Question

我正在使用Libreswan在VM之间创建IPSec隧道。我正在使用证书进行身份验证（用于IPSec的第1阶段）。但是，IKE隧道尚未建立，并且身份验证失败。

我一直在尝试使用证书在两个本地VM（安装在Mac上）之间建立IPSec连接。我遵循了此链接（https://libreswan.org/wiki/HOWTO:_Using_NSS_with_libreswan#Configuring_certificates_in_ipsec.conf_and_ipsec.secrets）

中提到的步骤。

我在一台计算机上创建了一个证书颁发机构，并创建了一个使用此CA签名的用户证书。

certutil -S -k rsa -n "MyCA" -s "CN=localhost.localdomain" -v 12  -t "CT,C,C" -x -d sql:/etc/ipsec.d

certutil -S -k rsa -c "MyCA" -n "user1" -s "CN=localhost.localdomain"  -v 12 -t "u,u,u" -d sql:/etc/ipsec.d'

要将CA加载到另一台计算机上，我使用导出了CA

pk12util -o CACert.p12 -n MyCA -d sql:/etc/ipsec.d

将此CACert.p12文件复制到另一台计算机。将其导入NSS DB。

 ipsec import CACert.p12

certutil -M -n MyCA -t "CT,," -d sql:/etc/ipsec.d

创建了另一个由同一CA签名的用户证书

certutil -S -k rsa -c "MyCA" -n "user2" -s "CN=localhost.localdomain"  -v 12 -t "u,u,u" -d sql:/etc/ipsec.d

这是隧道的配置参数。

Machine 1:
 conn mytunnel24 
    type=transport 
    left=192.168.244.132 
    leftrsasigkey=%cert
    leftcert=user1 
    right=192.168.244.130 
    rightrsasigkey=%cert 
    # load and initiate automatically auto=start

Machine 2:
conn mytunnel24
     type=transport 
    left=192.168.244.130
     leftrsasigkey=%cert
     leftcert=user2 
    right=192.168.244.132
     rightrsasigkey=%cert 
    # load and initiate automatically
     auto=start

我还尝试使用FQDNS来确定隧道的leftid和rightid。我遇到了同样的错误。

以下是错误：-

002 "mytunnel24" #5: initiating v2 parent SA 
133 "mytunnel24" #5: initiate 
133 "mytunnel24" #5: STATE_PARENT_I1: sent v2I1, expected v2R1 
002 | constructed local ESP/AH proposals for mytunnel24 (IKE SA initiator emitting ESP/AH proposals): 1:ESP:ENCR=AES_GCM_C_256;INTEG=NONE;DH=NONE;ESN=DISABLED 2:ESP:ENCR=CHACHA20_POLY1305;INTEG=NONE;DH=NONE;ESN=DISABLED 3:ESP:ENCR=AES_CBC_256;INTEG=HMAC_SHA2_512_256,HMAC_SHA1_96,HMAC_SHA2_256_128;DH=NONE;ESN=DISABLED 4:ESP:ENCR=AES_GCM_C_128;INTEG=NONE;DH=NONE;ESN=DISABLED 5:ESP:ENCR=AES_CBC_128;INTEG=HMAC_SHA1_96,HMAC_SHA2_256_128;DH=NONE;ESN=DISABLED 
134 "mytunnel24" #6: STATE_PARENT_I2: sent v2I2, expected v2R2 {auth=IKEv2 cipher=AES_GCM_16_256 integ=n/a prf=HMAC_SHA2_512 group=DH19} 
002 "mytunnel24" #6: IKE SA authentication request rejected: AUTHENTICATION_FAILED 000 "mytunnel24" #6: scheduling retry attempt 1 of an unlimited number, but releasing whack

在Libreswan（Ipsec隧道）中使用证书时，IKE身份验证失败

0 个答案: