Rozdíly

Zde můžete vidět rozdíly mezi vybranou verzí a aktuální verzí dané stránky.

--- ipsec [2018/02/28 18:12] – [IKEv2] djbuldog
+++ ipsec [2025/08/28 10:09] (aktuální) – upraveno mimo DokuWiki 127.0.0.1
@@ Řádek 107: / Řádek 107: @@
   * nainstalovat balíček strongswan (nevyžaduje žádné speciální kernel moduly)
+==== Verze od 5.2.0 ====
+  * zavádí **[[https://wiki.strongswan.org/projects/strongswan/wiki/swanctl|swanctl]]** - nástroj na konfiguraci, ovládání a monitorování IKE daemonu místo ipsec skriptů
+  * konfigurace se provádí přes soubor **swanctl.conf**, který nahrazuje ipsec.conf a ipsec.secure
+  * klíče, certifikáty a CA se vkládají do podadresářů ve složce /etc/strongswan/swanctl/
+  * stále lze používat starší konfigurační soubory i binárky popsané u předchozí verze, dokonce současně s novými (některé spojení starým způsobem, některé novým)
+  * služba se spouští pořád stejně přes
+    * přes systemd (systemctl start/stop strongswan)
+    * přímo zavoláním binárky strongswan start (na Debian ipsec start)
+  * místo left/right se v konciguraci používá local/remote
+  * po změně konfigurace je nejprve potřeba zavolat načtení ''swanctl %%--%%load-all''
+  * IPSec spojení (child-SA) lze ručně zapnout/vypnout příkazy
+    * ''%%--%%help'' nejdřív vypíše subcommands a pro jejich popis je potřeba zavolat znovu (například ''%%--%%initiate %%--%%help'')
+    * narozdíl od starší verze jsou child-SA pojmenované a každý lze spustit jen jednou
+<code>
+swanctl --initiate --child <name> [--ike <name>] [--timeout <s>] [--raw|--pretty]
+swanctl --terminate --child <name> | --ike <name | --child-id <id> | --ike-id <id> [--timeout <s>] [--raw|--pretty]
+</code>
+  * definovaná spojení (SA) se vypíšou příkazem ''swanctl %%--%%list-con'' (nahrazuje ''strongswan statusall'')
+  * aktivní SA se zjišťují příkazem ''swanctl %%--%%list-sas'' (nahrazuje ''strongswan status'')
+  * aktivutu SA lze sledovat přes ''swanctl %%--%%log'' nebo ''swanctl %%--%%monitor-sa''
 ==== Verze před 5.2.0 ====
@@ Řádek 127: / Řádek 154: @@
   * IPSec spojení lze ručně zapnout/vypnout příkazem ''strongswan up/down <název_conn>''
+    * pozor: pokud se příkaz ''up'' zavolá víckrát, vytvoří se zbytečně více child-SA
   * Informace o definovaných a navázaných spojení se zobrazí příkazem ''strongswan statusall''
-==== Verze od 5.2.0 ====
 ==== Příklad IPsec serveru pro Windows 7 ====
   * podle [[https://raymii.org/s/tutorials/IPSEC_vpn_with_CentOS_7.html|návodu pro CentOS]]
-  * vygenerovat klíče/certifikáty
+  * vygenerovat klíče/certifikáty ([[https://wiki.strongswan.org/projects/strongswan/wiki/SimpleCA|Strongswan simpleCA]])
     * **Self signed root CA** - certifikační autorita pro generování certifikátů (pokud ještě nemáme)
     * **VPN Host key** - používá se k identifikaci serveru u klientů. Musí prý v DN (Distinguished Name) nebo SAN (subject Alternative Name) obsahovat IP adresu nebo doménové jméno stroje. V opačném případě nemusí být akceptován.