120 Star 0 Fork 24

src-openEuler / libreswan

 / 详情

【20.03-LTS-SP1】创建vpn连接失败

已验收
缺陷
创建于  
2020-12-04 09:59

【环境信息】
OS版本: 版本 openEuler-20.03-LTS-SP1-x86_64 openEuler-20.03-LTS-SP1-aarch64
【问题复现步骤】
1.生成RSA密钥对:ipsec newhostkey --output /etc/ipsec.d/hostkey.secrets
a.启动ipsec服务:systemctl enable ipsec --now
b.防火墙允许ipsec服务:firewall-cmd --add-service=""ipsec""
firewall-cmd --runtime-to-permanent
2.本端对端都执行,以此生成密钥对left_ckaid,right_ckaid:ipsec newhostkey --output /etc/ipsec.d/hostkey.secrets
3.本端执行:ipsec showhostkey --left --ckaid 上一步生成的密钥left_rsa
4.远端执行:ipsec showhostkey --right --ckaid 上一步生成的密钥lright_rsa
5.配置文件:在/etc/ipsec.d目录下创建my_host-to-host.conf文件,并修改
echo -e ""conn mytunnel\n leftid=@west\n left=本端ip\n leftrsasigkey=${left_rsa}\n rightid=@east\n right=对端ip\n rightrsasigkey=${right_rsa}\n authby=rsasig"" >/etc/ipsec.d/my_host-to-host.conf
6.两端都执行重启服务:ipsec setup start
7.两端都执行加载连接:ipsec auto --add mytunnel
8,两端都执行建立连接:ipsec auto --up mytunnel
【预期结果】
mytunnel添加成功,mytunnel 打开成功
【实际结果】
添加失败,打开失败
输入图片说明

评论 (3)

baizhilaoda 创建了缺陷
baizhilaoda 负责人设置为ultra_planet
baizhilaoda 关联分支设置为openEuler-20.03-LTS-SP1
baizhilaoda 计划开始日期设置为2020-12-04
baizhilaoda 计划截止日期设置为2020-12-08
baizhilaoda 置顶等级设置为
baizhilaoda 优先级设置为主要
baizhilaoda 关联仓库设置为src-openEuler/libreswan
ultra_planet 负责人ultra_planet 修改为small_leek
展开全部操作日志

crypto-policies升级到20200619版本后,为libreswan提供的加密协议配置文件不匹配当前版本libreswan,导致vpn连接失败
在不修改crypto-policies加密策略前提下,升级libreswan到4.1版本以支持新加密协议,并根据社区issue修改ipsec.conf配置修复ipsec服务启动失败 https://github.com/libreswan/libreswan/issues/380

连接vpn的步骤,有部分命令需要添加--nssdir /etc/ipsec.d/,vpn配置文件文件中添加一行auto=add,步骤如下:
防火墙添加ipsec服务:
firewall-cmd --add-service=""ipsec""
firewall-cmd --runtime-to-permanent
1、初始化NSS数据库:ipsec initnss --nssdir /etc/ipsec.d/
2、左右端都生成RSA密钥:ipsec newhostkey --nssdir /etc/ipsec.d/
3、查看RSA密钥(左端使用--left,右端使用--right):ipsec showhostkey --left --ckaid CKAID --nssdir /etc/ipsec.d/
4、左右端创建同样配置文件:echo -e ""conn mytunnel\n leftid=@west\n left=左端ip\n leftrsasigkey=leftrsa\nrightid=@east\nright=右端ip\nrightrsasigkey={right_rsa}\n authby=rsasig\nauto=add"" >/etc/ipsec.d/my_host-to-host.conf
5、启动ipsec服务:systemctl start ipsec
6、添加vpn连接:ipsec auto --add mytunnel
7、启动vpn连接:ipsec auto --up mytunnel

small_leek 任务状态待办的 修改为已完成
small_leek 置顶等级 修改为不置顶
baizhilaoda 任务状态已完成 修改为已验收

登录 后才可以发表评论

状态
负责人
项目
里程碑
Pull Requests
关联的 Pull Requests 被合并后可能会关闭此 issue
分支
开始日期   -   截止日期
-
置顶选项
优先级
预计工期 (小时)
参与者(2)
1
https://gitee.com/src-openeuler/libreswan.git
git@gitee.com:src-openeuler/libreswan.git
src-openeuler
libreswan
libreswan

搜索帮助