流程

1. 在当前会话中启动 sshd 守护进程，并在引导时自动启动：

   # systemctl start sshd
   # systemctl enable sshd

2. 指定与默认值（0.0.0.0 (IPv4) 或 ::）不同的地址(IPv6) /etc/ssh/sshd_config 配置文件中的 ListenAddress 指令，并使用较慢的动态网络配置，将 network-online.target 目标单元的依赖关系添加到 sshd.service 单元文件。要做到这一点，使用以下内容创建 /etc/systemd/system/sshd.service.d/local.conf 文件：

   [Unit]
   Wants=network-online.target
   After=network-online.target

3. 查看 /etc/ssh/sshd_config 配置文件中的 OpenSSH 服务器设置是否满足您的情况要求。

4. 另外，还可通过编辑 /etc/issue 文件来更改您的 OpenSSH 服务器在客户端验证前显示的欢迎信息，例如：

   Welcome to ssh-server.example.com
   Warning: By accessing this server, you agree to the referenced terms and conditions.

   确保 /etc/ssh/sshd_config 中未注释掉 Banner 选项，并且其值包含 /etc/issue ：

   # less /etc/ssh/sshd_config | grep Banner
   Banner /etc/issue

   请注意：要在成功登录后改变显示的信息，您必须编辑服务器上的 /etc/motd 文件。详情请查看 pam_motd man page。

5. 重新载入 systemd 配置，并重启 sshd 以应用修改：

   # systemctl daemon-reload
   # systemctl restart sshd

验证

1. 检查 sshd 守护进程是否正在运行：

   # systemctl status sshd
   ● sshd.service - OpenSSH server daemon
      Loaded: loaded (/usr/lib/systemd/system/sshd.service; enabled; vendor preset: enabled)
      Active: active (running) since Mon 2019-11-18 14:59:58 CET; 6min ago
        Docs: man:sshd(8)
              man:sshd_config(5)
    Main PID: 1149 (sshd)
       Tasks: 1 (limit: 11491)
      Memory: 1.9M
      CGroup: /system.slice/sshd.service
              └─1149 /usr/sbin/sshd -D -oCiphers=aes128-ctr,aes256-ctr,aes128-cbc,aes256-cbc -oMACs=hmac-sha2-256,>
   
   Nov 18 14:59:58 ssh-server-example.com systemd[1]: Starting OpenSSH server daemon...
   Nov 18 14:59:58 ssh-server-example.com sshd[1149]: Server listening on 0.0.0.0 port 22.
   Nov 18 14:59:58 ssh-server-example.com sshd[1149]: Server listening on :: port 22.
   Nov 18 14:59:58 ssh-server-example.com systemd[1]: Started OpenSSH server daemon.

2. 使用 SSH 客户端连接到 SSH 服务器。

   # ssh user@ssh-server-example.com
   ECDSA key fingerprint is SHA256:dXbaS0RG/UzlTTku8GtXSz0S1++lPegSy31v3L/FAEc.
   Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
   Warning: Permanently added 'ssh-server-example.com' (ECDSA) to the list of known hosts.
   
   user@ssh-server-example.com's password:

流程

1. 在文本编辑器中打开 /etc/ssh/sshd_config 配置，例如：

   # vi /etc/ssh/sshd_config

2. 将 PasswordAuthentication 选项改为 no:

   PasswordAuthentication no

   在非新默认安装的系统上，请检查 PubkeyAuthentication no 是否没有设置，并将 KbdInteractiveAuthentication 指令设为 no。如果您要进行远程连接，而不使用控制台或带外访问，在禁用密码验证前测试基于密钥的登录过程。

3. 要在 NFS 挂载的主目录中使用基于密钥的验证，启用 use_nfs_home_dirs SELinux 布尔值：

   # setsebool -P use_nfs_home_dirs 1

4. 重新载入 sshd 守护进程以应用更改：

   # systemctl reload sshd

流程

1. 为 SSH 协议的版本 2 生成 ECDSA 密钥对：

   $ ssh-keygen -t ecdsa
   Generating public/private ecdsa key pair.
   Enter file in which to save the key (/home/joesec/.ssh/id_ecdsa):
   Enter passphrase (empty for no passphrase):
   Enter same passphrase again:
   Your identification has been saved in /home/joesec/.ssh/id_ecdsa.
   Your public key has been saved in /home/joesec/.ssh/id_ecdsa.pub.
   The key fingerprint is:
   SHA256:Q/x+qms4j7PCQ0qFd09iZEFHA+SqwBKRNaU72oZfaCI joesec@localhost.example.com
   The key's randomart image is:
   +---[ECDSA 256]---+
   |.oo..o=++        |
   |.. o .oo .       |
   |. .. o. o        |
   |....o.+...       |
   |o.oo.o +S .      |
   |.=.+.   .o       |
   |E.*+.  .  . .    |
   |.=..+ +..  o     |
   |  .  oo*+o.      |
   +----[SHA256]-----+

   您还可以通过输入 ssh-keygen -t ed25519 命令，在 ssh-keygen 命令或 Ed25519 密钥对中使用 -t rsa 选项生成 RSA 密钥对。

2. 要将公钥复制到远程机器中：

   $ ssh-copy-id joesec@ssh-server-example.com
   /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
   joesec@ssh-server-example.com's password:
   ...
   Number of key(s) added: 1
   
   Now try logging into the machine, with: "ssh 'joesec@ssh-server-example.com'" and check to make sure that only the key(s) you wanted were added.

   如果您没有在会话中使用 ssh-agent 程序，上一个命令会复制最新修改的 ~/.ssh/id*.pub 公钥。要指定另一个公钥文件，或在 ssh-agent 内存中缓存的密钥优先选择文件中的密钥，使用带有 -i 选项的 ssh-copy-id 命令。

验证

1. 在不提供任何密码的情况下登录到 OpenSSH 服务器：

   $ ssh joesec@ssh-server-example.com
   Welcome message.
   ...
   Last login: Mon Nov 18 18:28:42 2019 from ::1

流程

1. 列出所有由 OpenSC PKCS #11 模块提供的密钥，包括其 PKCS #11 URIs，并将输出保存到 key.pub 文件：

   $ ssh-keygen -D pkcs11: > keys.pub
   $ ssh-keygen -D pkcs11:
   ssh-rsa AAAAB3NzaC1yc2E...KKZMzcQZzx pkcs11:id=%02;object=SIGN%20pubkey;token=SSH%20key;manufacturer=piv_II?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so
   ecdsa-sha2-nistp256 AAA...J0hkYnnsM= pkcs11:id=%01;object=PIV%20AUTH%20pubkey;token=SSH%20key;manufacturer=piv_II?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so

2. 要使用远程服务器上的智能卡（example.com）启用验证，将公钥传送到远程服务器。使用带有上一步中创建的 key.pub 的 ssh-copy-id 命令：

   $ ssh-copy-id -f -i keys.pub username@example.com

3. 要使用在第 1 步的 ssh-keygen -D 命令输出中的 ECDSA 密钥连接到 example.com，您只能使用 URI 中的一个子集，它是您的密钥的唯一参考，例如：

   $ ssh -i "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so" example.com
   Enter PIN for 'SSH key':
   [example.com] $

4. 您可以使用 ~/.ssh/config 文件中的同一 URI 字符串使配置持久：

   $ cat ~/.ssh/config
   IdentityFile "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so"
   $ ssh example.com
   Enter PIN for 'SSH key':
   [example.com] $

   因为 OpenSSH 使用 p11-kit-proxy 包装器，并且 OpenSC PKCS #11 模块是注册到 PKCS#11 Kit 的，所以您可以简化前面的命令：

   $ ssh -i "pkcs11:id=%01" example.com
   Enter PIN for 'SSH key':
   [example.com] $

流程

1. 通过编辑本地系统中的 ~/.ssh/config 文件来定义跳板主机，例如：

   Host jump-server1
     HostName jump1.example.com

   • Host 参数定义您可以在 ssh 命令中使用的主机的名称或别名。该值可以匹配真实的主机名，但也可以是任意字符串。
   • HostName 参数设置跳过主机的实际主机名或 IP 地址。

2. 使用 ProxyJump 指令将远程服务器跳板配置添加到本地系统上的 ~/.ssh/config 文件中，例如：

   Host remote-server
     HostName remote1.example.com
     ProxyJump jump-server1

3. 使用您的本地系统通过跳过服务器连接到远程服务器：

   $ ssh remote-server

   如果省略了配置步骤 1 和 2，则上一命令等同于 ssh -J skip-server1 remote-server 命令。

流程

1. 可选：验证您可以使用密钥向远程主机进行身份验证：

   1. 使用 SSH 连接到远程主机：

      $ ssh example.user1@198.51.100.1 hostname

   2. 输入您在创建密钥时设定的密码短语以授予对私钥的访问权限。

      $ ssh example.user1@198.51.100.1 hostname
       host.example.com

2. 启动 ssh-agent。

   $ eval $(ssh-agent)
   Agent pid 20062

3. 将密钥添加到 ssh-agent。

   $ ssh-add ~/.ssh/id_rsa
   Enter passphrase for ~/.ssh/id_rsa:
   Identity added: ~/.ssh/id_rsa (example.user0@198.51.100.12)

流程

1. 复制 sshd 系统角色的示例 playbook：

   # cp /usr/share/doc/rhel-system-roles/sshd/example-root-login-playbook.yml path/custom-playbook.yml

2. 使用文本编辑器打开复制的 playbook，例如：

   # vim path/custom-playbook.yml
   
   ---
   - hosts: all
     tasks:
     - name: Configure sshd to prevent root and password login except from particular subnet
       include_role:
         name: rhel-system-roles.sshd
       vars:
         sshd:
           # root login and password login is enabled only from a particular subnet
           PermitRootLogin: no
           PasswordAuthentication: no
           Match:
           - Condition: "Address 192.0.2.0/24"
             PermitRootLogin: yes
             PasswordAuthentication: yes

   playbook 将受管节点配置为 SSH 服务器，以便：

   • 禁用密码和 root 用户登录
   • 只对子网 192.0.2.0/24 启用密码和 root 用户登录

   您可以根据您的偏好修改变量。如需了解更多详细信息，请参阅 sshd 系统角色变量。

3. 可选：验证 playbook 语法。

   # ansible-playbook --syntax-check path/custom-playbook.yml

4. 在清单文件上运行 playbook:

   # ansible-playbook -i inventory_file path/custom-playbook.yml
   
   ...
   
   PLAY RECAP
   **************************************************
   
   localhost : ok=12 changed=2 unreachable=0 failed=0
   skipped=10 rescued=0 ignored=0

验证

1. 登录到 SSH 服务器：

   $ ssh user1@10.1.1.1

   其中：

   • user1 是 SSH 服务器上的用户。
   • 10.1.1.1 是 SSH 服务器的 IP 地址。

2. 检查 SSH 服务器上的 sshd_config 文件的内容：

   $ cat /etc/ssh/sshd_config.d/00-ansible_system_role.conf
   #
   # Ansible managed
   #
   PasswordAuthentication no
   PermitRootLogin no
   Match Address 192.0.2.0/24
     PasswordAuthentication yes
     PermitRootLogin yes

3. 检查您是否可以以 root 用户身份从 192.0.2.0/24 子网连接到服务器：

   1. 确定您的 IP 地址：

      $ hostname -I
      192.0.2.1

      如果 IP 地址在 192.0.2.1 - 192.0.2.254 范围内，您可以连接到服务器。

   2. 以 root 用户身份连接到服务器：

      $ ssh root@10.1.1.1

流程

1. 使用以下内容创建一个新的 playbook.yml 文件：

   ---
   - hosts: all
     tasks:
     - name: "Configure ssh clients"
       include_role:
         name: rhel-system-roles.ssh
       vars:
         ssh_user: root
         ssh:
           Compression: true
           GSSAPIAuthentication: no
           ControlMaster: auto
           ControlPath: ~/.ssh/.cm%C
           Host:
             - Condition: example
               Hostname: example.com
               User: user1
         ssh_ForwardX11: no

