安全网络

流程

1. 生成 ECDSA 密钥对：

   $ ssh-keygen -t ecdsa
   Generating public/private ecdsa key pair.
   Enter file in which to save the key (/home/<username>/.ssh/id_ecdsa):
   Enter passphrase (empty for no passphrase): <password>
   Enter same passphrase again: <password>
   Your identification has been saved in /home/<username>/.ssh/id_ecdsa.
   Your public key has been saved in /home/<username>/.ssh/id_ecdsa.pub.
   The key fingerprint is:
   SHA256:Q/x+qms4j7PCQ0qFd09iZEFHA+SqwBKRNaU72oZfaCI <username>@<localhost.example.com>
   The key's randomart image is:
   +---[ECDSA 256]---+
   |.oo..o=++        |
   |.. o .oo .       |
   |. .. o. o        |
   |....o.+...       |
   |o.oo.o +S .      |
   |.=.+.   .o       |
   |E.*+.  .  . .    |
   |.=..+ +..  o     |
   |  .  oo*+o.      |
   +----[SHA256]-----+

   您还可以通过输入 ssh-keygen -t ed25519 命令，使用 ssh-keygen -t ed25519 命令生成 RSA 密钥对，而无需任何参数或 Ed25519 密钥对。请注意，Ed25519 算法不兼容 FIPS-140，OpenSSH 在 FIPS 模式下无法使用 Ed25519 密钥。

2. 将公钥复制到远程机器上：

   $ ssh-copy-id <username>@<ssh-server-example.com>
   /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
   <username>@<ssh-server-example.com>'s password:
   …
   Number of key(s) added: 1
   
   Now try logging into the machine, with: "ssh '<username>@<ssh-server-example.com>'" and check to make sure that only the key(s) you wanted were added.

   将 <username>@<ssh-server-example.com> 替换为您的凭证。

   如果您没有在会话中使用 ssh-agent 程序，上一个命令会复制最新修改的 ~/.ssh/id*.pub 公钥。要指定另一个公钥文件，或在 ssh-agent 内存中缓存的密钥优先选择文件中的密钥，使用带有 -i 选项的 ssh-copy-id 命令。

验证

1. 使用密钥文件登录到 OpenSSH 服务器：

   $ ssh -o PreferredAuthentications=publickey <username>@<ssh-server-example.com>

流程

1. 在文本编辑器中打开 /etc/ssh/sshd_config 配置，例如：

   # vi /etc/ssh/sshd_config

2. 将 PasswordAuthentication 选项改为 no:

   PasswordAuthentication no

3. 在新默认安装以外的系统中，检查 PubkeyAuthentication 参数是否未设置或设置为 yes。

4. 将 Kbd interactiveAuthentication 指令设置为 no。

   请注意，对应的条目在配置文件中被注释掉，默认值为 yes。

5. 要在 NFS 挂载的主目录中使用基于密钥的验证，启用 use_nfs_home_dirs SELinux 布尔值：

   # setsebool -P use_nfs_home_dirs 1

6. 如果您要进行远程连接，而不使用控制台或带外访问，在禁用密码验证前测试基于密钥的登录过程。

7. 重新载入 sshd 守护进程以应用更改：

   # systemctl reload sshd

流程

1. 添加命令，在您的会话中自动启动 ssh-agent 到 ~/.bashrc 文件：

   1. 在您选择的文本编辑器中打开 ~/.bashrc，例如：

      $ vi ~/.bashrc

   2. 在文件中添加以下行：

      eval $(ssh-agent)

   3. 保存更改，退出编辑器。

2. 在 ~/.ssh/config 文件中添加以下行：

   AddKeysToAgent yes

   如果此选项和 ssh-agent 在会话中启动，代理仅在您第一次连接到主机时提示输入密码。

流程

1. 列出所有由 OpenSC PKCS #11 模块提供的密钥，包括其 PKCS #11 URIs，并将输出保存到 key.pub 文件：

   $ ssh-keygen -D pkcs11: > keys.pub

2. 将公钥传送到远程服务器。使用带有上一步中创建的 key .pub 文件的 ssh-copy-id 命令：

   $ ssh-copy-id -f -i keys.pub <username@ssh-server-example.com>

3. 使用 ECDSA 密钥连接到 < ssh-server-example.com >。您只能使用 URI 的子集，它唯一引用您的密钥，例如：

   $ ssh -i "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so" <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   因为 OpenSSH 使用 p11-kit-proxy 打包程序和 OpenSC PKCS modprobe 模块注册到 p11-kit 工具，所以您可以简化上一个命令：

   $ ssh -i "pkcs11:id=%01" <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   如果您跳过 PKCS #11 URI 的 id= 部分，则 OpenSSH 会加载代理模块中可用的所有密钥。这可减少输入所需的数量：

   $ ssh -i pkcs11: <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

4. 可选：您可以使用 ~/.ssh/config 文件中的同一 URI 字符串使配置持久：

   $ cat ~/.ssh/config
   IdentityFile "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so"
   $ ssh <ssh-server-example.com>
   Enter PIN for 'SSH key':
   [ssh-server-example.com] $

   ssh 客户端工具现在自动使用来自智能卡中的这个 URI 和密钥。

流程

1. 如果您通过跳过服务器或多个中间服务器进行连接，请使用 ssh -J 命令并直接指定跳过服务器，例如：

   $ ssh -J <jump-1.example.com>,<jump-2.example.com>,<jump-3.example.com> <target-server-1.example.com>

   如果跳板服务器上的用户名或 SSH 端口与远程服务器上的用户名和端口不同，请只修改上一命令中的主机名表示法，例如：

   $ ssh -J <example.user.1>@<jump-1.example.com>:<75>,<example.user.2>@<jump-2.example.com>:<75>,<example.user.3>@<jump-3.example.com>:<75> <example.user.f>@<target-server-1.example.com>:<220>

2. 如果您定期通过跳过服务器连接到远程服务器，请在 SSH 配置文件中存储 jump-server 配置：

   1. 通过编辑本地系统中的 ~/.ssh/config 文件来定义跳板主机，例如：

      Host <jump-server-1>
        HostName <jump-1.example.com>

      • Host 参数定义您可以在 ssh 命令中使用的主机的名称或别名。该值可以匹配真实的主机名，但也可以是任意字符串。
      • HostName 参数设置跳过主机的实际主机名或 IP 地址。

