23.3. 设置 IPsec VPN

流程

1. 安装 libreswan 软件包：

   # yum install libreswan

   Copy to Clipboard Toggle word wrap

2. 如果要重新安装 Libreswan，请删除其旧的数据库文件，并创建一个新的数据库：

   # systemctl stop ipsec
   # rm /etc/ipsec.d/*db
   # ipsec initnss

   Copy to Clipboard Toggle word wrap

3. 启动 ipsec 服务，并启用该服务，以便其在引导时自动启动：

   # systemctl enable ipsec --now

   Copy to Clipboard Toggle word wrap

4. 通过添加 ipsec 服务，将防火墙配置为允许 IKE、ESP 和 AH 协议的 500 和 4500/UDP 端口：

   # firewall-cmd --add-service="ipsec"
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

流程

1. 在每台主机上生成原始 RSA 密钥对：

   # ipsec newhostkey

   Copy to Clipboard Toggle word wrap

2. 上一步返回生成的密钥的 ckaid。在 左 主机上使用 ckaid 和以下命令，例如：

   # ipsec showhostkey --left --ckaid 2d3ea57b61c9419dfd6cf43a1eb6cb306c0e857d

   Copy to Clipboard Toggle word wrap

   上一命令的输出生成了配置所需的 leftrsasigkey= 行。在第二台主机（右）上执行相同的操作：

   # ipsec showhostkey --right --ckaid a9e1f6ce9ecd3608c24e8f701318383f41798f03

   Copy to Clipboard Toggle word wrap

3. 在 /etc/ipsec.d/ 目录中，创建一个新的 my_host-to-host.conf 文件。将上一步中 ipsec showhostkey 命令的输出中的 RSA 主机密钥写入新文件。例如：

   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

   Copy to Clipboard Toggle word wrap

4. 导入密钥后，重启 ipsec 服务：

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap

5. 加载连接：

   # ipsec auto --add mytunnel

   Copy to Clipboard Toggle word wrap

6. 建立隧道：

   # ipsec auto --up mytunnel

   Copy to Clipboard Toggle word wrap

7. 要在 ipsec 服务启动时自动启动隧道，请在连接定义中添加以下行：

   auto=start

   Copy to Clipboard Toggle word wrap
8. 如果您在带有 DHCP 或无状态地址自动配置(SLAAC)的网络中使用此主机，则连接可能会受到重定向的影响。有关详情和缓解步骤，请参阅将 VPN 连接分配给专用路由表，以防止连接绕过隧道。

流程

1. 将带有主机到主机 VPN 配置的文件复制到新文件中，例如：

   # cp /etc/ipsec.d/my_host-to-host.conf /etc/ipsec.d/my_site-to-site.conf

   Copy to Clipboard Toggle word wrap

2. 在上一步创建的文件中添加子网配置，例如：

   conn mysubnet
        also=mytunnel
        leftsubnet=192.0.1.0/24
        rightsubnet=192.0.2.0/24
        auto=start
   
   conn mysubnet6
        also=mytunnel
        leftsubnet=2001:db8:0:1::/64
        rightsubnet=2001:db8:0:2::/64
        auto=start
   
   # the following part of the configuration file is the same for both host-to-host and site-to-site connections:
   
   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

   Copy to Clipboard Toggle word wrap
3. 如果您在带有 DHCP 或无状态地址自动配置(SLAAC)的网络中使用此主机，则连接可能会受到重定向的影响。有关详情和缓解步骤，请参阅将 VPN 连接分配给专用路由表，以防止连接绕过隧道。

流程

1. 在每个节点中导入 PKCS #12 文件。此步骤需要用于生成 PKCS #12 文件的密码：

   # ipsec import nodeXXX.p12

   Copy to Clipboard Toggle word wrap

2. 为 IPsec 需要的（专用）、IPsec 可选的 (private-or-clear)和 No IPsec (clear)配置文件创建以下三个连接定义：

   # cat /etc/ipsec.d/mesh.conf
   conn clear
   	auto=ondemand 

   1

   
   	type=passthrough
   	authby=never
   	left=%defaultroute
   	right=%group
   
   conn private
   	auto=ondemand
   	type=transport
   	authby=rsasig
   	failureshunt=drop
   	negotiationshunt=drop
   	ikev2=insist
   	left=%defaultroute
   	leftcert=nodeXXXX
   	leftid=%fromcert 

