5.7. 配置网格 VPN

网格 VPN 网络（也称为 any-to-any VPN ）是一个所有节点都使用 IPsec 进行通信的网络。该配置可以对于无法使用 IPsec 的节点进行例外处理。可使用两种方式配置网格 VPN 网络：

需要 IPsec。
首选 IPsec，但允许回退到使用明文通信。

节点之间的身份验证可以基于 X.509 证书或 DNS 安全扩展(DNSSEC)。

您可以对 opportunistic IPsec 使用任何常规 IKEv2 验证方法，因为这些连接是常规的 Libreswan 配置，除了由 right=%opportunisticgroup 条目定义的机会 IPsec 之外。常见的身份验证方法是用于主机使用常用的共享认证机构(CA)根据 X.509 证书互相验证。作为标准流程的一部分，云部署通常为云中的每个节点发布证书。

重要

不要使用 PreSharedKey (PSK)身份验证，因为一个被破坏的主机会导致组 PSK secret 也被破坏。

您可以使用 NULL 身份验证部署没有身份验证的节点间加密，这只防止被动攻击者。

以下流程使用 X.509 证书。您可以使用任何类型的 CA 管理系统（如 Dogtag 证书系统）生成这些证书。Dogtag 假设每个节点的证书都以 PKCS #12 格式(.p12 文件)提供，其包含私钥、节点证书和用于验证其他节点的 X.509 证书的 Root CA 证书。

每个节点的配置与其 X.509 证书不同。这允许在不重新配置网络中的任何现有节点的情况下添加新节点。PKCS #12 文件需要一个"友好名称"，为此，我们使用名称"节点"，这样引用友好名称的配置文件对所有节点都是相同的。

先决条件

Libreswan 已安装，并在每个节点上启动了 ipsec 服务。
新的 NSS 数据库已初始化。
1. 如果您已经有旧的 NSS 数据库，请删除旧的数据库文件：
```
# systemctl stop ipsec
# rm /var/lib/ipsec/nss/*db
```
2. 您可以使用以下命令初始化新数据库：
```
# ipsec initnss
```

流程

在每个节点中导入 PKCS #12 文件。此步骤需要用于生成 PKCS #12 文件的密码：
```
# ipsec import nodeXXX.p12
```

为 IPsec 需要的（专用）、IPsec 可选的 (private-or-clear)和 No IPsec (clear)配置文件创建以下三个连接定义：

# cat /etc/ipsec.d/mesh.conf
conn clear
	auto=ondemand 1
	type=passthrough
	authby=never
	left=%defaultroute
	right=%group

conn private
	auto=ondemand
	type=transport
	authby=rsasig
	failureshunt=drop
	negotiationshunt=drop
	ikev2=insist
	left=%defaultroute
	leftcert=nodeXXXX
	leftid=%fromcert 2
	rightid=%fromcert
	right=%opportunisticgroup

conn private-or-clear
	auto=ondemand
	type=transport
	authby=rsasig
	failureshunt=passthrough
	negotiationshunt=passthrough
	# left
	left=%defaultroute
	leftcert=nodeXXXX 3
	leftid=%fromcert
	leftrsasigkey=%cert
	# right
	rightrsasigkey=%cert
	rightid=%fromcert
	right=%opportunisticgroup

1

auto 变量有几个选项：

您可以使用带有机会 IPsec 的 ondemand 连接选项来启动 IPsec 连接，或者显式配置不需要一直处于活动状态的连接。这个选项在内核中设置一个陷阱 XFRM 策略，使 IPsec 连接在收到与该策略匹配的第一个数据包时开始。

您可以使用以下选项有效地配置和管理 IPsec 连接，无论是使用机会 IPsec 还是明确配置的连接：

add 选项: 加载连接配置，并准备好响应远程启动。但是，连接不会自动从本地端启动。您可以使用命令 ipsec auto --up 手动启动 IPsec 连接。
start 选项: 加载连接配置，并准备好响应远程启动。此外，它会立即启动到远程对等点的连接。您可以将这个选项用于永久的和一直活跃的连接。

2

leftid 和 rightid 变量标识 IPsec 隧道连接的右和左通道。如果您配置了一个，您可以使用这些变量来获取本地 IP 地址或本地证书的主题 DN 的值。

3

leftcert 变量定义您要使用的 NSS 数据库的昵称。

将网络的 IP 地址添加到对应的类中。例如，如果所有节点都位于 10.15.0.0/16 网络中，则所有节点都必须使用 IPsec 加密：
```
# echo "10.15.0.0/16" >> /etc/ipsec.d/policies/private
```
要允许某些节点（如 10.15.34.0/24 ）使用或不使用 IPsec，请将这些节点添加到 private-or-clear 组中：
```
# echo "10.15.34.0/24" >> /etc/ipsec.d/policies/private-or-clear
```
要将一个不具有 IPsec 的主机（如 10.15.1.2 ）定义到 clear 组，请使用：
```
# echo "10.15.1.2/32" >> /etc/ipsec.d/policies/clear
```
您可以通过模板为每个新节点在 /etc/ipsec.d/policies 目录中创建文件，或者使用 Puppet 或 Ansible 来提供它们。
请注意，每个节点都有相同的异常列表或不同的流量预期。因此，两个节点可能无法通信，因为一个节点需要 IPsec，而另一个节点无法使用 IPsec。
重启节点将其添加到配置的网格中：
```
# systemctl restart ipsec
```

验证

使用 ping 命令打开 IPsec 隧道：
```
# ping <nodeYYY>
```

使用导入的认证显示 NSS 数据库：

# certutil -L -d sql:/etc/ipsec.d

Certificate Nickname    Trust Attributes
                        SSL,S/MIME,JAR/XPI

west                    u,u,u
ca                      CT,,

查看节点上打开了哪个隧道：

# ipsec trafficstatus
006 #2: "private#10.15.0.0/16"[1] ...<nodeYYY>, type=ESP, add_time=1691399301, inBytes=512, outBytes=512, maxBytes=2^63B, id='C=US, ST=NC, O=Example Organization, CN=east'

其他资源

您系统上的 IPsec.conf (5) 手册页
有关 authby 变量的更多信息，请参阅 6.2.Libreswan 中的身份验证方法。

5.7. 配置网格 VPN

学习

尝试、购买和销售

社区

关于红帽文档

让开源更具包容性

關於紅帽

Red Hat legal and privacy links

Red Hat legal and privacy links