以将 left 参数设置为 IP 地址或主机的 FQDN。

      leftid=%fromcert 和 rightid=%fromcert

      将 Libreswan 配置为从证书的可分辨名称(DN)字段检索身份。

      leftcert="<server_certificate_nickname>"

      设置 NSS 数据库中使用的服务器证书的昵称。

      leftrsasigkey=%cert 和 rightrsasigkey=%cert

      将 Libreswan 配置为使用证书中嵌入的 RSA 公钥。

      leftsendcert=always

      指示网关始终发送证书，以便客户端可以针对 CA 证书对其进行验证。

      leftsubnet=<subnets>

      指定连接到客户端可以通过隧道访问的网关的子网。

      mobike=yes

      启用客户端在网络间 roam。

      rightaddresspool=<ip_range>

      指定网关可以将哪个范围的 IP 地址分配给客户端。

      modecfgclient=yes

      使客户端能够接收 modecfgdns 参数中设置的 DNS 服务器 IP，以及 modecfgdomains 中设置的 DNS 搜索域。

   有关示例中使用的所有参数的详情，请查看您系统上的 ipsec.conf (5) 手册页。

5. 启用数据包转发：

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

6. 重启 ipsec 服务：

   # systemctl restart ipsec

   如果您在配置文件中使用 auto=start，则连接会自动激活。使用其他方法时，需要执行额外的步骤来激活连接。详情请查看您系统上的 ipsec.conf (5) 手册页。

验证

1. 配置一个客户端并连接到 VPN 网关。

2. 检查服务是否加载了 CRL ，并将条目添加到 NSS 数据库中：

   # ipsec listcrls
   
   List of CRLs:
   
   issuer: CN=Example-CA
   revoked certs: 1
   updates: this Tue Jul 15 10:22:36 2025
            next Sun Jan 11 10:22:36 2026
   
   List of CRL fetch requests:
   
   Jul 15 15:13:56 2025, trials: 1
          issuer:  'CN=Example-CA'
          distPts: 'https://ca.example.com/crl.pem'