   2

   
   	rightid=%fromcert
   	right=%opportunisticgroup
   
   conn private-or-clear
   	auto=ondemand
   	type=transport
   	authby=rsasig
   	failureshunt=passthrough
   	negotiationshunt=passthrough
   	# left
   	left=%defaultroute
   	leftcert=nodeXXXX 

   3

   
   	leftid=%fromcert
   	leftrsasigkey=%cert
   	# right
   	rightrsasigkey=%cert
   	rightid=%fromcert
   	right=%opportunisticgroup

   Copy to Clipboard Toggle word wrap

   1

   auto 变量有几个选项：

   您可以使用带有 opportunistic IPsec 的 ondemand 连接选项来启动 IPsec 连接，或者用于显式配置不需要一直激活的连接。这个选项在内核中建立一个陷阱 XFRM 策略，使 IPsec 连接在收到与该策略匹配的第一个数据包时开始。

   您可以使用以下选项有效地配置和管理 IPsec 连接，无论是使用 Opportunistic IPsec 还是明确配置的连接：

   add 选项

   加载连接配置，并为响应远程启动做好准备。但是，连接不会自动从本地端启动。您可以使用 ipsec auto --up 命令手动启动 IPsec 连接。

   start 选项

   加载连接配置，并为响应远程启动做好准备。此外，它会立即启动到远程对等点的连接。您可以将这个选项用于永久的和一直活跃的连接。

   2

   leftid 和 rightid 变量标识 IPsec 隧道连接的右和左通道。如果您配置了证书，您可以使用这些变量来获取本地 IP 地址或本地证书的主题 DN 的值。

   3

   leftcert 变量定义您要使用的 NSS 数据库的昵称。

3. 将网络的 IP 地址添加到对应的类中。例如，如果所有节点都位于 10.15.0.0/16 网络中，则所有节点都必须使用 IPsec 加密：

   # echo "10.15.0.0/16" >> /etc/ipsec.d/policies/private

   Copy to Clipboard Toggle word wrap

4. 要允许某些节点（如 10.15.34.0/24 ）使用或不使用 IPsec，请将这些节点添加到 private-or-clear 组中：

   # echo "10.15.34.0/24" >> /etc/ipsec.d/policies/private-or-clear

   Copy to Clipboard Toggle word wrap

5. 要定义一个主机（如 10.15.1.2 ），其不能将 IPsec 添加到 clear 组中，请使用：

   # echo "10.15.1.2/32" >> /etc/ipsec.d/policies/clear

   Copy to Clipboard Toggle word wrap

   您可以在 /etc/ipsec.d/policies 目录中从每个新节点的模板创建文件，也可以使用 Puppet 或 Ansible 来置备它们。

   请注意，每个节点都有相同的异常列表或不同的流量预期。因此，两个节点可能无法通信，因为一个节点需要 IPsec，而另一个节点无法使用 IPsec。

6. 重启节点将其添加到配置的网格中：

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap
7. 如果您在带有 DHCP 或无状态地址自动配置(SLAAC)的网络中使用此主机，则连接可能会受到重定向的影响。有关详情和缓解步骤，请参阅将 VPN 连接分配给专用路由表，以防止连接绕过隧道。

验证

1. 使用 ping 命令打开 IPsec 隧道：

   # ping <nodeYYY>

   Copy to Clipboard Toggle word wrap

2. 显示带有导入认证的 NSS 数据库：

   # certutil -L -d sql:/etc/ipsec.d
   
   Certificate Nickname    Trust Attributes
                           SSL,S/MIME,JAR/XPI
   
   west                    u,u,u
   ca                      CT,,

   Copy to Clipboard Toggle word wrap

3. 查看节点上哪个隧道打开了：

   # ipsec trafficstatus
   006 #2: "private#10.15.0.0/16"[1] ...<nodeYYY>, type=ESP, add_time=1691399301, inBytes=512, outBytes=512, maxBytes=2^63B, id='C=US, ST=NC, O=Example Organization, CN=east'