   此 playbook 使用以下配置在受管节点上配置 root 用户的 SSH 客户端首选项：

   • 压缩已启用。
   • ControlMaster 多路复用设置为 auto。
   • 连接到 example.com 主机的example 别名是 user1。
   • example 主机别名已创建，它表示使用 user1 用户名连接到 example.com 主机。
   • X11 转发被禁用。

   另外，您还可以根据您的偏好修改这些变量。如需了解更多详细信息，请参阅 ssh 系统角色变量。

2. 可选：验证 playbook 语法。

   # ansible-playbook --syntax-check path/custom-playbook.yml

3. 在清单文件上运行 playbook:

   # ansible-playbook -i inventory_file path/custom-playbook.yml

流程

1. 在 playbook 中添加带有 sshd_config_file 变量的配置段：

   ---
   - hosts: all
     tasks:
     - name: <Configure sshd to accept some useful environment variables>
       include_role:
         name: rhel-system-roles.sshd
       vars:
         sshd_config_file: /etc/ssh/sshd_config.d/<42-my-application>.conf
         sshd:
           # Environment variables to accept
           AcceptEnv:
             LANG
             LS_COLORS
             EDITOR

   在 sshd_config_file 变量中，定义 sshd 系统角色在其中写入配置选项的 .conf 文件。

   使用两位前缀，例如 42- 来指定应用配置文件的顺序。

   将 playbook 应用到清单时，角色会将以下配置选项添加到 sshd_config_file 变量定义的文件中。

   # Ansible managed
   #
   AcceptEnv LANG LS_COLORS EDITOR

流程

1. 为您的 CA 生成私钥。例如，以下命令会创建一个 256 位 Elliptic Curve Digital Signature Algorithm(ECDSA)密钥：

   $ openssl genpkey -algorithm ec -pkeyopt ec_paramgen_curve:P-256 -out <ca.key>

   密钥生成过程的时间取决于主机的硬件和熵、所选算法以及密钥长度。

2. 使用上一个命令生成的私钥创建证书：

   $ openssl req -key <ca.key> -new -x509 -days 3650 -addext keyUsage=critical,keyCertSign,cRLSign -subj "/CN=<Example CA>" -out <ca.crt>

   生成的 ca.crt 文件是一个自签名 CA 证书，可用于为其他证书签名 10 年。对于私有 CA，您可以将 <Example CA> 替换为作为通用名称(CN)的任何字符串。

3. 对 CA 的私钥设置安全权限，例如：

   # chown <root>:<root> <ca.key>
   # chmod 600 <ca.key>

验证

1. 创建证书签名请求(CSR)，并使用您的 CA 为请求签名。CA 必须成功创建一个基于 CSR 的证书，例如：

   $ openssl x509 -req -in <client-cert.csr> -CA <ca.crt> -CAkey <ca.key> -CAcreateserial -days 365 -extfile <openssl.cnf> -extensions <client-cert> -out <client-cert.crt>
   Signature ok
   subject=C = US, O = Example Organization, CN = server.example.com
   Getting CA Private Key

   如需更多信息，请参阅 第 3.5 节 “使用私有 CA 使用 OpenSSL 为 CSR 发布证书”。

2. 显示有关自签名 CA 的基本信息：

   $ openssl x509 -in <ca.crt> -text -noout
   Certificate:
   …
           X509v3 extensions:
               …
               X509v3 Basic Constraints: critical
                   CA:TRUE
               X509v3 Key Usage: critical
                   Certificate Sign, CRL Sign
   …

3. 验证私钥的一致性：

   $ openssl pkey -check -in <ca.key>
   Key is valid
   -----BEGIN PRIVATE KEY-----
   MIGHAgEAMBMGByqGSM49AgEGCCqGSM49AwEHBG0wawIBAQQgcagSaTEBn74xZAwO
   18wRpXoCVC9vcPki7WlT+gnmCI+hRANCAARb9NxIvkaVjFhOoZbGp/HtIQxbM78E
   lwbDP0BI624xBJ8gK68ogSaq2x4SdezFdV1gNeKScDcU+Pj2pELldmdF
   -----END PRIVATE KEY-----

流程

1. 在服务器系统上生成私钥，例如：

   $ openssl genpkey -algorithm ec -pkeyopt ec_paramgen_curve:P-256 -out <server-private.key>

2. 可选：使用您选择的文本编辑器来准备一个简化创建 CSR 的配置文件，例如：

   $ vim <example_server.cnf>
   [server-cert]
   keyUsage = critical, digitalSignature, keyEncipherment, keyAgreement
   extendedKeyUsage = serverAuth
   subjectAltName = @alt_name
   
   [req]
   distinguished_name = dn
   prompt = no
   
   [dn]
   C = <US>
   O = <Example Organization>
   CN = <server.example.com>
   
   [alt_name]
   DNS.1 = <example.com>
   DNS.2 = <server.example.com>
   IP.1 = <192.168.0.1>
   IP.2 = <::1>
   IP.3 = <127.0.0.1>

   extendedKeyUsage = serverAuth 选项限制证书的使用。

3. 使用之前创建的私钥创建 CSR：

   $ openssl req -key <server-private.key> -config <example_server.cnf> -new -out <server-cert.csr>

   如果省略了 -config 选项，req 工具会提示您额外的信息，例如：

   You are about to be asked to enter information that will be incorporated
   into your certificate request.
   What you are about to enter is what is called a Distinguished Name or a DN.
   There are quite a few fields but you can leave some blank
   For some fields there will be a default value,
   If you enter '.', the field will be left blank.
   -----
   Country Name (2 letter code) [XX]: <US>
   State or Province Name (full name) []: <Washington>
   Locality Name (eg, city) [Default City]: <Seattle>
   Organization Name (eg, company) [Default Company Ltd]: <Example Organization>
   Organizational Unit Name (eg, section) []:
   Common Name (eg, your name or your server's hostname) []: <server.example.com>
   Email Address []: <server@example.com>

