Libreswan

非対称ルーティング

ルートベースまたはポリシーベースのサイト間VPN

Libreswan 3.25の注意事項

CPEデバイスでLibreswan 3.25以前を使用しており、CPEをレスポンダとしてIKEv1接続を設定しようとする場合は、IPSecトンネルが起動されるようにCPE構成でフェーズ2パラメータを明示的に設定する必要があります。たとえば、現在の推奨暗号化アルゴリズムAES-256-gcmおよびPFS group5を使用して、CPEデバイスでフェーズ2パラメータphase2alg="aes_gcm256;modp1536"を構成する必要があります。

この問題は、以降のLibreswanリリースでは発生しません。

デフォルトのLibreswan構成ファイル

デフォルトのLibreswanインストールでは、次のファイルが作成されます:

• etc/ipsec.conf: Libreswan構成のルート。
• /etc/ipsec.secrets: Libreswanがシークレットを検索する場所のルート(トンネルの事前共有キー)。
• /etc/ipsec.d/: Oracle Cloud Infrastructureトンネルの.confファイルと.secretsファイルを格納するディレクトリ(例: oci-ipsec.confおよびoci-ipsec.secrets)。Libreswanでは、このフォルダにこれらのファイルを作成することをお薦めします。

デフォルトのetc/ipsec.confファイルは、次の行を含みます:

include /etc/ipsec.d/*.conf

デフォルトのetc/ipsec.secretsファイルは、次の行を含みます:

include /etc/ipsec.d/*.secrets

前述の行では、/etc/ipsec.dディレクトリのすべての.confおよび.secretsファイルが、Libreswanで使用されるメイン構成およびシークレット・ファイルに自動的にマージされます。

IKEv2の使用について

Oracleは、Internet Key Exchangeバージョン1 (IKEv1)およびバージョン2 (IKEv2)をサポートしています。コンソールでIKEv2を使用するようにIPSec接続を構成する場合、CPEでサポートされているIKEv2および関連するIKEv2暗号化パラメータのみを使用するようにCPEを構成する必要があります。OracleでIKEv1またはIKEv2用にサポートされているパラメータのリストについては、サポートされているIPSecパラメータを参照してください。

次の項のタスク3でIPSec構成ファイルを設定するときに、IKEバージョンを指定します。そのサンプル・ファイルには、IKEv1とIKEv2の構成方法を示すコメントがあります。

構成プロセス

Libreswanでは、ルートベースとポリシーベースの両方のトンネルがサポートされています。トンネル・タイプは、相互に干渉せずに共存できます。Oracle VPNのヘッドエンドでは、ルートベースのトンネルが使用されます。仮想トンネル・インタフェース(VTI)の構成構文を使用してLibreswanを構成することをお薦めします。

このドキュメントで使用される特定のパラメータの詳細は、サポートされているIPSecパラメータを参照してください。

Libreswanステータスの検証

次のコマンドを使用して、Libreswanトンネルの現在の状態を確認します。

ipsec status

次を含む行が表示される場合、トンネルは確立されています:

STATE_MAIN_I4: ISAKMP SA established

IKEv2を使用している場合は、次のように表示されます:

STATE_V2_IPSEC_I (IPsec SA established)

今後、Libreswanトンネルに関してOracleのサポート・チケットをオープンする必要がある場合は、前述のipsec statusコマンドの出力を含めます。

トンネル・インタフェース・ステータスの確認

ifconfigコマンドまたはip link showコマンドを使用して、仮想トンネル・インタフェースがアップまたはダウンしていることを確認します。インタフェースでtcpdumpなどのアプリケーションを使用することもできます。

使用可能なVTIを示す、実行中のLibreswan実装に関するifconfig出力の例を次に示します。

ifconfig
<output trimmed>
				
vti01: flags=209<UP,POINTOPOINT,RUNNING,NOARP> mtu 8980
     inet6 fe80::5efe:a00:2 prefixlen 64 scopeid 0x20<link>
     tunnel txqueuelen 1000 (IPIP Tunnel)
     RX packets 0 bytes 0 (0.0 B)
     RX errors 0 dropped 0 overruns 0 frame 0
     TX packets 0 bytes 0 (0.0 B)
     TX errors 10 dropped 0 overruns 0 carrier 10 collisions 0

vti02: flags=209<UP,POINTOPOINT,RUNNING,NOARP> mtu 8980
     inet6 fe80::5efe:a00:2 prefixlen 64 scopeid 0x20<link>
     tunnel txqueuelen 1000 (IPIP Tunnel)
     RX packets 0 bytes 0 (0.0 B)
     RX errors 0 dropped 0 overruns 0 frame 0
     TX packets 0 bytes 0 (0.0 B)
     TX errors 40 dropped 0 overruns 0 carrier 40 collisions 0

ip link show出力の例を次に示します:

ip link show
<output trimmed>

9: vti01@NONE: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 8980 qdisc noqueue
state UNKNOWN mode DEFAULT group default qlen 1000
   link/ipip 10.0.0.2 peer 129.213.240.52

10: vti02@NONE: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 8980 qdisc noqueue
state UNKNOWN mode DEFAULT group default qlen 1000
   link/ipip 10.0.0.2 peer 129.213.240.51

また、Oracle Consoleでは、各IPSecトンネルが稼働状態になっています。