StrongSwan - 版の履歴

Kusanaginoturugi: Category:仮想プライベートネットワーク

2024-08-14T14:08:45Z

← 古い版		2024年8月14日 (水) 23:08時点における版
1行目:		1行目:
	{{Lowercase title}}		{{Lowercase title}}
	[[Category:~~Virtual Private Network~~]]		[[Category:仮想プライベートネットワーク]]
	[[en:StrongSwan]]		[[en:StrongSwan]]
	[[zh-hans:StrongSwan]]		[[zh-hans:StrongSwan]]

Kgx: トラブルシューティングを翻訳して追加

2023-06-12T18:20:57Z

トラブルシューティングを翻訳して追加

@@ 259行目: / 259行目: @@
 ExecStart=/usr/bin/systemd-nspawn --quiet --keep-unit --boot --link-journal=try-guest --settings=override --machine=%I --capability=CAP_NET_ADMIN --network-veth
 </nowiki>}}
 == 参照 ==
 * [https://www.zeitgeist.se/2013/11/22/strongswan-howto-create-your-own-vpn/ strongSwan 5: How to create your own VPN] — The source used to write the initial revision of this article, with permission from the original author.

Kgx: 同期

2023-06-12T18:11:13Z

同期

← 古い版		2023年6月13日 (火) 03:11時点における版
245行目:		245行目:

	最後に、{{ic\|strongswan}} サービスを[[起動]]・[[有効化]]してください。		最後に、{{ic\|strongswan}} サービスを[[起動]]・[[有効化]]してください。

			== 起動 ==

			最後に、{{ic\|strongswan-starter.service}} を [[起動]] および [[有効化]] します。

	=== Strongswan をコンテナで実行 ===		=== Strongswan をコンテナで実行 ===

	[[systemd-nspawn]] などのコンテナで {{ic\|strongswan}} を実行するには、以下のサービスファイルが必要です:		[[systemd-nspawn]] などのコンテナで {{ic\|strongswan}} を実行するには、以下のサービスファイルが必要です:

Kgx: /* シークレット */ 情報を更新

2023-06-12T18:08:46Z

シークレット: 情報を更新

← 古い版		2023年6月13日 (火) 03:08時点における版
207行目:		207行目:
	== シークレット ==		== シークレット ==

	~~strongSwan に VPN へ~~の~~接続を許可する~~ク~~ライアン~~ト~~を教える必要があります。~~{{ic\|/etc/ipsec.secrets}} ~~ファイル~~で~~以下のように~~設定~~してください:~~		サーバーのシークレットキーは、次の例のように {{ic\|/etc/ipsec.secrets}} で設定する必要があります。

	{{hc\|/etc/ipsec.secrets\|~~<nowiki># This file holds shared secrets or RSA private keys for authentication.~~		{{hc\|/etc/ipsec.secrets\|
		⚫	# RSA private key for this host
		⚫	: RSA vpnHostKey.pem
			}}

		⚫	StrongSwan の実行中に {{ic\|/etc/ipsec.secrets}} を編集するときは常に、次のことを行う必要があります。
⚫	# RSA private key for this ~~host, authenticating it to any other~~ host
			ファイルをリロードします:
	# which knows the public part. Suitable public keys, for ipsec.conf, DNS,
	# or configuration of other implementations, can be extracted conveniently
	# with "ipsec showhostkey".

⚫	: RSA ~~ClientKey~~.pem
	user1 : EAP "topsecretpassword"
	user2 : XAUTH "evenmoretopsecretpassword"
	</nowiki>}}

⚫	~~strongSwan~~ の実行中に {{ic\|/etc/ipsec.secrets}} を編集~~した場合、ファイルをリロード~~する必要があります:

	$ ipsec rereadsecrets		$ ipsec rereadsecrets

Kgx: /* VPN */ トランスポートモードの IPSecを翻訳して追加

2023-06-12T18:07:11Z

VPN: トランスポートモードの IPSecを翻訳して追加

← 古い版		2023年6月13日 (火) 03:07時点における版
196行目:		196行目:
	auto=add		auto=add
	</nowiki>}}		</nowiki>}}