   2. 使用 ProxyJump 指令将远程服务器跳板配置添加到本地系统上的 ~/.ssh/config 文件中，例如：

      Host <remote-server-1>
        HostName <target-server-1.example.com>
        ProxyJump <jump-server-1>

   3. 使用您的本地系统通过跳过服务器连接到远程服务器：

      $ ssh <remote-server-1>

      如果省略前面的配置步骤，此命令等同于 ssh -J jump-server1 remote-server 命令。

流程

1. 为您的 CA 生成私钥。例如，以下命令会创建一个 256 位 Elliptic Curve Digital Signature Algorithm(ECDSA)密钥：

   $ openssl genpkey -algorithm ec -pkeyopt ec_paramgen_curve:P-256 -out <ca.key>

   密钥生成过程的时间取决于主机的硬件和熵、所选算法以及密钥长度。

2. 使用上一个命令生成的私钥创建证书：

   $ openssl req -key <ca.key> -new -x509 -days 3650 -addext keyUsage=critical,keyCertSign,cRLSign -subj "/CN=<Example CA>" -out <ca.crt>

   生成的 ca.crt 文件是一个自签名 CA 证书，可用于为其他证书签名 10 年。对于私有 CA，您可以将 <Example CA> 替换为作为通用名称(CN)的任何字符串。

3. 对 CA 的私钥设置安全权限，例如：

   # chown <root>:<root> <ca.key>
   # chmod 600 <ca.key>

验证

1. 创建证书签名请求(CSR)，并使用您的 CA 为请求签名。CA 必须成功创建一个基于 CSR 的证书，例如：

   $ openssl x509 -req -in <client-cert.csr> -CA <ca.crt> -CAkey <ca.key> -CAcreateserial -days 365 -extfile <openssl.cnf> -extensions <client-cert> -out <client-cert.crt>
   Signature ok
   subject=C = US, O = Example Organization, CN = server.example.com
   Getting CA Private Key

   如需更多信息，请参阅 第 2.5 节 “使用私有 CA 使用 OpenSSL 为 CSR 发布证书”。

2. 显示有关自签名 CA 的基本信息：

   $ openssl x509 -in <ca.crt> -text -noout
   Certificate:
   …
           X509v3 extensions:
               …
               X509v3 Basic Constraints: critical
                   CA:TRUE
               X509v3 Key Usage: critical
                   Certificate Sign, CRL Sign
   …

3. 验证私钥的一致性：

   $ openssl pkey -check -in <ca.key>
   Key is valid
   -----BEGIN PRIVATE KEY-----
   MIGHAgEAMBMGByqGSM49AgEGCCqGSM49AwEHBG0wawIBAQQgcagSaTEBn74xZAwO
   18wRpXoCVC9vcPki7WlT+gnmCI+hRANCAARb9NxIvkaVjFhOoZbGp/HtIQxbM78E
   lwbDP0BI624xBJ8gK68ogSaq2x4SdezFdV1gNeKScDcU+Pj2pELldmdF
   -----END PRIVATE KEY-----

流程

1. 在服务器系统上生成私钥，例如：

   $ openssl genpkey -algorithm ec -pkeyopt ec_paramgen_curve:P-256 -out <server-private.key>

2. 可选：使用您选择的文本编辑器来准备一个简化创建 CSR 的配置文件，例如：

   $ vim <example_server.cnf>
   [server-cert]
   keyUsage = critical, digitalSignature, keyEncipherment, keyAgreement
   extendedKeyUsage = serverAuth
   subjectAltName = @alt_name
   
   [req]
   distinguished_name = dn
   prompt = no
   
   [dn]
   C = <US>
   O = <Example Organization>
   CN = <server.example.com>
   
   [alt_name]
   DNS.1 = <example.com>
   DNS.2 = <server.example.com>
   IP.1 = <192.168.0.1>
   IP.2 = <::1>
   IP.3 = <127.0.0.1>

   extendedKeyUsage = serverAuth 选项限制证书的使用。

3. 使用之前创建的私钥创建 CSR：

   $ openssl req -key <server-private.key> -config <example_server.cnf> -new -out <server-cert.csr>

   如果省略了 -config 选项，req 工具会提示您额外的信息，例如：

   You are about to be asked to enter information that will be incorporated
   into your certificate request.
   What you are about to enter is what is called a Distinguished Name or a DN.
   There are quite a few fields but you can leave some blank
   For some fields there will be a default value,
   If you enter '.', the field will be left blank.
   -----
   Country Name (2 letter code) [XX]: <US>
   State or Province Name (full name) []: <Washington>
   Locality Name (eg, city) [Default City]: <Seattle>
   Organization Name (eg, company) [Default Company Ltd]: <Example Organization>
   Organizational Unit Name (eg, section) []:
   Common Name (eg, your name or your server's hostname) []: <server.example.com>
   Email Address []: <server@example.com>

验证

1. 从 CA 获取请求的证书后，检查证书的人类可读部分是否与您的要求匹配，例如：

   $ openssl x509 -text -noout -in <server-cert.crt>
   Certificate:
   …
           Issuer: CN = Example CA
           Validity
               Not Before: Feb  2 20:27:29 2023 GMT
               Not After : Feb  2 20:27:29 2024 GMT
           Subject: C = US, O = Example Organization, CN = server.example.com
           Subject Public Key Info:
               Public Key Algorithm: id-ecPublicKey
                   Public-Key: (256 bit)
   …
           X509v3 extensions:
               X509v3 Key Usage: critical
                   Digital Signature, Key Encipherment, Key Agreement
               X509v3 Extended Key Usage:
                   TLS Web Server Authentication
               X509v3 Subject Alternative Name:
                   DNS:example.com, DNS:server.example.com, IP Address:192.168.0.1, IP
   …

流程

1. 在客户端系统上生成私钥，例如：

   $ openssl genpkey -algorithm ec -pkeyopt ec_paramgen_curve:P-256 -out <client-private.key>

2. 可选：使用您选择的文本编辑器来准备一个简化创建 CSR 的配置文件，例如：

   $ vim <example_client.cnf>
   [client-cert]
   keyUsage = critical, digitalSignature, keyEncipherment
   extendedKeyUsage = clientAuth
   subjectAltName = @alt_name
   