验证

1. 从 CA 获取请求的证书后，检查证书的人类可读部分是否与您的要求匹配，例如：

   $ openssl x509 -text -noout -in <server-cert.crt>
   Certificate:
   …
           Issuer: CN = Example CA
           Validity
               Not Before: Feb  2 20:27:29 2023 GMT
               Not After : Feb  2 20:27:29 2024 GMT
           Subject: C = US, O = Example Organization, CN = server.example.com
           Subject Public Key Info:
               Public Key Algorithm: id-ecPublicKey
                   Public-Key: (256 bit)
   …
           X509v3 extensions:
               X509v3 Key Usage: critical
                   Digital Signature, Key Encipherment, Key Agreement
               X509v3 Extended Key Usage:
                   TLS Web Server Authentication
               X509v3 Subject Alternative Name:
                   DNS:example.com, DNS:server.example.com, IP Address:192.168.0.1, IP
   …

流程

1. 在客户端系统上生成私钥，例如：

   $ openssl genpkey -algorithm ec -pkeyopt ec_paramgen_curve:P-256 -out <client-private.key>

2. 可选：使用您选择的文本编辑器来准备一个简化创建 CSR 的配置文件，例如：

   $ vim <example_client.cnf>
   [client-cert]
   keyUsage = critical, digitalSignature, keyEncipherment
   extendedKeyUsage = clientAuth
   subjectAltName = @alt_name
   
   [req]
   distinguished_name = dn
   prompt = no
   
   [dn]
   CN = <client.example.com>
   
   [clnt_alt_name]
   email= <client@example.com>

   extendedKeyUsage = clientAuth 选项限制证书的使用。

3. 使用之前创建的私钥创建 CSR：

   $ openssl req -key <client-private.key> -config <example_client.cnf> -new -out <client-cert.csr>

   如果省略了 -config 选项，req 工具会提示您额外的信息，例如：

   You are about to be asked to enter information that will be incorporated
   into your certificate request.
   …
   Common Name (eg, your name or your server's hostname) []: <client.example.com>
   Email Address []: <client@example.com>

验证

1. 检查证书的人类可读部分是否与您的要求匹配，例如：

   $ openssl x509 -text -noout -in <client-cert.crt>
   Certificate:
   …
               X509v3 Extended Key Usage:
                   TLS Web Client Authentication
               X509v3 Subject Alternative Name:
                   email:client@example.com
   …

流程

1. 可选：使用您选择的文本编辑器准备一个 OpenSSL 配置文件，以便为证书添加扩展，例如：

   $ vim <openssl.cnf>
   [server-cert]
   extendedKeyUsage = serverAuth
   
   [client-cert]
   extendedKeyUsage = clientAuth

2. 使用 x509 工具创建基于 CSR 的证书，例如：

   $ openssl x509 -req -in <server-cert.csr> -CA <ca.crt> -CAkey <ca.key> -days 365 -extfile <openssl.cnf> -extensions <server-cert> -out <server-cert.crt>
   Signature ok
   subject=C = US, O = Example Organization, CN = server.example.com
   Getting CA Private Key

流程

1. 为您的 CA 生成私钥。例如，以下命令会创建一个 256 位 ECDSA (Elliptic Curve Digital Signature Algorithm)密钥：

   $ certtool --generate-privkey --sec-param High --key-type=ecdsa --outfile <ca.key>

   密钥生成过程的时间取决于主机的硬件和熵、所选算法以及密钥长度。

2. 为证书创建一个模板文件。

   1. 使用您喜欢的文本编辑器创建一个文件，例如 vi：

      $ vi <ca.cfg>

   2. 编辑该文件以包含必要的认证详情：

      organization = "Example Inc."
      state = "Example"
      country = EX
      cn = "Example CA"
      serial = 007
      expiration_days = 365
      ca
      cert_signing_key
      crl_signing_key

3. 使用在第 1 步中生成的私钥创建一个签名证书：

   生成的 <ca.crt> 文件是一个自签名 CA 证书，您可用来为其他证书签名一年。<ca.crt> 文件是公钥(证书)。加载的文件 <ca.key> 是私钥。您应该将此文件保存在安全的地方。

   $ certtool --generate-self-signed --load-privkey <ca.key> --template <ca.cfg> --outfile <ca.crt>

4. 对 CA 的私钥设置安全权限，例如：

   # chown <root>:<root> <ca.key>
   # chmod 600 <ca.key>

验证

1. 显示有关自签名 CA 的基本信息：

   $ certtool --certificate-info --infile <ca.crt>
   Certificate:
   …
       	X509v3 extensions:
           	…
           	X509v3 Basic Constraints: critical
               	CA:TRUE
           	X509v3 Key Usage: critical
               	Certificate Sign, CRL Sign

2. 创建证书签名请求(CSR)，并使用您的 CA 为请求签名。CA 必须成功创建一个基于 CSR 的证书，例如：

   1. 为您的 CA 生成私钥：

      $ certtool --generate-privkey --outfile <example-server.key>

   2. 使用您喜欢的文本编辑器创建一个文件，例如 vi：

      $ vi <example-server.cfg>

   3. 编辑该文件以包含必要的认证详情：

      signing_key
      encryption_key
      key_agreement
      
      tls_www_server
      
      country = "US"
      organization = "Example Organization"
      cn = "server.example.com"
      
      dns_name = "example.com"
      dns_name = "server.example.com"
      ip_address = "192.168.0.1"
      ip_address = "::1"
      ip_address = "127.0.0.1"

   4. 使用之前创建的私钥生成一个请求

      $ certtool --generate-request --load-privkey <example-server.key> --template <example-server.cfg> --outfile <example-server.crq>

   5. 生成证书并使用 CA 的私钥签名：

      $ certtool --generate-certificate --load-request <example-server.crq> --load-privkey <example-server.key> --load-ca-certificate <ca.crt> --load-ca-privkey <ca.key> --outfile <example-server.crt>

      其他资源

      • certtool (1) 和 trust (1) 手册页

流程

1. 在服务器系统上生成私钥，例如：

   $ certtool --generate-privkey --sec-param High --outfile <example-server.key>

2. 可选：使用您选择的文本编辑器来准备一个简化创建 CSR 的配置文件，例如：

   $ vim <example_server.cnf>
   signing_key
   encryption_key
   key_agreement
   
   tls_www_server
   
   country = "US"
   organization = "Example Organization"
   cn = "server.example.com"
   
   dns_name = "example.com"
   dns_name = "server.example.com"
   ip_address = "192.168.0.1"
   ip_address = "::1"
   ip_address = "127.0.0.1"