			=== トランスポートモードの IPSec ===

			トンネルモードと比較すると、トランスポートモードでは、その観点からは元の IP ヘッダーが暗号化されません。これは、IPSec がパケットを取得する前に、トンネル経由で転送される元のパケットが他の何か (つまり GRE) ですでにカプセル化されている場合に便利です。IPSec の観点から見ると、オリジナルであると思われる IP ヘッダーは、実際にはトンネリング用にすでに設定されている IP ヘッダーであり、実際にオリジナルの IP ヘッダーであるものを、カプセル化されたパケットペイロードの一部として認識せずに暗号化します。

	=== IPSec/L2TP ===		=== IPSec/L2TP ===

Kgx: /* クライアント証明書 */ 情報を更新

2023-06-12T18:04:42Z

クライアント証明書: 情報を更新

← 古い版		2023年6月13日 (火) 03:04時点における版
108行目:		108行目:

	$ cd /etc/ipsec.d/		$ cd /etc/ipsec.d/
	$ ipsec pki --gen --type rsa --size 2048 \		$ ipsec pki --gen --type rsa --size 2048 --outform pem > private/ClientKey.pem
	--outform pem \
⚫	> private/ClientKey.pem
	$ chmod 600 private/ClientKey.pem		$ chmod 600 private/ClientKey.pem
	$ ipsec pki --pub --in private/ClientKey.pem --type rsa \| \		$ ipsec pki --pub --in private/ClientKey.pem --type rsa \| \
	ipsec pki --issue --lifetime 730 \		ipsec pki --issue --lifetime 730 --outform pem \
	--cacert cacerts/strongswanCert.pem \		--cacert cacerts/strongswanCert.pem \
	--cakey private/strongswanKey.pem \		--cakey private/strongswanKey.pem \
	--dn "C=CH, O=strongSwan, CN=myself@example.com" \		--dn "C=CH, O=strongSwan, CN=myself@example.com" \
	--san myself@example.com \		--san myself@example.com \
	~~--outform~~ ~~pem~~ > certs/ClientCert.pem		> certs/ClientCert.pem
⚫	$ openssl pkcs12 -export -~~inkey~~ ~~private/ClientKey.pem~~ \
	-in certs/ClientCert.pem -name "My own VPN client certificate" \
⚫	-certfile cacerts/strongswanCert.pem \
⚫	-caname "strongSwan Root CA" \
⚫	-out Client.p12

	2048ビットの RSA 秘密鍵 {{ic\|ClientKey.pem}} (4行目) が作成されます。6行目では公開鍵を抽出してパイプで渡し、クライアント証明書 {{ic\|ClientCert.pem}} (12行目) を発行して CA で署名しています。証明書の有効期限は2年 (730日) で、メールアドレスによってクライアントは識別されます (例: {{ic\|myself@example.com}})。最後のコマンドは必要な証明書と鍵を全て PKCS#12 ファイルに詰め込んでいます。クライアントが使用するときに便利なフォーマットです。		2048ビットの RSA 秘密鍵 {{ic\|ClientKey.pem}} (4行目) が作成されます。6行目では公開鍵を抽出してパイプで渡し、クライアント証明書 {{ic\|ClientCert.pem}} (12行目) を発行して CA で署名しています。証明書の有効期限は2年 (730日) で、メールアドレスによってクライアントは識別されます (例: {{ic\|myself@example.com}})。最後のコマンドは必要な証明書と鍵を全て PKCS#12 ファイルに詰め込んでいます。クライアントが使用するときに便利なフォーマットです。

			最後に、必要なすべての証明書とキーをパスフレーズを含む PKCS#12 ファイルにバンドルします。これはクライアントにとって最も便利な形式です。

		⚫	$ openssl pkcs12 -export -name "My own VPN client certificate" \
		⚫	-inkey private/ClientKey.pem \
			-in certs/ClientCert.pem \
		⚫	-certfile cacerts/strongswanCert.pem \
		⚫	-caname "strongSwan Root CA" \
		⚫	-out Client.p12

	== VPN ==		== VPN ==

Kgx: /* ホスト証明書 */ 翻訳

2023-06-12T18:02:45Z

ホスト証明書: 翻訳

← 古い版		2023年6月13日 (火) 03:02時点における版
66行目:		66行目:

	$ cd /etc/ipsec.d/		$ cd /etc/ipsec.d/
	$ ipsec pki --gen --type rsa --size 2048 \		$ ipsec pki --gen --type rsa --size 2048 --outform pem > private/vpnHostKey.pem
	--outform pem \
	> private/vpnHostKey.pem
	$ chmod 600 private/vpnHostKey.pem		$ chmod 600 private/vpnHostKey.pem
	$ ipsec pki --pub --in private/vpnHostKey.pem --type rsa \| \		$ ipsec pki --pub --in private/vpnHostKey.pem --type rsa \| \
	ipsec pki --issue --lifetime 730 \		ipsec pki --issue --lifetime 730 --outform pem \
	--cacert cacerts/strongswanCert.pem \		--cacert cacerts/strongswanCert.pem \
	--cakey private/strongswanKey.pem \		--cakey private/strongswanKey.pem \
	--dn "C=CH, O=strongSwan, CN=vpn.example.com" \		--dn "C=CH, O=strongSwan, CN='''vpn.example.com'''" \
	--san vpn.example.com \		--san '''vpn.example.com''' \
	--flag serverAuth --flag ikeIntermediate \		--flag serverAuth --flag ikeIntermediate \
	~~--outform~~ ~~pem~~ > certs/vpnHostCert.pem		> certs/vpnHostCert.pem

	2048ビットの RSA 秘密鍵 {{ic\|vpnHostKey.pem}} (4行目) が作成されます。6行目では公開鍵を抽出してパイプで渡し {{ic\|vpnHostCert.pem}} (13行目) を発行してホスト証明書を CA で署名しています。証明書の有効年数は2年 (730日) です。VPN ホストは完全修飾ドメイン名 (FQDN) で識別します (例: {{ic\|vpn.example.com}})。		2048ビットの RSA 秘密鍵 {{ic\|vpnHostKey.pem}} (4行目) が作成されます。6行目では公開鍵を抽出してパイプで渡し {{ic\|vpnHostCert.pem}} (13行目) を発行してホスト証明書を CA で署名しています。証明書の有効年数は2年 (730日) です。VPN ホストは完全修飾ドメイン名 (FQDN) で識別します (例: {{ic\|vpn.example.com}})

			{{Warning\|後でクライアントの接続プロパティに入力する VPN サーバーのドメイン名または IP アドレスは、サブジェクトの識別名 ({{ic\|1=CN=}}) および/またはサブジェクトの代替名のいずれかに含まれている必要があります。({{ic\|--san}}) ただし、両方であることが望ましいです。両方とも {{ic\|'''vpn.example.com'''}} を VPN のホスト名に置き換えてください。そうしないと、クライアントとサーバー間の接続が失敗します。}}
	{{Warning\|The domain name or IP address of your VPN server, which is later entered in the client's connection properties, MUST be contained either in the subject Distinguished Name (here in CN, line 10) and/or in a subject Alternative Name (line11), but preferably in both. Make sure both times to replace vpn.example.com with your VPN's hostname – or else the connection between client and server will fail!}}

	{{Note\|Windows 7 に同梱されている VPN クライアントを使用する場合は、上のコマンドにあるようにホスト証明書に {{ic\|serverAuth}} 拡張鍵使用フラグを追加してください。追加しないとクライアントが接続を拒否します。さらに、OS X 10.7.3 以下では {{ic\|ikeIntermediate}} フラグが必須です。フラグを追加することで何か問題が発生したりはしないので、毎回追加するべきです。}}		{{Note\|Windows 7 に同梱されている VPN クライアントを使用する場合は、上のコマンドにあるようにホスト証明書に {{ic\|serverAuth}} 拡張鍵使用フラグを追加してください。追加しないとクライアントが接続を拒否します。さらに、OS X 10.7.3 以下では {{ic\|ikeIntermediate}} フラグが必須です。フラグを追加することで何か問題が発生したりはしないので、毎回追加するべきです。}}

Kusakata.bot: Pkg/AUR テンプレートの更新

2017-10-07T13:45:13Z

Pkg/AUR テンプレートの更新

← 古い版		2017年10月7日 (土) 22:45時点における版
15行目:		15行目:
	== インストール ==		== インストール ==

	{{~~AUR~~\|strongswan}} パッケージをインストールしてください。		{{Pkg\|strongswan}} パッケージをインストールしてください。

	== 証明書 ==		== 証明書 ==

Kusakata.bot: 文字列「[[zh-cn:」を「[[zh-hans:」に置換

2017-02-09T12:10:33Z

文字列「[[zh-cn:」を「[[zh-hans:」に置換

← 古い版		2017年2月9日 (木) 21:10時点における版
2行目:		2行目:
	[[Category:Virtual Private Network]]		[[Category:Virtual Private Network]]
	[[en:StrongSwan]]		[[en:StrongSwan]]
	[[zh-cn:StrongSwan]]		[[zh-hans:StrongSwan]]
	{{Related articles start}}		{{Related articles start}}
	{{Related\|Openswan L2TP/IPsec VPN クライアント設定}}		{{Related\|Openswan L2TP/IPsec VPN クライアント設定}}

Kusakata: ページの作成:「{{Lowercase title}} Category:Virtual Private Network en:StrongSwan zh-cn:StrongSwan {{Related articles start}} {{Related|Openswan L2TP/IPsec VPN クライア...」

2016-09-23T09:21:22Z

ページの作成:「{{Lowercase title}} Category:Virtual Private Network en:StrongSwan zh-cn:StrongSwan {{Related articles start}} {{Related|Openswan L2TP/IPsec VPN クライア...」

新規ページ

{{Lowercase title}}
[[Category:Virtual Private Network]]
[[en:StrongSwan]]
[[zh-cn:StrongSwan]]
{{Related articles start}}
{{Related|Openswan L2TP/IPsec VPN クライアント設定}}
{{Related articles end}}

IPSec はセキュアな仮想プライベートネットワーク (VPN) を作成するための暗号化・認証標準です。

Linux カーネルによってネイティブにサポートされていますが、暗号鍵の設定はユーザーが行う必要があります。IPSec VPN では、証明書や事前共有鍵、あるいはその両方を使って自動的に鍵の交換を行うために [[wikipedia:Internet_Key_Exchange|IKE]] プロトコルが使われます。

IKE プロトコルは通常、サーバー側のユーザースペースデーモンで実装されます。[https://strongswan.org/ strongSwan] は IKEv1 と IKEv2 を完全にサポートしている IKE デーモンです。Linux, Windows 7, Apple iOS, Mac OSX, FreeBSD, BlackBerry OS など多数のクライアントがネイティブでサポートしています。

== インストール ==

{{AUR|strongswan}} パッケージをインストールしてください。

== 証明書 ==

まずは X.509 証明書を生成します。認証局 (CA)、サーバー証明書、(最低でもひとつの) クライアント証明書が必要です。

=== 認証局 ===

自己署名ルート CA 証明書を作成:

$ cd /etc/ipsec.d/
$ ipsec pki --gen --type rsa --size 4096 \
--outform pem \
> private/strongswanKey.pem
$ chmod 600 private/strongswanKey.pem
$ ipsec pki --self --ca --lifetime 3650 \
--in private/strongswanKey.pem --type rsa \
--dn "C=CH, O=strongSwan, CN=strongSwan Root CA" \
--outform pem \
> cacerts/strongswanCert.pem

4096ビットの RSA 秘密鍵 {{ic|strongswanKey.pem}} (4行目) と10年間 (3650日間) 有効な自己署名 CA 証明書 {{ic|strongswanCert.pem}} (10行目) が作成されます。ファイルは PEM 形式で保存されます。

識別名 (DN) の国 (C), 組織 (O), 一般名 (CN) は適当な値に変更できますが必須ではありません。

新しく生成された証明書のプロパティを確認するには、次のコマンドを実行:

$ ipsec pki --print --in cacerts/strongswanCert.pem

出力:

cert: X509
subject: "C=CH, O=strongSwan, CN=strongSwan Root CA"
issuer: "C=CH, O=strongSwan, CN=strongSwan Root CA"
validity: not before Nov 22 11:55:41 2013, ok
not after Nov 20 11:55:41 2023, ok (expires in 3649 days)
serial: 65:39:93:df:a0:f8:40:03
flags: CA CRLSign self-signed
authkeyId: 45:30:11:da:a4:0e:0b:0a:a3:41:a5:81:41:ab:d8:04:7a:40:6c:c0
subjkeyId: 45:30:11:da:a4:0e:0b:0a:a3:41:a5:81:41:ab:d8:04:7a:40:6c:c0
pubkey: RSA 4096 bits
keyid: dc:15:91:95:04:07:a5:13:69:5f:77:65:26:d7:02:3f:60:ec:73:c8
subjkey: 45:30:11:da:a4:0e:0b:0a:a3:41:a5:81:41:ab:d8:04:7a:40:6c:c0

{{Warning|CA の秘密鍵 {{ic|/etc/ipsec.d/private/strongswanKey.pem}} はどこかインターネットからアクセスされない安全な場所に移動すると良いでしょう。マスター署名鍵が盗まれた場合、公開鍵基盤は完全に瓦解します。}}

=== ホスト証明書 ===

VPN サーバーの認証に使用する証明書です。以下のコマンドを実行してください:

$ cd /etc/ipsec.d/
$ ipsec pki --gen --type rsa --size 2048 \
--outform pem \
> private/vpnHostKey.pem
$ chmod 600 private/vpnHostKey.pem
$ ipsec pki --pub --in private/vpnHostKey.pem --type rsa | \
ipsec pki --issue --lifetime 730 \
--cacert cacerts/strongswanCert.pem \
--cakey private/strongswanKey.pem \
--dn "C=CH, O=strongSwan, CN=vpn.example.com" \
--san vpn.example.com \
--flag serverAuth --flag ikeIntermediate \
--outform pem > certs/vpnHostCert.pem

2048ビットの RSA 秘密鍵 {{ic|vpnHostKey.pem}} (4行目) が作成されます。6行目では公開鍵を抽出してパイプで渡し {{ic|vpnHostCert.pem}} (13行目) を発行してホスト証明書を CA で署名しています。証明書の有効年数は2年 (730日) です。VPN ホストは完全修飾ドメイン名 (FQDN) で識別します (例: {{ic|vpn.example.com}})。

{{Warning|The domain name or IP address of your VPN server, which is later entered in the client's connection properties, MUST be contained either in the subject Distinguished Name (here in CN, line 10) and/or in a subject Alternative Name (line11), but preferably in both. Make sure both times to replace vpn.example.com with your VPN's hostname – or else the connection between client and server will fail!}}

{{Note|Windows 7 に同梱されている VPN クライアントを使用する場合は、上のコマンドにあるようにホスト証明書に {{ic|serverAuth}} 拡張鍵使用フラグを追加してください。追加しないとクライアントが接続を拒否します。さらに、OS X 10.7.3 以下では {{ic|ikeIntermediate}} フラグが必須です。フラグを追加することで何か問題が発生したりはしないので、毎回追加するべきです。}}

新しく生成された証明書のプロパティを確認するには、次のコマンドを実行:

$ ipsec pki --print --in certs/vpnHostCert.pem

出力:

cert: X509
subject: "C=CH, O=strongSwan, CN=vpn.example.com"
issuer: "C=CH, O=strongSwan, CN=strongSwan Root CA"
validity: not before Nov 22 21:16:51 2013, ok
not after Nov 22 21:16:51 2015, ok (expires in 729 days)
serial: 0c:05:d7:d5:57:0e:d9:48
altNames: vpn.zeitgeist.se
flags: serverAuth iKEIntermediate
authkeyId: 9b:57:35:fb:cd:9e:2d:20:37:1d:61:4c:e7:c4:5b:5e:dc:64:ad:fc
subjkeyId: 5f:12:c2:06:ee:2b:1e:cc:5f:78:54:ff:f0:f3:7b:a0:2b:c0:b4:d6
pubkey: RSA 2048 bits
keyid: 6f:a7:99:60:27:27:09:96:02:c1:b9:d9:7d:c1:b0:10:e3:e1:d5:45
subjkey: 5f:12:c2:06:ee:2b:1e:cc:5f:78:54:ff:f0:f3:7b:a0:2b:c0:b4:d6