   [req]
   distinguished_name = dn
   prompt = no
   
   [dn]
   CN = <client.example.com>
   
   [clnt_alt_name]
   email= <client@example.com>

   extendedKeyUsage = clientAuth 选项限制证书的使用。

3. 使用之前创建的私钥创建 CSR：

   $ openssl req -key <client-private.key> -config <example_client.cnf> -new -out <client-cert.csr>

   如果省略了 -config 选项，req 工具会提示您额外的信息，例如：

   You are about to be asked to enter information that will be incorporated
   into your certificate request.
   …
   Common Name (eg, your name or your server's hostname) []: <client.example.com>
   Email Address []: <client@example.com>

验证

1. 检查证书的人类可读部分是否与您的要求匹配，例如：

   $ openssl x509 -text -noout -in <client-cert.crt>
   Certificate:
   …
               X509v3 Extended Key Usage:
                   TLS Web Client Authentication
               X509v3 Subject Alternative Name:
                   email:client@example.com
   …

流程

1. 可选：使用您选择的文本编辑器准备一个 OpenSSL 配置文件，以便为证书添加扩展，例如：

   $ vim <openssl.cnf>
   [server-cert]
   extendedKeyUsage = serverAuth
   
   [client-cert]
   extendedKeyUsage = clientAuth

2. 使用 x509 工具创建基于 CSR 的证书，例如：

   $ openssl x509 -req -in <server-cert.csr> -CA <ca.crt> -CAkey <ca.key> -days 365 -extfile <openssl.cnf> -extensions <server-cert> -out <server-cert.crt>
   Signature ok
   subject=C = US, O = Example Organization, CN = server.example.com
   Getting CA Private Key

流程

1. 为您的 CA 生成私钥。例如，以下命令会创建一个 256 位 ECDSA (Elliptic Curve Digital Signature Algorithm)密钥：

   $ certtool --generate-privkey --sec-param High --key-type=ecdsa --outfile <ca.key>

   密钥生成过程的时间取决于主机的硬件和熵、所选算法以及密钥长度。

2. 为证书创建一个模板文件。

   1. 使用您选择的文本编辑器创建一个文件，例如：

      $ vi <ca.cfg>

   2. 编辑该文件以包含必要的认证详情：

      organization = "Example Inc."
      state = "Example"
      country = EX
      cn = "Example CA"
      serial = 007
      expiration_days = 365
      ca
      cert_signing_key
      crl_signing_key

3. 使用在第 1 步中生成的私钥创建一个签名证书：

   生成的 <ca.crt> 文件是一个自签名 CA 证书，您可用来为其他证书签名一年。<ca.crt> 文件是公钥(证书)。加载的文件 <ca.key> 是私钥。您应该将此文件保存在安全的地方。

   $ certtool --generate-self-signed --load-privkey <ca.key> --template <ca.cfg> --outfile <ca.crt>

4. 对 CA 的私钥设置安全权限，例如：

   # chown <root>:<root> <ca.key>
   # chmod 600 <ca.key>

验证

1. 显示有关自签名 CA 的基本信息：

   $ certtool --certificate-info --infile <ca.crt>
   Certificate:
   …
       	X509v3 extensions:
           	…
           	X509v3 Basic Constraints: critical
               	CA:TRUE
           	X509v3 Key Usage: critical
               	Certificate Sign, CRL Sign

2. 创建证书签名请求(CSR)，并使用您的 CA 为请求签名。CA 必须成功创建一个基于 CSR 的证书，例如：

   1. 为您的 CA 生成私钥：

      $ certtool --generate-privkey --outfile <example-server.key>

   2. 在您选择的文本编辑器中打开一个新配置文件，例如：

      $ vi <example-server.cfg>

   3. 编辑该文件以包含必要的认证详情：

      signing_key
      encryption_key
      key_agreement
      
      tls_www_server
      
      country = "US"
      organization = "Example Organization"
      cn = "server.example.com"
      
      dns_name = "example.com"
      dns_name = "server.example.com"
      ip_address = "192.168.0.1"
      ip_address = "::1"
      ip_address = "127.0.0.1"

   4. 使用之前创建的私钥生成一个请求：

      $ certtool --generate-request --load-privkey <example-server.key> --template <example-server.cfg> --outfile <example-server.crq>

   5. 生成证书并使用 CA 的私钥对其签名：

      $ certtool --generate-certificate --load-request <example-server.crq> --load-ca-certificate <ca.crt> --load-ca-privkey <ca.key> --outfile <example-server.crt>

      其他资源

      • certtool (1) 和 trust (1) 手册页

流程

1. 在服务器系统上生成私钥，例如：

   $ certtool --generate-privkey --sec-param High --outfile <example-server.key>

2. 可选：使用您选择的文本编辑器来准备一个简化创建 CSR 的配置文件，例如：

   $ vim <example_server.cnf>
   signing_key
   encryption_key
   key_agreement
   
   tls_www_server
   
   country = "US"
   organization = "Example Organization"
   cn = "server.example.com"
   
   dns_name = "example.com"
   dns_name = "server.example.com"
   ip_address = "192.168.0.1"
   ip_address = "::1"
   ip_address = "127.0.0.1"

3. 使用之前创建的私钥创建 CSR：

   $ certtool --generate-request --template <example-server.cfg> --load-privkey <example-server.key> --outfile <example-server.crq>

   如果省略 --template 选项，certool 工具会提示您输入额外信息，例如：

   You are about to be asked to enter information that will be incorporated
   into your certificate request.
   What you are about to enter is what is called a Distinguished Name or a DN.
   There are quite a few fields but you can leave some blank
   For some fields there will be a default value,
   If you enter '.', the field will be left blank.
   -----
   Generating a PKCS #10 certificate request...
   Country name (2 chars): <US>
   State or province name: <Washington>
   Locality name: <Seattle>
   Organization name: <Example Organization>
   Organizational unit name:
   Common name: <server.example.com>

验证

1. 从 CA 获取请求的证书后，检查证书的人类可读部分是否与您的要求匹配，例如：

   $ certtool --certificate-info --infile <example-server.crt>
   Certificate:
   …
           Issuer: CN = Example CA
           Validity
               Not Before: Feb  2 20:27:29 2023 GMT
               Not After : Feb  2 20:27:29 2024 GMT
           Subject: C = US, O = Example Organization, CN = server.example.com
           Subject Public Key Info:
               Public Key Algorithm: id-ecPublicKey
                   Public-Key: (256 bit)
   …
           X509v3 extensions:
               X509v3 Key Usage: critical
                   Digital Signature, Key Encipherment, Key Agreement
               X509v3 Extended Key Usage:
                   TLS Web Server Authentication
               X509v3 Subject Alternative Name:
                   DNS:example.com, DNS:server.example.com, IP Address:192.168.0.1, IP
   …

流程

1. 在客户端系统上生成私钥，例如：

   $ certtool --generate-privkey --sec-param High --outfile <example-client.key>

2. 可选：使用您选择的文本编辑器来准备一个简化创建 CSR 的配置文件，例如：

   $ vim <example_client.cnf>
   signing_key
   encryption_key
   
   tls_www_client
   
   cn = "client.example.com"
   email = "client@example.com"

3. 使用之前创建的私钥创建 CSR：

   $ certtool --generate-request --template <example-client.cfg> --load-privkey <example-client.key> --outfile <example-client.crq>

   如果省略 --template 选项， certtool 工具会提示您输入额外信息，例如：

   Generating a PKCS #10 certificate request...
   Country name (2 chars): <US>
   State or province name: <Washington>
   Locality name: <Seattle>
   Organization name: <Example Organization>
   Organizational unit name:
   Common name: <server.example.com>

验证

1. 检查证书的人类可读部分是否与您的要求匹配，例如：

   $ certtool --certificate-info --infile <example-client.crt>
   Certificate:
   …
               X509v3 Extended Key Usage:
                   TLS Web Client Authentication
               X509v3 Subject Alternative Name:
                   email:client@example.com
   …

流程

1. 可选：使用您选择的文本编辑器准备一个 GnuTLS 配置文件，以便向证书添加扩展，例如：

   $ vi <server-extensions.cfg>
   honor_crq_extensions
   ocsp_uri = "http://ocsp.example.com"

2. 使用 certtool 工具创建一个基于 CSR 的证书，例如：

   $ certtool --generate-certificate --load-request <example-server.crq> --load-ca-privkey <ca.key> --load-ca-certificate <ca.crt> --template <server-extensions.cfg> --outfile <example-server.crt>

流程

1. 要在简单的 PEM 或 DER 文件格式中添加证书到系统中信任的 CA 列表中,请将证书文件复制到 /usr/share/pki/ca-trust-source/anchors/ 或 /etc/pki/ca-trust/source/anchors/ 目录中，例如：

   # cp ~/certificate-trust-examples/Cert-trust-test-ca.pem /usr/share/pki/ca-trust-source/anchors/

2. 要更新系统范围的信任存储配置，请使用 update-ca-trust 命令：

   # update-ca-trust

流程

1. 安装 libreswan 软件包：

   # dnf install libreswan

2. 如果要重新安装 Libreswan，请删除其旧的数据库文件，并创建一个新的数据库：

   # systemctl stop ipsec
   # rm /var/lib/ipsec/nss/*db
   # ipsec initnss

3. 启动 ipsec 服务，并启用该服务，以便其在引导时自动启动：

   # systemctl enable ipsec --now

4. 通过添加 ipsec 服务，将防火墙配置为允许 IKE、ESP 和 AH 协议的 500 和 4500/UDP 端口：

   # firewall-cmd --add-service="ipsec"
   # firewall-cmd --runtime-to-permanent

流程

1. 在每台主机上生成原始 RSA 密钥对：

   # ipsec newhostkey

2. 上一步返回生成的密钥的 ckaid。在 左 主机上使用 ckaid 和以下命令，例如：

   # ipsec showhostkey --left --ckaid 2d3ea57b61c9419dfd6cf43a1eb6cb306c0e857d

   上一命令的输出生成了配置所需的 leftrsasigkey= 行。在第二台主机（右）上执行相同的操作：

   # ipsec showhostkey --right --ckaid a9e1f6ce9ecd3608c24e8f701318383f41798f03

3. 在 /etc/ipsec.d/ 目录中，创建一个新的 my_host-to-host.conf 文件。将上一步中 ipsec showhostkey 命令的输出中的 RSA 主机密钥写入新文件。例如：

   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

4. 导入密钥后，重启 ipsec 服务：

   # systemctl restart ipsec

5. 加载连接：

   # ipsec auto --add mytunnel

6. 建立隧道：

   # ipsec auto --up mytunnel

7. 要在 ipsec 服务启动时自动启动隧道，请在连接定义中添加以下行：

   auto=start

流程

1. 将带有主机到主机 VPN 配置的文件复制到新文件中，例如：

   # cp /etc/ipsec.d/my_host-to-host.conf /etc/ipsec.d/my_site-to-site.conf

2. 在上一步创建的文件中添加子网配置，例如：

   conn mysubnet
        also=mytunnel
        leftsubnet=192.0.1.0/24
        rightsubnet=192.0.2.0/24
        auto=start
   
   conn mysubnet6
        also=mytunnel
        leftsubnet=2001:db8:0:1::/64
        rightsubnet=2001:db8:0:2::/64
        auto=start
   
   # the following part of the configuration file is the same for both host-to-host and site-to-site connections:
   
   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

流程

1. 在每个节点中导入 PKCS #12 文件。此步骤需要用于生成 PKCS #12 文件的密码：

   # ipsec import nodeXXX.p12

2. 为 IPsec 需要的（专用）、IPsec 可选的 (private-or-clear)和 No IPsec (clear)配置文件创建以下三个连接定义：

   # cat /etc/ipsec.d/mesh.conf
   conn clear
   	auto=ondemand 1
   	type=passthrough
   	authby=never
   	left=%defaultroute
   	right=%group
   
   conn private
   	auto=ondemand
   	type=transport
   	authby=rsasig
   	failureshunt=drop
   	negotiationshunt=drop
   	ikev2=insist
   	left=%defaultroute
   	leftcert=nodeXXXX
   	leftid=%fromcert 2
   	rightid=%fromcert
   	right=%opportunisticgroup
   
   conn private-or-clear
   	auto=ondemand
   	type=transport
   	authby=rsasig
   	failureshunt=passthrough
   	negotiationshunt=passthrough
   	# left
   	left=%defaultroute
   	leftcert=nodeXXXX 3
   	leftid=%fromcert
   	leftrsasigkey=%cert
   	# right
   	rightrsasigkey=%cert
   	rightid=%fromcert
   	right=%opportunisticgroup