3. 使用之前创建的私钥创建 CSR：

   $ certtool --generate-request --template <example-server.cfg> --load-privkey <example-server.key> --outfile <example-server.crq>

   如果省略 --template 选项，certool 工具会提示您输入额外信息，例如：

   You are about to be asked to enter information that will be incorporated
   into your certificate request.
   What you are about to enter is what is called a Distinguished Name or a DN.
   There are quite a few fields but you can leave some blank
   For some fields there will be a default value,
   If you enter '.', the field will be left blank.
   -----
   Generating a PKCS #10 certificate request...
   Country name (2 chars): <US>
   State or province name: <Washington>
   Locality name: <Seattle>
   Organization name: <Example Organization>
   Organizational unit name:
   Common name: <server.example.com>

验证

1. 从 CA 获取请求的证书后，检查证书的人类可读部分是否与您的要求匹配，例如：

   $ certtool --certificate-info --infile <example-server.crt>
   Certificate:
   …
           Issuer: CN = Example CA
           Validity
               Not Before: Feb  2 20:27:29 2023 GMT
               Not After : Feb  2 20:27:29 2024 GMT
           Subject: C = US, O = Example Organization, CN = server.example.com
           Subject Public Key Info:
               Public Key Algorithm: id-ecPublicKey
                   Public-Key: (256 bit)
   …
           X509v3 extensions:
               X509v3 Key Usage: critical
                   Digital Signature, Key Encipherment, Key Agreement
               X509v3 Extended Key Usage:
                   TLS Web Server Authentication
               X509v3 Subject Alternative Name:
                   DNS:example.com, DNS:server.example.com, IP Address:192.168.0.1, IP
   …

流程

1. 在客户端系统上生成私钥，例如：

   $ certtool --generate-privkey --sec-param High --outfile <example-client.key>

2. 可选：使用您选择的文本编辑器来准备一个简化创建 CSR 的配置文件，例如：

   $ vim <example_client.cnf>
   signing_key
   encryption_key
   
   tls_www_client
   
   cn = "client.example.com"
   email = "client@example.com"

3. 使用之前创建的私钥创建 CSR：

   $ certtool --generate-request --template <example-client.cfg> --load-privkey <example-client.key> --outfile <example-client.crq>

   如果省略 --template 选项， certtool 工具会提示您输入额外信息，例如：

   Generating a PKCS #10 certificate request...
   Country name (2 chars): <US>
   State or province name: <Washington>
   Locality name: <Seattle>
   Organization name: <Example Organization>
   Organizational unit name:
   Common name: <server.example.com>

验证

1. 检查证书的人类可读部分是否与您的要求匹配，例如：

   $ certtool --certificate-info --infile <example-client.crt>
   Certificate:
   …
               X509v3 Extended Key Usage:
                   TLS Web Client Authentication
               X509v3 Subject Alternative Name:
                   email:client@example.com
   …

流程

1. 可选：使用您选择的文本编辑器准备一个 GnuTLS 配置文件，以便向证书添加扩展，例如：

   $ vi <server-extensions.cfg>
   honor_crq_extensions
   ocsp_uri = "http://ocsp.example.com"

2. 使用 certtool 工具创建一个基于 CSR 的证书，例如：

   $ certtool --generate-certificate --load-request <example-server.crq> --load-ca-privkey <ca.key> --load-ca-certificate <ca.crt> --template <server-extensions.cfg> --outfile <example-server.crt>

流程

1. 要在简单的 PEM 或 DER 文件格式中添加证书到系统中信任的 CA 列表中,请将证书文件复制到 /usr/share/pki/ca-trust-source/anchors/ 或 /etc/pki/ca-trust/source/anchors/ 目录中，例如：

   # cp ~/certificate-trust-examples/Cert-trust-test-ca.pem /usr/share/pki/ca-trust-source/anchors/

2. 要更新系统范围的信任存储配置，请使用 update-ca-trust 命令：

   # update-ca-trust

流程

1. 安装 libreswan 软件包：

   # dnf install libreswan

2. 如果要重新安装 Libreswan，请删除其旧的数据库文件，并创建一个新的数据库：

   # systemctl stop ipsec
   # rm /var/lib/ipsec/nss/*db
   # ipsec initnss

3. 启动 ipsec 服务，并启用该服务，以便其在引导时自动启动：

   # systemctl enable ipsec --now

4. 通过添加 ipsec 服务，将防火墙配置为允许 IKE、ESP 和 AH 协议的 500 和 4500/UDP 端口：

   # firewall-cmd --add-service="ipsec"
   # firewall-cmd --runtime-to-permanent

流程

1. 在每台主机上生成原始 RSA 密钥对：

   # ipsec newhostkey

2. 上一步返回生成的密钥的 ckaid。在 左 主机上使用 ckaid 和以下命令，例如：

   # ipsec showhostkey --left --ckaid 2d3ea57b61c9419dfd6cf43a1eb6cb306c0e857d

   上一命令的输出生成了配置所需的 leftrsasigkey= 行。在第二台主机（右）上执行相同的操作：

   # ipsec showhostkey --right --ckaid a9e1f6ce9ecd3608c24e8f701318383f41798f03

3. 在 /etc/ipsec.d/ 目录中，创建一个新的 my_host-to-host.conf 文件。将上一步中 ipsec showhostkey 命令的输出中的 RSA 主机密钥写入新文件。例如：

   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

4. 导入密钥后，重启 ipsec 服务：

   # systemctl restart ipsec

5. 加载连接：

   # ipsec auto --add mytunnel

6. 建立隧道：

   # ipsec auto --up mytunnel

7. 要在 ipsec 服务启动时自动启动隧道，请在连接定义中添加以下行：

   auto=start

流程

1. 将带有主机到主机 VPN 配置的文件复制到新文件中，例如：

   # cp /etc/ipsec.d/my_host-to-host.conf /etc/ipsec.d/my_site-to-site.conf

2. 在上一步创建的文件中添加子网配置，例如：

   conn mysubnet
        also=mytunnel
        leftsubnet=192.0.1.0/24
        rightsubnet=192.0.2.0/24
        auto=start
   
   conn mysubnet6
        also=mytunnel
        leftsubnet=2001:db8:0:1::/64
        rightsubnet=2001:db8:0:2::/64
        auto=start
   