   Copy to Clipboard Toggle word wrap

流程

1. 安装 libreswan 软件包：

   # yum install libreswan

   Copy to Clipboard Toggle word wrap

2. 如果您要重新安装 Libreswan，请删除其旧的 NSS 数据库：

   # systemctl stop ipsec
   # rm /etc/ipsec.d/*db

   Copy to Clipboard Toggle word wrap

3. 启动 ipsec 服务，并启用该服务，以便其在引导时自动启动：

   # systemctl enable ipsec --now

   Copy to Clipboard Toggle word wrap

4. 通过添加 ipsec 服务，将防火墙配置为允许 IKE、ESP 和 AH 协议的 500 和 4500 UDP 端口：

   # firewall-cmd --add-service="ipsec"
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

5. 将系统切换到 FIPS 模式：

   # fips-mode-setup --enable

   Copy to Clipboard Toggle word wrap

6. 重启您的系统以允许内核切换到 FIPS 模式：

   # reboot

   Copy to Clipboard Toggle word wrap

验证

1. 确认 Libreswan 是否在 FIPS 模式下运行：

   # ipsec whack --fipsstatus
   000 FIPS mode enabled

   Copy to Clipboard Toggle word wrap

2. 或者，检查 systemd 日志中的 ipsec 单元条目：

   $ journalctl -u ipsec
   ...
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Product: YES
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Kernel: YES
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Mode: YES

   Copy to Clipboard Toggle word wrap

3. 以 FIPS 模式查看可用算法：

   # ipsec pluto --selftest 2>&1 | head -11
   FIPS Product: YES
   FIPS Kernel: YES
   FIPS Mode: YES
   NSS DB directory: sql:/etc/ipsec.d
   Initializing NSS
   Opening NSS database "sql:/etc/ipsec.d" read-only
   NSS initialized
   NSS crypto library initialized
   FIPS HMAC integrity support [enabled]
   FIPS mode enabled for pluto daemon
   NSS library is running in FIPS mode
   FIPS HMAC integrity verification self-test passed

   Copy to Clipboard Toggle word wrap

4. 使用 FIPS 模式查询禁用的算法：

   # ipsec pluto --selftest 2>&1 | grep disabled
   Encryption algorithm CAMELLIA_CTR disabled; not FIPS compliant
   Encryption algorithm CAMELLIA_CBC disabled; not FIPS compliant
   Encryption algorithm SERPENT_CBC disabled; not FIPS compliant
   Encryption algorithm TWOFISH_CBC disabled; not FIPS compliant
   Encryption algorithm TWOFISH_SSH disabled; not FIPS compliant
   Encryption algorithm NULL disabled; not FIPS compliant
   Encryption algorithm CHACHA20_POLY1305 disabled; not FIPS compliant
   Hash algorithm MD5 disabled; not FIPS compliant
   PRF algorithm HMAC_MD5 disabled; not FIPS compliant
   PRF algorithm AES_XCBC disabled; not FIPS compliant
   Integrity algorithm HMAC_MD5_96 disabled; not FIPS compliant
   Integrity algorithm HMAC_SHA2_256_TRUNCBUG disabled; not FIPS compliant
   Integrity algorithm AES_XCBC_96 disabled; not FIPS compliant
   DH algorithm MODP1024 disabled; not FIPS compliant
   DH algorithm MODP1536 disabled; not FIPS compliant
   DH algorithm DH31 disabled; not FIPS compliant

   Copy to Clipboard Toggle word wrap

5. 在 FIPS 模式中列出所有允许的算法和密码：

   # ipsec pluto --selftest 2>&1 | grep ESP | grep FIPS | sed "s/^.*FIPS//"
   {256,192,*128}  aes_ccm, aes_ccm_c
   {256,192,*128}  aes_ccm_b
   {256,192,*128}  aes_ccm_a
   [*192]  3des
   {256,192,*128}  aes_gcm, aes_gcm_c
   {256,192,*128}  aes_gcm_b
   {256,192,*128}  aes_gcm_a
   {256,192,*128}  aesctr
   {256,192,*128}  aes
   {256,192,*128}  aes_gmac
   sha, sha1, sha1_96, hmac_sha1
   sha512, sha2_512, sha2_512_256, hmac_sha2_512
   sha384, sha2_384, sha2_384_192, hmac_sha2_384
   sha2, sha256, sha2_256, sha2_256_128, hmac_sha2_256
   aes_cmac
   null
   null, dh0
   dh14
   dh15
   dh16
   dh17
   dh18
   ecp_256, ecp256
   ecp_384, ecp384
   ecp_521, ecp521