验证

1. 使用 ping 命令打开 IPsec 隧道：

   # ping <nodeYYY>

2. 使用导入的认证显示 NSS 数据库：

   # certutil -L -d sql:/etc/ipsec.d
   
   Certificate Nickname    Trust Attributes
                           SSL,S/MIME,JAR/XPI
   
   west                    u,u,u
   ca                      CT,,

3. 查看节点上打开了哪个隧道：

   # ipsec trafficstatus
   006 #2: "private#10.15.0.0/16"[1] ...<nodeYYY>, type=ESP, add_time=1691399301, inBytes=512, outBytes=512, maxBytes=2^63B, id='C=US, ST=NC, O=Example Organization, CN=east'

流程

1. 安装 libreswan 软件包：

   # dnf install libreswan

2. 如果您要重新安装 Libreswan，请删除其旧的 NSS 数据库：

   # systemctl stop ipsec
   
   # rm /var/lib/ipsec/nss/*db

3. 启动 ipsec 服务，并启用该服务，以便其在引导时自动启动：

   # systemctl enable ipsec --now

4. 通过添加 ipsec 服务，将防火墙配置为允许 IKE、ESP 的 500 和 4500 UDP 端口，以及 AH 协议：

   # firewall-cmd --add-service="ipsec"
   # firewall-cmd --runtime-to-permanent

5. 将系统切换到 FIPS 模式：

   # fips-mode-setup --enable

6. 重启您的系统以允许内核切换到 FIPS 模式：

   # reboot

验证

1. 确认 Libreswan 在 FIPS 模式下运行：

   # ipsec whack --fipsstatus
   000 FIPS mode enabled

2. 或者，检查 systemd 日志中的 ipsec 单元条目：

   $ journalctl -u ipsec
   ...
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Mode: YES

3. 以 FIPS 模式查看可用算法：

   # ipsec pluto --selftest 2>&1 | head -6
   Initializing NSS using read-write database "sql:/var/lib/ipsec/nss"
   FIPS Mode: YES
   NSS crypto library initialized
   FIPS mode enabled for pluto daemon
   NSS library is running in FIPS mode
   FIPS HMAC integrity support [disabled]

4. 使用 FIPS 模式查询禁用的算法：

   # ipsec pluto --selftest 2>&1 | grep disabled
   Encryption algorithm CAMELLIA_CTR disabled; not FIPS compliant
   Encryption algorithm CAMELLIA_CBC disabled; not FIPS compliant
   Encryption algorithm NULL disabled; not FIPS compliant
   Encryption algorithm CHACHA20_POLY1305 disabled; not FIPS compliant
   Hash algorithm MD5 disabled; not FIPS compliant
   PRF algorithm HMAC_MD5 disabled; not FIPS compliant
   PRF algorithm AES_XCBC disabled; not FIPS compliant
   Integrity algorithm HMAC_MD5_96 disabled; not FIPS compliant
   Integrity algorithm HMAC_SHA2_256_TRUNCBUG disabled; not FIPS compliant
   Integrity algorithm AES_XCBC_96 disabled; not FIPS compliant
   DH algorithm MODP1536 disabled; not FIPS compliant
   DH algorithm DH31 disabled; not FIPS compliant

5. 在 FIPS 模式中列出所有允许的算法和密码：

   # ipsec pluto --selftest 2>&1 | grep ESP | grep FIPS | sed "s/^.*FIPS//"
   aes_ccm, aes_ccm_c
   aes_ccm_b
   aes_ccm_a
   NSS(CBC)  3des
   NSS(GCM)  aes_gcm, aes_gcm_c
   NSS(GCM)  aes_gcm_b
   NSS(GCM)  aes_gcm_a
   NSS(CTR)  aesctr
   NSS(CBC)  aes
   aes_gmac
   NSS       sha, sha1, sha1_96, hmac_sha1
   NSS       sha512, sha2_512, sha2_512_256, hmac_sha2_512
   NSS       sha384, sha2_384, sha2_384_192, hmac_sha2_384
   NSS       sha2, sha256, sha2_256, sha2_256_128, hmac_sha2_256
   aes_cmac
   null
   NSS(MODP) null, dh0
   NSS(MODP) dh14
   NSS(MODP) dh15
   NSS(MODP) dh16
   NSS(MODP) dh17
   NSS(MODP) dh18
   NSS(ECP)  ecp_256, ecp256
   NSS(ECP)  ecp_384, ecp384
   NSS(ECP)  ecp_521, ecp521

流程

1. 为 Libreswan 的 NSS 数据库启用密码保护：

   # certutil -N -d sql:/var/lib/ipsec/nss
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:

2. 创建 /etc/ipsec.d/nsspassword 文件，其包含您在之前步骤中设置的密码，例如：

   # cat /etc/ipsec.d/nsspassword
   NSS Certificate DB:_<password>_

   nsspassword 文件使用以下语法：

   <token_1>:<password1>
   <token_2>:<password2>

   默认的 NSS 软件令牌是 NSS 证书 数据库。如果您的系统以 FIPS 模式运行，则令牌的名称为 NSS FIPS 140-2 证书数据库。

3. 根据您的场景，在完成了 nsspassword 文件后，启动或重启 ipsec 服务：

   # systemctl restart ipsec

验证

1. 在其 NSS 数据库中添加非空密码后，检查 ipsec 服务是否运行：

   # systemctl status ipsec
   ● ipsec.service - Internet Key Exchange (IKE) Protocol Daemon for IPsec
      Loaded: loaded (/usr/lib/systemd/system/ipsec.service; enabled; vendor preset: disable>
      Active: active (running)...