   # the following part of the configuration file is the same for both host-to-host and site-to-site connections:
   
   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

流程

1. 在每个节点中导入 PKCS #12 文件。此步骤需要用于生成 PKCS #12 文件的密码：

   # ipsec import nodeXXX.p12

2. 为 IPsec 需要的（专用）、IPsec 可选的 (private-or-clear)和 No IPsec (clear)配置文件创建以下三个连接定义：

   # cat /etc/ipsec.d/mesh.conf
   conn clear
   	auto=ondemand 1
   	type=passthrough
   	authby=never
   	left=%defaultroute
   	right=%group
   
   conn private
   	auto=ondemand
   	type=transport
   	authby=rsasig
   	failureshunt=drop
   	negotiationshunt=drop
   	ikev2=insist
   	left=%defaultroute
   	leftcert=nodeXXXX
   	leftid=%fromcert 2
   	rightid=%fromcert
   	right=%opportunisticgroup
   
   conn private-or-clear
   	auto=ondemand
   	type=transport
   	authby=rsasig
   	failureshunt=passthrough
   	negotiationshunt=passthrough
   	# left
   	left=%defaultroute
   	leftcert=nodeXXXX 3
   	leftid=%fromcert
   	leftrsasigkey=%cert
   	# right
   	rightrsasigkey=%cert
   	rightid=%fromcert
   	right=%opportunisticgroup

1. 使用 ping 命令打开 IPsec 隧道：

   # ping <nodeYYY>

2. 使用导入的认证显示 NSS 数据库：

   # certutil -L -d sql:/etc/ipsec.d
   
   Certificate Nickname    Trust Attributes
                           SSL,S/MIME,JAR/XPI
   
   west                    u,u,u
   ca                      CT,,

3. 查看节点已打开了哪个隧道：

   # ipsec trafficstatus
   006 #2: "private#10.15.0.0/16"[1] ...nodeYYY, type=ESP, add_time=1691399301, inBytes=512, outBytes=512, maxBytes=2^63B, id='C=US, ST=NC, O=Example Organization, CN=east'

流程

1. 安装 libreswan 软件包：

   # dnf install libreswan

2. 如果您要重新安装 Libreswan，请删除其旧的 NSS 数据库：

   # systemctl stop ipsec
   
   # rm /var/lib/ipsec/nss/*db

3. 启动 ipsec 服务，并启用该服务，以便其在引导时自动启动：

   # systemctl enable ipsec --now

4. 通过添加 ipsec 服务，将防火墙配置为允许 IKE、ESP 和 AH 协议的 500 和 4500/UDP 端口：

   # firewall-cmd --add-service="ipsec"
   # firewall-cmd --runtime-to-permanent

5. 将系统切换到 FIPS 模式：

   # fips-mode-setup --enable

6. 重启您的系统以允许内核切换到 FIPS 模式：

   # reboot

验证

1. 确认 Libreswan 在 FIPS 模式下运行：

   # ipsec whack --fipsstatus
   000 FIPS mode enabled

2. 或者，检查 systemd 日志中的 ipsec 单元条目：

   $ journalctl -u ipsec
   ...
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Mode: YES

3. 以 FIPS 模式查看可用算法：

   # ipsec pluto --selftest 2>&1 | head -6
   Initializing NSS using read-write database "sql:/var/lib/ipsec/nss"
   FIPS Mode: YES
   NSS crypto library initialized
   FIPS mode enabled for pluto daemon
   NSS library is running in FIPS mode
   FIPS HMAC integrity support [disabled]

4. 使用 FIPS 模式查询禁用的算法：

   # ipsec pluto --selftest 2>&1 | grep disabled
   Encryption algorithm CAMELLIA_CTR disabled; not FIPS compliant
   Encryption algorithm CAMELLIA_CBC disabled; not FIPS compliant
   Encryption algorithm NULL disabled; not FIPS compliant
   Encryption algorithm CHACHA20_POLY1305 disabled; not FIPS compliant
   Hash algorithm MD5 disabled; not FIPS compliant
   PRF algorithm HMAC_MD5 disabled; not FIPS compliant
   PRF algorithm AES_XCBC disabled; not FIPS compliant
   Integrity algorithm HMAC_MD5_96 disabled; not FIPS compliant
   Integrity algorithm HMAC_SHA2_256_TRUNCBUG disabled; not FIPS compliant
   Integrity algorithm AES_XCBC_96 disabled; not FIPS compliant
   DH algorithm MODP1536 disabled; not FIPS compliant
   DH algorithm DH31 disabled; not FIPS compliant

5. 在 FIPS 模式中列出所有允许的算法和密码：

   # ipsec pluto --selftest 2>&1 | grep ESP | grep FIPS | sed "s/^.*FIPS//"
   aes_ccm, aes_ccm_c
   aes_ccm_b
   aes_ccm_a
   NSS(CBC)  3des
   NSS(GCM)  aes_gcm, aes_gcm_c
   NSS(GCM)  aes_gcm_b
   NSS(GCM)  aes_gcm_a
   NSS(CTR)  aesctr
   NSS(CBC)  aes
   aes_gmac
   NSS       sha, sha1, sha1_96, hmac_sha1
   NSS       sha512, sha2_512, sha2_512_256, hmac_sha2_512
   NSS       sha384, sha2_384, sha2_384_192, hmac_sha2_384
   NSS       sha2, sha256, sha2_256, sha2_256_128, hmac_sha2_256
   aes_cmac
   null
   NSS(MODP) null, dh0
   NSS(MODP) dh14
   NSS(MODP) dh15
   NSS(MODP) dh16
   NSS(MODP) dh17
   NSS(MODP) dh18
   NSS(ECP)  ecp_256, ecp256
   NSS(ECP)  ecp_384, ecp384
   NSS(ECP)  ecp_521, ecp521

流程

1. 为 Libreswan 的 NSS 数据库启用密码保护：

   # certutil -N -d sql:/var/lib/ipsec/nss
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:

2. 创建包含您在上一步中设置的密码的 /etc/ipsec.d/nsspassword 文件，例如：

   # cat /etc/ipsec.d/nsspassword
   NSS Certificate DB:MyStrongPasswordHere

   请注意, nsspassword 文件使用以下语法：

   token_1_name:the_password
   token_2_name:the_password

   默认的 NSS 软件令牌是 NSS 证书 数据库。如果您的系统以 FIPS 模式运行，则令牌的名称为 NSS FIPS 140-2 证书数据库。

3. 根据您的场景，在完成了 nsspassword 文件后，启动或重启 ipsec 服务：

   # systemctl restart ipsec

验证

1. 在其 NSS 数据库中添加非空密码后，检查 ipsec 服务是否运行：

   # systemctl status ipsec
   ● ipsec.service - Internet Key Exchange (IKE) Protocol Daemon for IPsec
      Loaded: loaded (/usr/lib/systemd/system/ipsec.service; enabled; vendor preset: disable>
      Active: active (running)...

