第 13 章 使用 vpn RHEL 系统角色使用 IPsec 配置 VPN 连接

流程

1. 使用以下内容创建一个新的 playbook.yml 文件：

   - name: Host to host VPN
     hosts: managed_node1, managed_node2
     roles:
       - rhel-system-roles.vpn
     vars:
       vpn_connections:
         - hosts:
             managed_node1:
             managed_node2:

   Copy to Clipboard Toggle word wrap

   此 playbook 使用系统角色自动生成的密钥进行预共享密钥身份验证，来配置 managed_node1-to-managed_node2 的连接。

2. 可选：通过将以下部分添加到主机的 vpn_connections 列表中，配置从受管主机到清单文件中未列出的外部主机的连接：

       vpn_connections:
         - hosts:
             managed_node1:
             managed_node2:
             external_node:
               hostname: 192.0.2.2

   Copy to Clipboard Toggle word wrap

   这将配置另外两个连接：managed_node1-to-external_node 和 managed_node2-to-external_node。

1. 可选：您可以使用 vpn_connections 中的额外部分为受管节点指定多个 VPN 连接，如控制平面和数据平面：

   - name: Multiple VPN
     hosts: managed_node1, managed_node2
     roles:
       - rhel-system-roles.vpn
     vars:
       vpn_connections:
         - name: control_plane_vpn
           hosts:
             managed_node1:
               hostname: 192.0.2.0 # IP for the control plane
             managed_node2:
               hostname: 192.0.2.1
         - name: data_plane_vpn
           hosts:
             managed_node1:
               hostname: 10.0.0.1 # IP for the data plane
             managed_node2:
               hostname: 10.0.0.2

   Copy to Clipboard Toggle word wrap
2. 可选：您可以根据您的偏好修改变量。详情请查看 /usr/share/doc/rhel-system-roles/vpn/README.md 文件。

3. 可选：验证 playbook 语法。

   # ansible-playbook --syntax-check /path/to/file/playbook.yml -i /path/to/file/inventory_file

   Copy to Clipboard Toggle word wrap

4. 在清单文件上运行 playbook:

   # ansible-playbook -i /path/to/file/inventory_file /path/to/file/playbook.yml

   Copy to Clipboard Toggle word wrap

验证

1. 在受管节点上，确认连接已成功载入：

   # ipsec status | grep connection.name

   Copy to Clipboard Toggle word wrap

   将 connection.name 替换为来自此节点的连接的名称，如 managed_node1-to-managed_node2。

1. 在受管节点上，确认连接是否成功启动：

   # ipsec trafficstatus | grep connection.name

   Copy to Clipboard Toggle word wrap

2. 可选：如果连接没有成功加载，请输入以下命令来手动添加连接。这将提供更具体的信息，说明连接未能建立的原因：

   # ipsec auto --add connection.name

   Copy to Clipboard Toggle word wrap
   注意

   加载和启动连接过程中可能出现的任何错误都会在日志中报告，这些错误可以在 /var/log/pluto.log 中找到。由于这些日志难以解析，因此请尝试手动添加连接来获得日志消息，而不是从标准输出中获得。