流程

1. 在 /etc/ipsec.conf 文件的 config setup 部分中添加以下选项：

   listen-tcp=yes

2. 要在第一次尝试 UDP 失败时使用 TCP 封装作为回退选项，请在客户端的连接定义中添加以下两个选项：

   enable-tcp=fallback
   tcp-remoteport=4500

   另外，如果您知道 UDP 会被永久阻止，请在客户端的连接配置中使用以下选项：

   enable-tcp=yes
   tcp-remoteport=4500

步骤

1. 编辑应使用 ESP 硬件卸载支持的自动检测连接的 /etc/ipsec.d/ 目录中的 Libreswan 配置文件。
2. 确保 nic-offload 参数没有在连接的设置中设置。

3. 如果您删除了 nic-offload，请重启 ipsec 服务：

   # systemctl restart ipsec

验证

1. 显示 IPsec 连接使用的以太网设备的 tx_ipsec 和 rx_ipsec 计数器：

   # ethtool -S enp1s0 | egrep "_ipsec"
        tx_ipsec: 10
        rx_ipsec: 10

2. 通过 IPsec 隧道发送流量。例如，ping 远程 IP 地址：

   # ping -c 5 remote_ip_address

3. 再次显示以太网设备的 tx_ipsec 和 rx_ipsec 计数器：

   # ethtool -S enp1s0 | egrep "_ipsec"
        tx_ipsec: 15
        rx_ipsec: 15

   如果计数器值增加了，ESP 硬件卸载正常工作。

步骤

1. 对网络绑定启用 ESP 硬件卸载支持：

   # nmcli connection modify bond0 ethtool.feature-esp-hw-offload on

   这个命令在对 bond0 连接启用 ESP 硬件卸载支持。

2. 重新激活 bond0 连接：

   # nmcli connection up bond0

3. 编辑应使用 ESP 硬件卸载的连接的 /etc/ipsec.d/ 目录中的 Libreswan 配置文件，并将 nic-offload=yes 语句附加到连接条目：

   conn example
       ...
       nic-offload=yes

4. 重启 ipsec 服务：

   # systemctl restart ipsec

验证

1. 显示绑定的活动端口：

   # grep "Currently Active Slave" /proc/net/bonding/bond0
   Currently Active Slave: enp1s0

2. 显示活动端口的 tx_ipsec 和 rx_ipsec 计数器：

   # ethtool -S enp1s0 | egrep "_ipsec"
        tx_ipsec: 10
        rx_ipsec: 10

3. 通过 IPsec 隧道发送流量。例如，ping 远程 IP 地址：

   # ping -c 5 remote_ip_address

4. 再次显示活动端口的 tx_ipsec 和 rx_ipsec 计数器：

   # ethtool -S enp1s0 | egrep "_ipsec"
        tx_ipsec: 15
        rx_ipsec: 15

   如果计数器值增加了，ESP 硬件卸载正常工作。

1. 重新载入 vpn.example.com 连接：

   # ipsec auto --add vpn.example.com
   002 added connection description "vpn.example.com"

2. 下一步，启动 VPN 连接：

   # ipsec auto --up vpn.example.com

流程

1. 按 Super 键，输入 Settings，然后按 Enter 键打开 control-center 应用程序。
2. 选择左侧的 Network 条目。
3. 点 + 图标。
4. 选择 VPN。

5. 选择 Identity 菜单项来查看基本配置选项：

   General

   Gateway - 远程 VPN 网关的名称或 IP 地址。

   认证

   类型

   • IKEv2(Certificate)- 客户端通过证书进行身份验证。它更安全（默认）。

   • IKEv1(XAUTH) - 客户端通过用户名和密码或预共享密钥(PSK)进行身份验证。

     以下配置设置在 高级 部分中提供：

     图 5.1. VPN 连接的高级选项

     
     警告

     当使用 gnome-control-center 应用程序配置基于 IPsec 的 VPN 连接时，高级 对话框会显示配置，但它不允许任何更改。因此，用户无法更改任何高级 IPsec 选项。使用 nm-connection-editor 或 nmcli 工具来配置高级属性。

     身份识别

   • 域 - 如果需要，输入域名。

     安全性

   • Phase1 Algorithms - 对应于 ike Libreswan 参数 - 输入用来验证和设置加密频道的算法。

   • Phase2 Algorithms - 对应于 esp Libreswan 参数 - 输入用于 IPsec 协商的算法。

     选择 Disable PFS 字段来关闭 Perfect Forward Secrecy(PFS)，以确保与不支持 PFS 的旧服务器兼容。

   • Phase1 Lifetime - 对应于 ikelifetime Libreswan 参数 - 用于加密流量的密钥的有效期。

   • Phase2 Lifetime - 对应于 salifetime Libreswan 参数 - 在过期前连接的特定实例应多久。

     注意：为了安全起见，加密密钥应该不时地更改。

   • Remote network - 对应于 rightsubnet Libreswan 参数 - 应该通过 VPN 访问的目标专用远程网络。

     检查 缩减 字段以启用缩小字段。请注意，它只在 IKEv2 协商中有效。

   • Enable fragmentation - 对应于 fragmentation Libreswan 参数 - 是否允许 IKE 分段。有效值为 yes （默认）或 no。
   • Enable Mobike - 对应于 mobike Libreswan 参数 - 是否允许 Mobility and Multihoming Protocol（MOBIKE、RFC 4555）启用连接来迁移其端点，而无需从头开始重启连接。这可用于在有线、无线或者移动数据连接之间进行切换的移动设备。值为 no （默认）或 yes。

6. 选择 IPv4 菜单条目：

   IPv4 方法

   • Automatic (DHCP) - 如果您要连接的网络使用 DHCP 服务器来分配动态 IP 地址，请选择此选项。
   • Link-Local Only - 如果您要连接的网络没有 DHCP 服务器且您不想手动分配 IP 地址，请选择这个选项。随机地址将根据 RFC 3927 分配，带有前缀 169.254/16。
   • 手动 - 如果您要手动分配 IP 地址，请选择这个选项。

   • Disable - 在这个连接中禁用 IPv4。

     DNS

     在 DNS 部分，当 Automatic 为 ON 时，将其切换到 OFF 以输入您要用逗号分开的 DNS 服务器的 IP 地址。

     Routes

     请注意，在 Routes 部分，当 Automatic 为 ON 时，会使用 DHCP 的路由，但您也可以添加额外的静态路由。当 OFF 时，只使用静态路由。

   • Address - 输入远程网络或主机的 IP 地址。
   • Netmask - 以上输入的 IP 地址的子网掩码或前缀长度。
   • Gateway - 上面输入的远程网络或主机的网关的 IP 地址。