   Copy to Clipboard Toggle word wrap

流程

1. 为 Libreswan 的 NSS 数据库启用密码保护：

   # certutil -N -d sql:/etc/ipsec.d
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:

   Copy to Clipboard Toggle word wrap

2. 创建包含您在上一步中设置的密码的 /etc/ipsec.d/nsspassword 文件，例如：

   # cat /etc/ipsec.d/nsspassword
   NSS Certificate DB:_<password>_

   Copy to Clipboard Toggle word wrap

   nsspassword 文件使用以下语法：

   <token_1>:<password1>
   <token_2>:<password2>

   Copy to Clipboard Toggle word wrap

   默认的 NSS 软件令牌是 NSS 证书 数据库。如果您的系统以 FIPS 模式运行，则令牌的名称为 NSS FIPS 140-2 证书数据库。

3. 根据您的场景，在完成了 nsspassword 文件后，启动或重启 ipsec 服务：

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap

验证

1. 在其 NSS 数据库中添加非空密码后，检查 ipsec 服务是否运行：

   # systemctl status ipsec
   ● ipsec.service - Internet Key Exchange (IKE) Protocol Daemon for IPsec
      Loaded: loaded (/usr/lib/systemd/system/ipsec.service; enabled; vendor preset: disable>
      Active: active (running)...

   Copy to Clipboard Toggle word wrap

2. 检查 Journal 日志是否包含确认成功初始化的条目：

   # journalctl -u ipsec
   ...
   pluto[6214]: Initializing NSS using read-write database "sql:/etc/ipsec.d"
   pluto[6214]: NSS Password from file "/etc/ipsec.d/nsspassword" for token "NSS Certificate DB" with length 20 passed to NSS
   pluto[6214]: NSS crypto library initialized
   ...

   Copy to Clipboard Toggle word wrap

流程

1. 在 /etc/ipsec.conf 文件的 config setup 部分中添加以下选项：

   listen-tcp=yes

   Copy to Clipboard Toggle word wrap

2. 要在第一次尝试 UDP 失败时使用 TCP 封装作为回退选项，请在客户端的连接定义中添加以下两个选项：

   enable-tcp=fallback
   tcp-remoteport=4500

   Copy to Clipboard Toggle word wrap

   另外，如果您知道 UDP 会被永久阻止，请在客户端的连接配置中使用以下选项：

   enable-tcp=yes
   tcp-remoteport=4500

   Copy to Clipboard Toggle word wrap

流程

1. 编辑连接的 /etc/ipsec.d/ 目录中的 Libreswan 配置文件，该文件应使用 ESP 硬件卸载支持的自动检测。
2. 确保连接的设置中没有设置 nic-offload 参数。

3. 如果您删除了 nic-offload，请重启 ipsec 服务：

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap

验证

1. 显示 IPsec 连接使用的以太网设备的 tx_ipsec 和 rx_ipsec 计数器：

   # ethtool -S enp1s0 | grep -E "_ipsec"
        tx_ipsec: 10
        rx_ipsec: 10

   Copy to Clipboard Toggle word wrap

2. 通过 IPsec 隧道发送流量。例如，ping 远程 IP 地址：

   # ping -c 5 remote_ip_address

   Copy to Clipboard Toggle word wrap

3. 再次显示以太网设备的 tx_ipsec 和 rx_ipsec 计数器：

   # ethtool -S enp1s0 | grep -E "_ipsec"
        tx_ipsec: 15
        rx_ipsec: 15

   Copy to Clipboard Toggle word wrap

   如果计数器值增加了，ESP 硬件卸载正常工作。

流程

1. 对网络绑定启用 ESP 硬件卸载支持：

   # nmcli connection modify bond0 ethtool.feature-esp-hw-offload on

   Copy to Clipboard Toggle word wrap

   这个命令在对 bond0 连接启用 ESP 硬件卸载支持。

2. 重新激活 bond0 连接：

   # nmcli connection up bond0

   Copy to Clipboard Toggle word wrap

3. 编辑应使用 ESP 硬件卸载的连接的 /etc/ipsec.d/ 目录中的 Libreswan 配置文件，并将 nic-offload=yes 语句附加到连接条目：

