5.9. 使用密码保护 IPsec NSS 数据库
默认情况下，IPsec 服务在第一次启动时使用空密码创建其网络安全服务(NSS)数据库。要提高安全性，您可以添加密码保护。
注意
在 RHEL 6.6 和之前的版本中，您必须使用一个密码来保护 IPsec NSS 数据库，以满足 FIPS 140-2 标准的要求，因为 NSS 加密库是针对 FIPS 140-2 Level 2 标准认证的。在 RHEL 8 中，NIS 将 NSS 认证为该标准级别 1，并且该状态不需要对数据库进行密码保护。
前提条件
-
/etc/ipsec.d/目录包含 NSS 数据库文件。
流程
为 Libreswan 的
NSS数据库启用密码保护：# certutil -N -d sql:/etc/ipsec.d Enter Password or Pin for "NSS Certificate DB": Enter a password which will be used to encrypt your keys. The password should be at least 8 characters long, and should contain at least one non-alphabetic character. Enter new password:创建
/etc/ipsec.d/nsspassword文件，其中包含您在上一步中设置的密码，例如：# cat /etc/ipsec.d/nsspassword NSS Certificate DB:_<password>_nsspassword文件使用以下语法：<token_1>:<password1> <token_2>:<password2>
默认的 NSS 软件令牌是
NSS 证书 数据库。如果您的系统以 FIPS 模式运行，则令牌的名称为NSS FIPS 140-2 证书数据库。根据您的场景，在完成了
nsspassword文件后，启动或重启ipsec服务：# systemctl restart ipsec
验证
在其 NSS 数据库中添加非空密码后，检查
ipsec服务是否运行：# systemctl status ipsec ● ipsec.service - Internet Key Exchange (IKE) Protocol Daemon for IPsec Loaded: loaded (/usr/lib/systemd/system/ipsec.service; enabled; vendor preset: disable> Active: active (running)...
验证
检查
Journal日志是否包含确认成功初始化的条目：# journalctl -u ipsec ... pluto[6214]: Initializing NSS using read-write database "sql:/etc/ipsec.d" pluto[6214]: NSS Password from file "/etc/ipsec.d/nsspassword" for token "NSS Certificate DB" with length 20 passed to NSS pluto[6214]: NSS crypto library initialized ...
其他资源
-
您系统上的
certutil (1)手册页 - 合规性活动和 政府标准 知识库文章 FIPS 140-2 和 FIPS 140-3。