   • Metric - 网络成本，赋予此路由的首选值。数值越低，优先级越高。

     仅将此连接用于其网络上的资源

     选择这个复选框以防止连接成为默认路由。选择这个选项意味着只有特别用于路由的流量才会通过连接自动获得，或者手动输入到连接上。

7. 要在 VPN 连接中配置 IPv6 设置，请选择 IPv6 菜单条目：

   IPv6 Method

   • Automatic - 选择这个选项使用 IPv6 Stateless Address AutoConfiguration（SLAAC）根据硬件地址和路由器公告（RA）创建自动的、无状态的配置。
   • Automatic, DHCP only - 选择这个选项以不使用 RA，但从 DHCPv6 请求信息以创建有状态的配置。
   • Link-Local Only - 如果您要连接的网络没有 DHCP 服务器且您不想手动分配 IP 地址，请选择这个选项。随机地址将根据 RFC 4862 分配，前缀为 FE80::0。
   • 手动 - 如果您要手动分配 IP 地址，请选择这个选项。

   • Disable - 在这个连接中禁用 IPv6。

     请注意，DNS, Routes, Use this connection only for resources on its network 项是 IPv4 的常规设置。

8. 编辑完 VPN 连接后，点添加按钮自定义配置或应用按钮为现有配置保存它。
9. 将配置集切换为 ON 以激活 VPN 连接。

流程

1. 添加防火墙规则，例如：

   • 限制 TCP 连接，并只接受来自 192.168.0.0/24 主机 111 端口的包：

     # firewall-cmd --add-rich-rule='rule family="ipv4" port port="111" protocol="tcp" source address="192.168.0.0/24" invert="True" drop'

   • 限制 TCP 连接，并只接受来自本地主机 111 端口的包：

     # firewall-cmd --add-rich-rule='rule family="ipv4" port port="111" protocol="tcp" source address="127.0.0.1" accept'

   • 限制 UDP 连接，并只接受来自 192.168.0.0/24 主机 111 端口的包：

     # firewall-cmd --permanent --add-rich-rule='rule family="ipv4" port port="111" protocol="udp" source address="192.168.0.0/24" invert="True" drop'

     要使防火墙设置永久化，请在添加防火墙规则时使用 --permanent 选项。

2. 重新载入防火墙以应用新规则：

   # firewall-cmd --reload

流程

1. 在服务器中添加防火墙规则，例如：

   • 接受来自 192.168.0.0/24 主机的mountd 连接：

     # firewall-cmd --add-rich-rule 'rule family="ipv4" service name="mountd" source address="192.168.0.0/24" invert="True" drop'

   • 接受来自本地主机的 mountd 连接：

     # firewall-cmd --permanent --add-rich-rule 'rule family="ipv4" source address="127.0.0.1" service name="mountd" accept'

     要使防火墙设置永久化，请在添加防火墙规则时使用 --permanent 选项。

2. 重新载入防火墙以应用新规则：

   # firewall-cmd --reload

流程

1. 安装 PostgreSQL：

   # yum install postgresql-server

2. 使用以下选项之一初始化数据库存储区域：

   1. 使用 initdb 工具：

      $ initdb -D /home/postgresql/db1/

      带有 -D 选项的 initdb 命令会创建您指定的目录（如果尚未存在），例如 /home/postgresql/db1/。然后，此目录包含数据库中存储的所有数据以及客户端身份验证配置文件。

   2. 使用 postgresql-setup 脚本：

      $ postgresql-setup --initdb

      默认情况下，该脚本使用 /var/lib/pgsql/data/ 目录。此脚本可以帮助具有基本数据库集群管理的系统管理员。

3. 要允许任何经过身份验证的用户使用其用户名访问任何数据库，请在 pg_hba.conf 文件中修改以下行：

   local   all             all                                     trust

   当使用创建数据库用户和没有本地用户的层次应用程序时，这可能会造成问题。如果您不想显式控制系统中所有用户名，请从 pg_hba.conf 文件中删除 local 行条目。

4. 重启数据库以应用更改：

   # systemctl restart postgresql

   上一命令更新数据库，同时还验证配置文件的语法。

流程

1. 在配置 MACsec 的第一个主机上：

   • 为预共享密钥创建连接关联密钥(CAK)和连接关联密钥名称(CKN)：

     1. 创建一个 16 字节的十六进制 CAK：

        # dd if=/dev/urandom count=16 bs=1 2> /dev/null | hexdump -e '1/2 "%04x"'
        50b71a8ef0bd5751ea76de6d6c98c03a

     2. 创建一个 32 字节的十六进制 CKN：

        # dd if=/dev/urandom count=32 bs=1 2> /dev/null | hexdump -e '1/2 "%04x"'
        f2b4297d39da7330910a74abc0449feb45b5c0b9fc23df1430e1898fcf1c4550

2. 在您要通过 MACsec 连接连接的两个主机上：

3. 创建 MACsec 连接：

   # nmcli connection add type macsec con-name macsec0 ifname macsec0 connection.autoconnect yes macsec.parent enp1s0 macsec.mode psk macsec.mka-cak 50b71a8ef0bd5751ea76de6d6c98c03a macsec.mka-ckn f2b4297d39da7330910a74abc0449feb45b5c0b9fc23df1430e1898fcf1c4550

   在macsec.mka-cak 和 macsec.mka-ckn 参数中使用上一步生成的 CAK 和 CKN。在 MACsec-protected 网络的每个主机上，这些值必须相同。

4. 配置 MACsec 连接中的 IP 设置。

   1. 配置 IPv4 设置。例如，要为 macsec0 连接设置静态 IPv4 地址、网络掩码、默认网关和 DNS 服务器，请输入：

      # nmcli connection modify macsec0 ipv4.method manual ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253'

   2. 配置 IPv6 设置。例如，要为 macsec0 连接设置静态 IPv6 地址、网络掩码、默认网关和 DNS 服务器，请输入：

      # nmcli connection modify macsec0 ipv6.method manual ipv6.addresses '2001:db8:1::1/32' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd'

