IKE 公開鍵のデータベースおよびコマンド (IPsec と IKE の管理)

IPsec と IKE の管理

IKE 公開鍵のデータベースおよびコマンド

ikecert(1M) コマンドを実行すると、ローカルホストの公開鍵データベースを操作できます。このコマンドは、ike/config ファイルが公開鍵証明書を要求するときに使用します。IKE ではそれらのデータベースを使用してフェーズ 1 交換を認証するため、in.iked デーモンを起動する前に、それらのデータベースに必要な情報が含まれていなければなりません。3 つのサブコマンド certlocal、certdb、certrldb をそれぞれ実行して、3 つのデータベースを処理します。

`ikecert certlocal` コマンド

certlocal サブコマンドを実行して、/etc/inet/secret/ike.privatekeys ディレクトリにある非公開鍵データベースを管理します。このサブコマンドを選択すると、非公開鍵の追加、表示、および削除を行うことができます。また、自己署名付き証明書または証明書要求のいずれかを作成できます。-ks オプションを選択すると、自己署名付き証明書が作成され、-kc オプションを選択すると、証明書要求が作成されます。

非公開鍵を作成する場合、certlocal サブコマンドには、ike/config ファイルの情報が必要です。certlocal オプションと ike/config エントリの対応を次の表に示します。

表 3–2 ike certlocal の値と ike/config の値の対応表


`certlocal` オプション	`ike/config` エントリ	注
`-A` `対象の代替名`	`cert_trust` `対象代替名`	証明書を一意に識別するニックネーム。指定可能な値は、IP アドレス、電子メールアドレス、およびドメイン名
`-D` `X.509 識別名`	`X.509 識別名`	国、組織名、組織単位、共通名を含む認証局のフルネーム
`-t dsa-sha1`	`auth_method dss_sig`	RSA よりもわずかに遅くなる。特許は登録されていない
`-t rsa-md5` `-t rsa-sha1`	`auth_method rsa_sig`	DSA よりもわずかに速くなる。特許の期限切れは 2000 年 9 月 RSA 公開鍵は、最大ペイロードを暗号化するのに十分な長さが必要。一般的に識別名などの ID ペイロードが最大
`-t rsa-md5` `-t rsa-sha1`	`auth_method rsa_encrypt`	RSA 暗号化により、IKE にある ID が不正侵入者から保護されますが、IKE ピアには互いの公開鍵の認識が要求されます。

ikecert certlocal -kc コマンドを指定して証明書要求を実行する場合、そのコマンドの出力を PKI 機関に送信します。会社が独自の PKI を運営している場合は、出力を PKI 管理者に送信します。機関または PKI 管理者はこれに基づいてキー情報を作成します。ユーザーは、返されたキー情報を certdb と certrldb サブコマンドへの入力として使用します。

`ikecert certdb` コマンド

certdb サブコマンドを実行して、公開鍵データベース /etc/inet/ike/publickeys を管理します。このサブコマンドを選択すると、証明書と公開鍵を追加、表示、および削除できます。また、通信するシステムで ikecert certlocal -ks コマンドを実行して作成された証明書を入力として受け入れます。手順については、自己署名付き公開証明書による IKE の設定方法を参照してください。さらに、PKI または CA から受信する証明書も入力として受け入れます。手順については、認証局による署名付き公開鍵による IKE の設定方法を参照してください。

`ikecert certrldb` コマンド

certrldb サブコマンドを実行して、証明書無効リスト (CRL; Certificate Revocation List) データベース /etc/inet/ike/crls を管理します。crls データベースには、公開鍵の無効リストが保存されています。よって、このリストには、すでに有効でない証明書が明記されます。PKI によって CRL が提供されるときに、ikecert certrldb コマンドを指定して CRL データベースにそれらの CRL を格納します。手順については、証明書無効リストにアクセスする方法を参照してください。

`/etc/inet/ike/publickeys` ディレクトリ

/etc/inet/ike/publickeys ディレクトリには、公開鍵と非公開鍵のペアの公開部分とファイルにあるその証明書、つまり「スロット」が格納されています。 /etc/inet/ike ディレクトリは 0755 で保護されます。ikecert certdb コマンドを使用して、そのディレクトリを読み込みます。

そのファイルには、別のシステムで生成された証明書の X.509 識別名がコード化形式で含まれています。自己署名付き証明書を使用する場合、そのコマンドへの入力として、通信するシステムの管理者から受信する証明書を使用します。PKI からの証明書を使用する場合、PKI から受け取る 2 つのキー情報をこのデータベースに格納します。PKI に送信した情報に基づいた証明書を格納します。また、PKI からの CA も格納します。

`/etc/inet/secret/ike.privatekeys` ディレクトリ

ike.privatekeys ディレクトリには、公開鍵と非公開鍵のペアの一部である非公開鍵ファイル、ISAKMP SA のキー情報が格納されています。このディレクトリは 0700 で保護されています。このデータベースにある非公開鍵は、publickeys データベースの公開鍵とペアにする必要があります。ikecert certlocal コマンドを実行して、コマンドのディレクトリを読み込みます。非公開鍵は、ペアとなる公開鍵、自己署名付き証明書や CA が /etc/inet/ike/publickeys ディレクトリに格納されてから有効になります。

`/etc/inet/ike/crls` ディレクトリ

/etc/inet/ike/crls ディレクトリには証明書無効リスト (CRL) ファイルが含まれています。各ファイルは、/etc/inet/ike/publickeys/ ディレクトリにある公開鍵証明書ファイルに対応しています。PKI 機関により、それらの証明書の CRL が提供されます。ikecert certrldb コマンドを使用して、そのデータベースを読み込みます。