16.2. 使用 vpn 系统角色创建与 IPsec 的 opportunistic mesh VPN 连接

您可以使用 vpn 系统角色来配置机会主义网格 VPN 连接，该连接通过在控制节点上运行 Ansible playbook 来使用证书进行身份验证，它将配置清单文件中列出的所有受管节点。

通过在 playbook 中定义 auth_method: cert 参数来配置用证书进行身份验证。vpn 系统角色假设 IPsec 网络安全服务(NSS)加密库（在 /etc/ipsec.d 目录中定义）包含必要的证书。默认情况下，节点名称用作证书的昵称。在本例中，这是 managed_node1。您可以使用清单中的 cert_name 属性来定义不同的证书名称。

在以下示例流程中，控制节点（您要从其运行 Ansible playbook 的系统）与两个受管节点(192.0.2.0/24)共享相同的无类别域间路由(CIDR)数，并且 IP 地址为 192.0.2.7。因此，控制节点属于为 CIDR 192.0.2.0/24 自动创建的私有策略。

为防止在操作期间出现 SSH 连接丢失，控制节点的清晰策略包含在策略列表中。请注意，在策略列表中还有一个项 CIDR 等于 default。这是因为此 playbook 覆盖了默认策略中的规则，以使其为私有，而非私有或清晰。

先决条件

  • 对一个或多个 受管节点 的访问权限（即您要使用 vpn 系统角色配置的系统）。

    • 在所有受管节点上，/etc/ipsec.d 目录中的 NSS 数据库包含对等身份验证所需的所有证书。默认情况下，节点名称用作证书的昵称。

  • 对 控制节点 的访问和权限，这是 Red Hat Ansible Core 配置其他系统的系统。

    在控制节点上：

    • ansible-core 和 rhel-system-roles 软件包已安装 。
重要

RHEL 8.0-8.5 提供对基于 Ansible 的自动化需要 Ansible Engine 2.9 的独立 Ansible 存储库的访问权限。Ansible Engine 包含命令行实用程序，如 ansible、ansible-playbook、连接器（如 docker 和 podman ）以及许多插件和模块。有关如何获取和安装 Ansible Engine 的详情，请参考 如何下载和安装 Red Hat Ansible Engine 知识库文章。

RHEL 8.6 和 9.0 引入了 Ansible Core（作为 ansible-core 软件包提供），其中包含 Ansible 命令行工具、命令以及小型内置 Ansible 插件。RHEL 通过 AppStream 软件仓库提供此软件包，它有一个有限的支持范围。如需更多信息，请参阅 RHEL 9 和 RHEL 8.6 及更新的 AppStream 软件仓库文档中的 Ansible Core 软件包的支持范围。

  • 列出受管节点的清单文件。

流程

  1. 使用以下内容创建一个新的 playbook.yml 文件： 

    - name: Mesh VPN
  hosts: managed_node1, managed_node2, managed_node3
  roles:
    - rhel-system-roles.vpn
  vars:
    vpn_connections:
      - opportunistic: true
        auth_method: cert
        policies:
          - policy: private
            cidr: default
          - policy: private-or-clear
            cidr: 198.51.100.0/24
          - policy: private
            cidr: 192.0.2.0/24
          - policy: clear
            cidr: 192.0.2.7/32
    vpn_manage_firewall: true
    vpn_manage_selinux: true
    注意

    因为 vpn_manage_firewall 和 vpn_manage_selinux 都被设为 true，因此 vpn 角色使用 firewall 和 selinux 角色来管理 vpn 角色使用的端口。

  2. 可选： 您可以根据您的喜好修改变量。详情请查看 /usr/share/doc/rhel-system-roles/vpn/README.md 文件。

  3. 可选：验证 playbook 语法。 

    # ansible-playbook --syntax-check playbook.yml

  4. 在清单文件上运行 playbook: 

    # ansible-playbook -i inventory_file /path/to/file/playbook.yml