5. 激活连接：

   # nmcli connection up macsec0

验证

1. 验证流量是否加密：

   # tcpdump -nn -i enp1s0

2. 可选：显示未加密的流量：

   # tcpdump -nn -i macsec0

3. 显示 MACsec 统计信息：

   # ip macsec show

4. 显示每种保护类型的单独的计数器：仅完整性（关闭加密）和加密（打开加密）

   # ip -s macsec show

流程

1. 在您配置 MACsec 的第一个主机上，为预共享密钥创建连接关联密钥(CAK)和连接关联密钥名称(CKN)：

   1. 创建一个 16 字节的十六进制 CAK：

      # dd if=/dev/urandom count=16 bs=1 2> /dev/null | hexdump -e '1/2 "%04x"'
      50b71a8ef0bd5751ea76de6d6c98c03a

   2. 创建一个 32 字节的十六进制 CKN：

      # dd if=/dev/urandom count=32 bs=1 2> /dev/null | hexdump -e '1/2 "%04x"'
      f2b4297d39da7330910a74abc0449feb45b5c0b9fc23df1430e1898fcf1c4550

2. 在您要通过 MACsec 连接连接的两个主机上，完成以下步骤：

   1. 使用以下设置创建一个 YAML 文件，如 create-macsec-connection.yml ：

      ---
      routes:
        config:
        - destination: 0.0.0.0/0
          next-hop-interface: macsec0
          next-hop-address: 192.0.2.2
          table-id: 254
        - destination: 192.0.2.2/32
          next-hop-interface: macsec0
          next-hop-address: 0.0.0.0
          table-id: 254
      dns-resolver:
        config:
          search:
          - example.com
          server:
          - 192.0.2.200
          - 2001:db8:1::ffbb
      interfaces:
      - name: macsec0
        type: macsec
        state: up
        ipv4:
          enabled: true
          address:
          - ip: 192.0.2.1
            prefix-length: 32
        ipv6:
          enabled: true
          address:
          - ip: 2001:db8:1::1
            prefix-length: 64
        macsec:
          encrypt: true
          base-iface: enp0s1
          mka-cak: 50b71a8ef0bd5751ea76de6d6c98c03a
          mka-ckn: f2b4297d39da7330910a74abc0449feb45b5c0b9fc23df1430e1898fcf1c4550
          port: 0
          validation: strict
          send-sci: true

   2. 在 mka-cak 和 mka-ckn 参数中使用上一步中生成的 CAK 和 CKN。在 MACsec-protected 网络的每个主机上，这些值必须相同。

   3. 可选：在同一个 YAML 配置文件中，您还可以配置以下设置：

      • 静态 IPv4 地址 - 192.0.2.1，子网掩码为 /32
      • 静态 IPv6 地址 - 2001:db8:1::1，子网掩码为 /64
      • IPv4 默认网关 - 192.0.2.2
      • IPv4 DNS 服务器 - 192.0.2.200
      • IPv6 DNS 服务器 - 2001:db8:1::ffbb
      • DNS 搜索域 - example.com

3. 将设置应用到系统：

   # nmstatectl apply create-macsec-connection.yml

验证

1. 以 YAML 格式显示当前状态：

   # nmstatectl show macsec0

2. 验证流量是否加密：

   # tcpdump -nn -i enp0s1

3. 可选：显示未加密的流量：

   # tcpdump -nn -i macsec0

4. 显示 MACsec 统计信息：

   # ip macsec show

5. 显示每种保护类型的单独的计数器：仅完整性（关闭加密）和加密（打开加密）

   # ip -s macsec show

流程

1. 设置 Dovecot：

   1. 在 /etc/dovecot/conf.d/10-master.conf 文件中包括以下行：

      service auth {
        unix_listener /var/spool/postfix/private/auth {
          mode = 0660
          user = postfix
          group = postfix
        }
      }

      前面的示例使用 UNIX-domain 套接字进行 Postfix 和 Dovecot 之间的通信。该示例还假定默认 Postfix SMTP 服务器设置，其中包括位于 /var/spool/postfix/ 目录中的邮件队列，以及在 postfix 用户和组下运行的应用。

   2. 可选：将 Dovecot 设置为通过 TCP 侦听 Postfix 验证请求：

      service auth {
        inet_listener {
            port = port-number
        }
      }

   3. 通过编辑 /etc/dovecot/conf.d/10-auth.conf 文件中的 auth_mechanisms 参数来指定电子邮件客户端用来通过 Dovecot 进行身份验证的方法：

      auth_mechanisms = plain login

      auth_mechanisms 参数支持不同的纯文本和非纯文本身份验证方法。

2. 通过修改 /etc/postfix/main.cf 文件来设置 Postfix：

   1. 在 Postfix SMTP 服务器上启用 SMTP 身份验证：

      smtpd_sasl_auth_enable = yes

   2. 为 SMTP 身份验证启用 Dovecot SASL 实现：

      smtpd_sasl_type = dovecot

   3. 提供相对于 Postfix 队列目录的身份验证路径。请注意，使用相对路径可确保无论 Postfix 服务器是否在 chroot 中运行，配置都可以正常工作：

      smtpd_sasl_path = private/auth

      此步骤使用 UNIX-domain 套接字进行 Postfix 和 Dovecot 之间的通信。

      要将 Postfix 配置为在不同机器上查找 Dovecot，如果您使用 TCP 套接字进行通信，请使用类似如下的配置值：

      smtpd_sasl_path = inet: ip-address : port-number

      在上例中，将 ip-address 替换为 Dovecot 机器的 IP 地址，port-number 替换为 Dovecot 的 /etc/dovecot/conf.d/10-master.conf 文件中的端口号。

   4. 指定 Postfix SMTP 服务器可供客户端使用的 SASL 机制。请注意，您可以为加密和未加密的会话指定不同的机制。

      smtpd_sasl_security_options = noanonymous, noplaintext
      smtpd_sasl_tls_security_options = noanonymous

      以上指令指定在未加密的会话期间，不允许匿名身份验证，且不会允许传输未加密的用户名或密码的机制。对于使用 TLS 的加密会话，只允许非匿名身份验证机制。