   conn example
       ...
       nic-offload=yes

   Copy to Clipboard Toggle word wrap

4. 重启 ipsec 服务：

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap

1. 显示绑定的活动端口：

   # grep "Currently Active Slave" /proc/net/bonding/bond0
   Currently Active Slave: enp1s0

   Copy to Clipboard Toggle word wrap

2. 显示活动端口的 tx_ipsec 和 rx_ipsec 计数器：

   # ethtool -S enp1s0 | grep -E "_ipsec"
        tx_ipsec: 10
        rx_ipsec: 10

   Copy to Clipboard Toggle word wrap

3. 通过 IPsec 隧道发送流量。例如，ping 远程 IP 地址：

   # ping -c 5 remote_ip_address

   Copy to Clipboard Toggle word wrap

4. 再次显示活动端口的 tx_ipsec 和 rx_ipsec 计数器：

   # ethtool -S enp1s0 | grep -E "_ipsec"
        tx_ipsec: 15
        rx_ipsec: 15

   Copy to Clipboard Toggle word wrap

   如果计数器值增加了，ESP 硬件卸载正常工作。

1. 重新载入 vpn.example.com 连接：

   # ipsec auto --add vpn.example.com
   002 added connection description "vpn.example.com"

   Copy to Clipboard Toggle word wrap

2. 下一步，启动 VPN 连接：

   # ipsec auto --up vpn.example.com

   Copy to Clipboard Toggle word wrap

流程

1. 按 Super 键，输入 Settings，然后按 Enter 键打开 control-center 应用程序。
2. 选择左侧的 Network 条目。
3. 点 + 图标。
4. 选择 VPN。

5. 选择 Identity 菜单项来查看基本配置选项：

   General

   Gateway - 远程 VPN 网关的名称或 IP 地址。

   认证

   Type

   • IKEv2(Certificate)- 客户端通过证书进行身份验证。它更安全（默认）。

   • IKEv1(XAUTH) - 客户端通过用户名和密码或预共享密钥(PSK)进行身份验证。

     以下配置设置在 高级 部分中提供：

     图 23.1. VPN 连接的高级选项

     

     View larger image

     
     警告

     当使用 gnome-control-center 应用程序配置基于 IPsec 的 VPN 连接时，高级 对话框会显示配置，但它不允许任何更改。因此，用户无法更改任何高级 IPsec 选项。使用 nm-connection-editor 或 nmcli 工具来配置高级属性。

     身份识别

   • 域 - 如果需要，输入域名。

     安全性

   • Phase1 Algorithms - 对应于 ike Libreswan 参数 - 输入用来验证和设置加密频道的算法。

   • Phase2 Algorithms - 对应于 esp Libreswan 参数 - 输入用于 IPsec 协商的算法。

     选择 Disable PFS 字段来关闭 Perfect Forward Secrecy(PFS)，以确保与不支持 PFS 的旧服务器兼容。

   • Phase1 Lifetime - 对应于 ikelifetime Libreswan 参数 - 用于加密流量的密钥的有效期。

   • Phase2 Lifetime - 对应于 salifetime Libreswan 参数 - 在过期前连接的特定实例应多久。

     注意：为了安全起见，加密密钥应该不时地更改。

   • Remote network - 对应于 rightsubnet Libreswan 参数 - 应该通过 VPN 访问的目标专用远程网络。

     检查 缩减 字段以启用缩小字段。请注意，它只在 IKEv2 协商中有效。

   • Enable fragmentation - 对应于 fragmentation Libreswan 参数 - 是否允许 IKE 分段。有效值为 yes （默认）或 no。
   • Enable Mobike - 与 mobike Libreswan 参数对应 - 是否允许移动和多形协议(MOBIKE、RFC 455)启用连接来迁移其端点，而无需从头开始重启连接。这可用于在有线、无线或者移动数据连接之间进行切换的移动设备。值为 no （默认）或 yes。

6. 选择 IPv4 菜单条目：

   IPv4 方法

   • Automatic (DHCP) - 如果您要连接的网络使用 DHCP 服务器来分配动态 IP 地址，请选择此选项。
   • Link-Local Only - 如果您要连接的网络没有 DHCP 服务器且您不想手动分配 IP 地址，请选择这个选项。随机地址将根据 RFC 3927 分配，带有前缀 169.254/16。
   • 手动 - 如果您要手动分配 IP 地址，请选择这个选项。

