История страницы

...

На удостоверяющем центре:

1. Подписать сертификат клиента:
   Commandsudo pki --pub --in запрос client1.cert.csr и сохранить подписанный сертификат клиента client1.cert.pem в каталоге /etc/ipsec.d/certs/:
   

   Command
   private/server.key.pem --type rsa \   | sudo pki --issue --lifetime 3650 --cacert /etc/ipsec.d/cacerts/ca.cert.pem --cakey /etc/ipsec.d/private/ca.key.pem \       --dn "CN=<IP-адрес_клиента>" --san "<IP-адрес_клиента>" in client1.cert.csr --type pkcs10 --flag clientAuth  --flag ikeIntermediate --outform pem \   | sudo tee /etc/ipsec.d/certs/client1.cert.pem

2. Скопировать подписанный сертификат клиента /etc/ipsec.d/certs/client1.cert.pem на клиентский узел в домашний каталог пользователя.

...

1. Установить пакеты с strongSwan:
   

   Command
   sudo apt install strongswan libstrongswan-extra-plugins

2. Скопировать из УЦ на клиентский узел:
     - ca.cert.pem (сертификат УЦ) в каталог /etc/ipsec.d/cacerts/;
     - clientclient1.cert.pem (сертификат пользователя) и client.key.pem (закрытый ключ пользователяклиента) в домашний каталог пользователя.
3. Задать настройки strongSwan-клиента в файле /etc/ipsec.conf:
   

   Блок кода

   config setup charondebug= ike 4, cfg 2 conn client type=tunnel auto=start keyexchange=ikev2 keyingtries=%forever ike=aes256-sha1-modp1024! esp=aes256-sha1! dpdaction=restart forceencaps=yes leftauth=pubkey leftcert=<токен_и_закрытый_ключ> # Например: %smartcard0@rutoken:45 # Формат значения <токен_и_закрытый_ключ> описан ниже в разделе "Настройка ... токена ...". leftsendcert=always leftsourceip=%config right=<IP-адрес_сервера> # Например: 10.192.6.108         rightid=<IP-адрес_сервера> # Например: 10.192.6.108         rightauth=pubkey rightsubnet=<виртуальная_сеть__предоставляемая_сервером> # Например: 10.1.1.0/24 # Если указать 0.0.0.0/0, то весь сетевой траффик клиента # будет "заворачиваться" в VPN-соединение (туннель). # Тогда на сервере параметру leftsubnet тоже # необходимо задать значение 0.0.0.0/0.

...