=== クライアント証明書 ===

クライアントが VPN を使用するには個人証明書が必要になります。ホスト証明書の生成とほとんど同じですが、ホストネームではなくクライアントのメールアドレスを使ってクライアント証明書を識別するところだけ違います。

$ cd /etc/ipsec.d/
$ ipsec pki --gen --type rsa --size 2048 \
--outform pem \
> private/ClientKey.pem
$ chmod 600 private/ClientKey.pem
$ ipsec pki --pub --in private/ClientKey.pem --type rsa | \
ipsec pki --issue --lifetime 730 \
--cacert cacerts/strongswanCert.pem \
--cakey private/strongswanKey.pem \
--dn "C=CH, O=strongSwan, CN=myself@example.com" \
--san myself@example.com \
--outform pem > certs/ClientCert.pem
$ openssl pkcs12 -export -inkey private/ClientKey.pem \
-in certs/ClientCert.pem -name "My own VPN client certificate" \
-certfile cacerts/strongswanCert.pem \
-caname "strongSwan Root CA" \
-out Client.p12

2048ビットの RSA 秘密鍵 {{ic|ClientKey.pem}} (4行目) が作成されます。6行目では公開鍵を抽出してパイプで渡し、クライアント証明書 {{ic|ClientCert.pem}} (12行目) を発行して CA で署名しています。証明書の有効期限は2年 (730日) で、メールアドレスによってクライアントは識別されます (例: {{ic|myself@example.com}})。最後のコマンドは必要な証明書と鍵を全て PKCS#12 ファイルに詰め込んでいます。クライアントが使用するときに便利なフォーマットです。

== VPN ==

IPSec をトンネルモードで使うのが一番簡単な設定です。

=== トンネルモードの IPSec ===

VPN の設定は {{ic|/etc/ipsec.conf}} にあります。以下はベーシックな VPN サーバーを作るために必要なオプションです:

{{hc|/etc/ipsec.conf|<nowiki># ipsec.conf - strongSwan IPsec configuration file
config setup

# By default only one client can connect at the same time with an identical
# certificate and/or password combination. Enable this option to disable
# this behavior.
# uniqueids=never

# Slightly more verbose logging. Very useful for debugging.
charondebug="cfg 2, dmn 2, ike 2, net 2"

# Default configuration options, used below if an option is not specified.
# See: https://wiki.strongswan.org/projects/strongswan/wiki/ConnSection
conn %default

# Use IKEv2 by default
keyexchange=ikev2

# Prefer modern cipher suites that allow PFS (Perfect Forward Secrecy)
ike=aes128-sha256-ecp256,aes256-sha384-ecp384,aes128-sha256-modp2048,aes128-sha1-modp2048,aes256-sha384-modp4096,aes256-sha256-modp4096,aes256-sha1-modp4096,aes128-sha256-modp1536,aes128-sha1-modp1536,aes256-sha384-modp2048,aes256-sha256-modp2048,aes256-sha1-modp2048,aes128-sha256-modp1024,aes128-sha1-modp1024,aes256-sha384-modp1536,aes256-sha256-modp1536,aes256-sha1-modp1536,aes256-sha384-modp1024,aes256-sha256-modp1024,aes256-sha1-modp1024!
esp=aes128gcm16-ecp256,aes256gcm16-ecp384,aes128-sha256-ecp256,aes256-sha384-ecp384,aes128-sha256-modp2048,aes128-sha1-modp2048,aes256-sha384-modp4096,aes256-sha256-modp4096,aes256-sha1-modp4096,aes128-sha256-modp1536,aes128-sha1-modp1536,aes256-sha384-modp2048,aes256-sha256-modp2048,aes256-sha1-modp2048,aes128-sha256-modp1024,aes128-sha1-modp1024,aes256-sha384-modp1536,aes256-sha256-modp1536,aes256-sha1-modp1536,aes256-sha384-modp1024,aes256-sha256-modp1024,aes256-sha1-modp1024,aes128gcm16,aes256gcm16,aes128-sha256,aes128-sha1,aes256-sha384,aes256-sha256,aes256-sha1!