2. （可选）检查 Journal 日志是否包含确认成功初始化的条目：

   # journalctl -u ipsec
   ...
   pluto[6214]: Initializing NSS using read-write database "sql:/var/lib/ipsec/nss"
   pluto[6214]: NSS Password from file "/etc/ipsec.d/nsspassword" for token "NSS Certificate DB" with length 20 passed to NSS
   pluto[6214]: NSS crypto library initialized
   ...

流程

1. 在 /etc/ipsec.conf 文件的 config setup 部分中添加以下选项：

   listen-tcp=yes

2. 要在第一次尝试 UDP 失败时使用 TCP 封装作为回退选项，请在客户端的连接定义中添加以下两个选项：

   enable-tcp=fallback
   tcp-remoteport=4500

   另外，如果您知道 UDP 会被永久阻止，请在客户端的连接配置中使用以下选项：

   enable-tcp=yes
   tcp-remoteport=4500

步骤

1. 编辑应使用 ESP 硬件卸载支持的自动检测连接的 /etc/ipsec.d/ 目录中的 Libreswan 配置文件。
2. 确保 nic-offload 参数没有在连接的设置中设置。

3. 如果您删除了 nic-offload，请重启 ipsec 服务：

   # systemctl restart ipsec

1. 显示 IPsec 连接使用的以太网设备的 tx_ipsec 和 rx_ipsec 计数器：

   # ethtool -S enp1s0 | egrep "_ipsec"
        tx_ipsec: 10
        rx_ipsec: 10

2. 通过 IPsec 隧道发送流量。例如，ping 远程 IP 地址：

   # ping -c 5 remote_ip_address

3. 再次显示以太网设备的 tx_ipsec 和 rx_ipsec 计数器：

   # ethtool -S enp1s0 | egrep "_ipsec"
        tx_ipsec: 15
        rx_ipsec: 15

   如果计数器值增加了，ESP 硬件卸载正常工作。

步骤

1. 对网络绑定启用 ESP 硬件卸载支持：

   # nmcli connection modify bond0 ethtool.feature-esp-hw-offload on

   这个命令在对 bond0 连接启用 ESP 硬件卸载支持。

2. 重新激活 bond0 连接：

   # nmcli connection up bond0

3. 编辑应使用 ESP 硬件卸载的连接的 /etc/ipsec.d/ 目录中的 Libreswan 配置文件，并将 nic-offload=yes 语句附加到连接条目：

   conn example
       ...
       nic-offload=yes

4. 重启 ipsec 服务：

   # systemctl restart ipsec

验证

1. 显示绑定的活动端口：

   # grep "Currently Active Slave" /proc/net/bonding/bond0
   Currently Active Slave: enp1s0

2. 显示活动端口的 tx_ipsec 和 rx_ipsec 计数器：

   # ethtool -S enp1s0 | egrep "_ipsec"
        tx_ipsec: 10
        rx_ipsec: 10

3. 通过 IPsec 隧道发送流量。例如，ping 远程 IP 地址：

   # ping -c 5 remote_ip_address

4. 再次显示活动端口的 tx_ipsec 和 rx_ipsec 计数器：

   # ethtool -S enp1s0 | egrep "_ipsec"
        tx_ipsec: 15
        rx_ipsec: 15

   如果计数器值增加了，ESP 硬件卸载正常工作。

1. 重新载入 vpn.example.com 连接：

   # ipsec auto --add vpn.example.com
   002 added connection description "vpn.example.com"

2. 下一步，启动 VPN 连接：

   # ipsec auto --up vpn.example.com

流程

1. 使用以下内容创建一个新的 playbook.yml 文件：

   - name: Host to host VPN
     hosts: managed_node1, managed_node2
     roles:
       - rhel-system-roles.vpn
     vars:
       vpn_connections:
         - hosts:
             managed_node1:
             managed_node2:
       vpn_manage_firewall: true
       vpn_manage_selinux: true

   此 playbook 使用系统角色自动生成的密钥进行预共享密钥身份验证，来配置 managed_node1-to-managed_node2 的连接。因为 vpn_manage_firewall 和 vpn_manage_selinux 都被设为 true，因此 vpn 角色使用 firewall 和 selinux 角色来管理 vpn 角色使用的端口。

2. 可选：通过将以下部分添加到主机的 vpn_connections 列表中，配置从受管主机到清单文件中未列出的外部主机的连接：

       vpn_connections:
         - hosts:
             managed_node1:
             managed_node2:
             external_node:
               hostname: 192.0.2.2

   这将配置另外两个连接：managed_node1-to-external_node 和 managed_node2-to-external_node。

1. 可选：您可以使用 vpn_connections 中的额外部分为受管节点指定多个 VPN 连接，如控制平面和数据平面：

   - name: Multiple VPN
     hosts: managed_node1, managed_node2
     roles:
       - rhel-system-roles.vpn
     vars:
       vpn_connections:
         - name: control_plane_vpn
           hosts:
             managed_node1:
               hostname: 192.0.2.0 # IP for the control plane
             managed_node2:
               hostname: 192.0.2.1
         - name: data_plane_vpn
           hosts:
             managed_node1:
               hostname: 10.0.0.1 # IP for the data plane
             managed_node2:
               hostname: 10.0.0.2

