2

我正在使用 Libreswan 在 VM 之间创建 IPSec 隧道。我正在使用证书进行身份验证（对于 IPSec 的第 1 阶段）。但是 IKE 隧道未建立，身份验证失败。

我一直在尝试使用证书在两个本地 VM（安装在我的 Mac 上）之间建立 IPSec 连接。我按照此链接中提到的步骤（https://libreswan.org/wiki/HOWTO:_Using_NSS_with_libreswan#Configuring_certificates_in_ipsec.conf_and_ipsec.secrets）

我在其中一台机器上创建了一个证书颁发机构，并创建了一个用这个 CA 签名的用户证书。

certutil -S -k rsa -n "MyCA" -s "CN=localhost.localdomain" -v 12 
-t "CT,C,C" -x -d sql:/etc/ipsec.d

certutil -S -k rsa -c "MyCA" -n "user1" -s "CN=localhost.localdomain" 
-v 12 -t "u,u,u" -d sql:/etc/ipsec.d'

要将 CA 加载到另一台机器上，我使用

pk12util -o CACert.p12 -n MyCA -d sql:/etc/ipsec.d

将此 CACert.p12 文件复制到另一台计算机。将其导入 NSS DB。


ipsec import CACert.p12


<code>certutil -M -n MyCA -t "CT,," -d sql:/etc/ipsec.d

创建了由同一 CA 签名的另一个用户证书

certutil -S -k rsa -c "MyCA" -n "user2" -s "CN=localhost.localdomain" 
-v 12 -t "u,u,u" -d sql:/etc/ipsec.d

这里是隧道的配置参数。

Machine 1:

conn mytunnel24

    type=transport

    left=192.168.244.132

    leftrsasigkey=%cert
    leftcert=user1

    right=192.168.244.130

    rightrsasigkey=%cert

    # load and initiate automatically
auto=start

Machine 2:
conn mytunnel24
    
type=transport

    left=192.168.244.130
    
leftrsasigkey=%cert
    
leftcert=user2

    right=192.168.244.132
    
rightrsasigkey=%cert

    # load and initiate automatically
    
auto=start

我还尝试将 FQDNS 用于隧道的 leftid 和 rightid。我遇到了同样的错误。

以下是错误：-

002 "mytunnel24" #5: initiating v2 parent SA

133 "mytunnel24" #5: initiate

133 "mytunnel24" #5: STATE_PARENT_I1: sent v2I1, expected v2R1

002 | constructed local ESP/AH proposals for mytunnel24 (IKE SA initiator emitting ESP/AH proposals): 1:ESP:ENCR=AES_GCM_C_256;INTEG=NONE;DH=NONE;ESN=DISABLED 2:ESP:ENCR=CHACHA20_POLY1305;INTEG=NONE;DH=NONE;ESN=DISABLED 3:ESP:ENCR=AES_CBC_256;INTEG=HMAC_SHA2_512_256,HMAC_SHA1_96,HMAC_SHA2_256_128;DH=NONE;ESN=DISABLED 4:ESP:ENCR=AES_GCM_C_128;INTEG=NONE;DH=NONE;ESN=DISABLED 5:ESP:ENCR=AES_CBC_128;INTEG=HMAC_SHA1_96,HMAC_SHA2_256_128;DH=NONE;ESN=DISABLED

134 "mytunnel24" #6: STATE_PARENT_I2: sent v2I2, expected v2R2 {auth=IKEv2 cipher=AES_GCM_16_256 integ=n/a prf=HMAC_SHA2_512 group=DH19}

002 "mytunnel24" #6: IKE SA authentication request rejected: AUTHENTICATION_FAILED
000 "mytunnel24" #6: scheduling retry attempt 1 of an unlimited number, but releasing whack
4

0 回答 0