# Dead Peer Discovery
dpdaction=clear
dpddelay=300s

# Do not renegotiate a connection if it is about to expire
rekey=no

# Server side
left=%any
leftsubnet=0.0.0.0/0
leftcert=vpnHostCert.pem

# Client side
right=%any
rightdns=8.8.8.8,8.8.4.4
rightsourceip=%dhcp

# IKEv2: Newer version of the IKE protocol
conn IPSec-IKEv2
keyexchange=ikev2
auto=add

# IKEv2-EAP
conn IPSec-IKEv2-EAP
also="IPSec-IKEv2"
rightauth=eap-mschapv2
rightsendcert=never
eap_identity=%any

# IKEv1 (Cisco-compatible version)
conn CiscoIPSec
keyexchange=ikev1
# forceencaps=yes
rightauth=pubkey
rightauth2=xauth
auto=add
</nowiki>}}

=== IPSec/L2TP ===

[[L2TP/IPsec VPN クライアント設定]]のページには IPSec/L2TP サーバーに接続するクライアントの設定方法が書かれています。追加の L2TP デーモンを実行する必要がありますが、純粋な IPSec と比べて、IP 以外のパケットをトンネルできるという利点があります。

== シークレット ==

strongSwan に VPN への接続を許可するクライアントを教える必要があります。{{ic|/etc/ipsec.secrets}} ファイルで以下のように設定してください:

{{hc|/etc/ipsec.secrets|<nowiki># This file holds shared secrets or RSA private keys for authentication.

# RSA private key for this host, authenticating it to any other host
# which knows the public part. Suitable public keys, for ipsec.conf, DNS,
# or configuration of other implementations, can be extracted conveniently
# with "ipsec showhostkey".

: RSA ClientKey.pem
user1 : EAP "topsecretpassword"
user2 : XAUTH "evenmoretopsecretpassword"
</nowiki>}}

strongSwan の実行中に {{ic|/etc/ipsec.secrets}} を編集した場合、ファイルをリロードする必要があります:

$ ipsec rereadsecrets

== ネットワーク ==

サーバーの設定はほとんど完了です。後は VPN サーバーで VPN トンネルが正しくルーティングされるようにします:

{{hc|/etc/sysctl.d/10-net-forward.conf|<nowiki>
# VPN
net.ipv4.ip_forward = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
</nowiki>}}

上記の VPN 設定は DHCP を使用してクライアントに IP アドレスを自動的に割り当てるため、DHCP サーバーを動作させる必要があります。サーバーを strongSwan と同じホスト上で動作させる場合、{{ic|/etc/strongswan.d/charon/dhcp.conf}} を以下のように編集してください:

{{hc|/etc/strongswan.d/charon/dhcp.conf|<nowiki>dhcp {
force_server_address = yes
server = 192.168.0.255
}
</nowiki>}}

ファイアウォールで以下のプロトコルの通信を許可する必要があります:

* ESP (Encrypted Secure Payload): 標準の IPSec トラフィック
* UDP 4500: "NAT Traversal" モードの IPSec トラフィック
* UDP 500: 鍵交換 (IKE)

最後に、{{ic|strongswan}} サービスを[[起動]]・[[有効化]]してください。

=== Strongswan をコンテナで実行 ===
[[systemd-nspawn]] などのコンテナで {{ic|strongswan}} を実行するには、以下のサービスファイルが必要です:

{{hc|/etc/systemd/system/systemd-nspawn@.service.d/override.conf}|<nowiki>
[Service]
ExecStart=
ExecStart=/usr/bin/systemd-nspawn --quiet --keep-unit --boot --link-journal=try-guest --settings=override --machine=%I --capability=CAP_NET_ADMIN --network-veth
</nowiki>}}

== 参照 ==

* [https://www.zeitgeist.se/2013/11/22/strongswan-howto-create-your-own-vpn/ strongSwan 5: How to create your own VPN] — The source used to write the initial revision of this article, with permission from the original author.