   • Disable - 在这个连接中禁用 IPv4。

     DNS

     在 DNS 部分，当 Automatic 为 ON 时，将其切换到 OFF 以输入您要用逗号分开的 DNS 服务器的 IP 地址。

     Routes

     请注意，在 Routes 部分，当 Automatic 为 ON 时，会使用 DHCP 的路由，但您也可以添加额外的静态路由。当 OFF 时，只使用静态路由。

   • Address - 输入远程网络或主机的 IP 地址。
   • Netmask - 以上输入的 IP 地址的子网掩码或前缀长度。
   • Gateway - 上面输入的远程网络或主机的网关的 IP 地址。

   • Metric - 网络成本，赋予此路由的首选值。数值越低，优先级越高。

     仅将此连接用于其网络上的资源

     选择这个复选框以防止连接成为默认路由。选择这个选项意味着只有特别用于路由的流量才会通过连接自动获得，或者手动输入到连接上。

7. 要在 VPN 连接中配置 IPv6 设置，请选择 IPv6 菜单条目：

   IPv6 Method

   • Automatic - 选择这个选项使用 IPv6 Stateless Address AutoConfiguration（SLAAC）根据硬件地址和路由器公告（RA）创建自动的、无状态的配置。
   • Automatic, DHCP only - 选择这个选项以不使用 RA，但从 DHCPv6 请求信息以创建有状态的配置。
   • Link-Local Only - 如果您要连接的网络没有 DHCP 服务器且您不想手动分配 IP 地址，请选择这个选项。随机地址将根据 RFC 4862 分配，前缀为 FE80::0。
   • 手动 - 如果您要手动分配 IP 地址，请选择这个选项。

   • Disable - 在这个连接中禁用 IPv6。

     请注意，DNS, Routes, Use this connection only for resources on its network 项是 IPv4 的常规设置。

8. 编辑完 VPN 连接后，点添加按钮自定义配置或应用按钮为现有配置保存它。
9. 将配置集切换到 ON 以激活 VPN 连接。
10. 如果您在带有 DHCP 或无状态地址自动配置(SLAAC)的网络中使用此主机，则连接可能会受到重定向的影响。有关详情和缓解步骤，请参阅将 VPN 连接分配给专用路由表，以防止连接绕过隧道。

流程

1. 决定您要使用的路由表。以下步骤使用表 75。默认情况下，RHEL 不使用表 1-254，您可以使用其中任何一个。

2. 配置 VPN 连接配置文件，将 VPN 路由放在专用路由表中：

   # nmcli connection modify <vpn_connection_profile> ipv4.route-table 75 ipv6.route-table 75

   Copy to Clipboard Toggle word wrap

3. 为您在上一命令中使用的表设置低优先级值：

   # nmcli connection modify <vpn_connection_profile> ipv4.routing-rules "priority 32345 from all table 75" ipv6.routing-rules "priority 32345 from all table 75"

   Copy to Clipboard Toggle word wrap

   优先级值可以是 1 到 32766 之间的任何值。值越低，优先级越高。

4. 重新连接 VPN 连接：

   # nmcli connection down <vpn_connection_profile>
   # nmcli connection up <vpn_connection_profile>

   Copy to Clipboard Toggle word wrap

验证

1. 在表 75 中显示 IPv4 路由：

   # ip route show table 75
   ...
   192.0.2.0/24 via 192.0.2.254 dev vpn_device proto static metric 50
   default dev vpn_device proto static scope link metric 50

   Copy to Clipboard Toggle word wrap

   输出确认到远程网络和默认网关路由到路由表 75，因此所有流量都通过隧道路由。如果您在 VPN 连接配置集中设置 ipv4.never-default true，则不会创建默认路由，因此无法在此输出中可见。

2. 在表 75 中显示 IPv6 路由：

   # ip -6 route show table 75
   ...
   2001:db8:1::/64 dev vpn_device proto kernel metric 50 pref medium
   default dev vpn_device proto static metric 50 pref medium

   Copy to Clipboard Toggle word wrap

   输出确认到远程网络和默认网关路由到路由表 75，因此所有流量都通过隧道路由。如果您在 VPN 连接配置集中设置 ipv4.never-default true，则不会创建默认路由，因此无法在此输出中可见。