2. 可选：您可以根据您的偏好修改变量。详情请查看 /usr/share/doc/rhel-system-roles/vpn/README.md 文件。

3. 可选：验证 playbook 语法。

   # ansible-playbook --syntax-check /path/to/file/playbook.yml -i /path/to/file/inventory_file

4. 在清单文件上运行 playbook:

   # ansible-playbook -i /path/to/file/inventory_file /path/to/file/playbook.yml

验证

1. 在受管节点上，确认连接已成功载入：

   # ipsec status | grep connection.name

   将 connection.name 替换为来自此节点的连接的名称，如 managed_node1-to-managed_node2。

1. 在受管节点上，确认连接是否成功启动：

   # ipsec trafficstatus | grep connection.name

2. 可选：如果连接没有成功加载，请输入以下命令来手动添加连接。这将提供更具体的信息，说明连接未能建立的原因：

   # ipsec auto --add connection.name

   注意

   加载和启动连接过程中可能出现的任何错误都会在日志中报告，这些错误可以在 /var/log/pluto.log 中找到。由于这些日志难以解析，因此请尝试手动添加连接来获得日志消息，而不是从标准输出中获得。

流程

1. 使用以下内容创建一个新的 playbook.yml 文件：

   - name: Mesh VPN
     hosts: managed_node1, managed_node2, managed_node3
     roles:
       - rhel-system-roles.vpn
     vars:
       vpn_connections:
         - opportunistic: true
           auth_method: cert
           policies:
             - policy: private
               cidr: default
             - policy: private-or-clear
               cidr: 198.51.100.0/24
             - policy: private
               cidr: 192.0.2.0/24
             - policy: clear
               cidr: 192.0.2.7/32
       vpn_manage_firewall: true
       vpn_manage_selinux: true

   注意

   因为 vpn_manage_firewall 和 vpn_manage_selinux 都被设为 true，因此 vpn 角色使用 firewall 和 selinux 角色来管理 vpn 角色使用的端口。

2. 可选：您可以根据您的偏好修改变量。详情请查看 /usr/share/doc/rhel-system-roles/vpn/README.md 文件。

3. 可选：验证 playbook 语法。

   # ansible-playbook --syntax-check playbook.yml

4. 在清单文件上运行 playbook:

   # ansible-playbook -i inventory_file /path/to/file/playbook.yml

流程

1. 添加防火墙规则，例如：

   • 限制 TCP 连接，并只接受来自 192.168.0.0/24 主机 111 端口的包：

     # firewall-cmd --add-rich-rule='rule family="ipv4" port port="111" protocol="tcp" source address="192.168.0.0/24" invert="True" drop'

   • 限制 TCP 连接，并只接受来自本地主机 111 端口的包：

     # firewall-cmd --add-rich-rule='rule family="ipv4" port port="111" protocol="tcp" source address="127.0.0.1" accept'

   • 限制 UDP 连接，并只接受来自 192.168.0.0/24 主机 111 端口的包：

     # firewall-cmd --permanent --add-rich-rule='rule family="ipv4" port port="111" protocol="udp" source address="192.168.0.0/24" invert="True" drop'

     要使防火墙设置永久化，请在添加防火墙规则时使用 --permanent 选项。

2. 重新载入防火墙以应用新规则：

   # firewall-cmd --reload

流程

1. 在服务器中添加防火墙规则，例如：

   • 接受来自 192.168.0.0/24 主机的mountd 连接：

     # firewall-cmd --add-rich-rule 'rule family="ipv4" service name="mountd" source address="192.168.0.0/24" invert="True" drop'

   • 接受来自本地主机的 mountd 连接：

     # firewall-cmd --permanent --add-rich-rule 'rule family="ipv4" source address="127.0.0.1" service name="mountd" accept'

     要使防火墙设置永久化，请在添加防火墙规则时使用 --permanent 选项。

2. 重新载入防火墙以应用新规则：

   # firewall-cmd --reload

流程

1. 安装 PostgreSQL：

   # yum install postgresql-server

2. 使用以下选项之一初始化数据库存储区域：

   1. 使用 initdb 工具：

      $ initdb -D /home/postgresql/db1/

      带有 -D 选项的 initdb 命令会创建您指定的目录（如果尚未存在），例如 /home/postgresql/db1/。然后，此目录包含数据库中存储的所有数据以及客户端身份验证配置文件。

   2. 使用 postgresql-setup 脚本：

      $ postgresql-setup --initdb

      默认情况下，该脚本使用 /var/lib/pgsql/data/ 目录。此脚本可以帮助具有基本数据库集群管理的系统管理员。

3. 要允许任何经过身份验证的用户使用其用户名访问任何数据库，请在 pg_hba.conf 文件中修改以下行：

   local   all             all                                     trust

   当使用创建数据库用户和没有本地用户的层次应用程序时，这可能会造成问题。如果您不想显式控制系统中所有用户名，请从 pg_hba.conf 文件中删除 local 行条目。

4. 重启数据库以应用更改：

   # systemctl restart postgresql

   上一命令更新数据库，同时还验证配置文件的语法。

流程

1. 在配置 MACsec 的第一个主机上：

   • 为预共享密钥创建连接关联密钥(CAK)和连接关联密钥名称(CKN)：

     1. 创建一个 16 字节的十六进制 CAK：

        # dd if=/dev/urandom count=16 bs=1 2> /dev/null | hexdump -e '1/2 "%04x"'
        50b71a8ef0bd5751ea76de6d6c98c03a

     2. 创建一个 32 字节的十六进制 CKN：

        # dd if=/dev/urandom count=32 bs=1 2> /dev/null | hexdump -e '1/2 "%04x"'
        f2b4297d39da7330910a74abc0449feb45b5c0b9fc23df1430e1898fcf1c4550

2. 在您要通过 MACsec 连接连接的两个主机上：

3. 创建 MACsec 连接：

   # nmcli connection add type macsec con-name macsec0 ifname macsec0 connection.autoconnect yes macsec.parent enp1s0 macsec.mode psk macsec.mka-cak 50b71a8ef0bd5751ea76de6d6c98c03a macsec.mka-ckn f2b4297d39da7330910a74abc0449feb45b5c0b9fc23df1430e1898fcf1c4550

   在macsec.mka-cak 和 macsec.mka-ckn 参数中使用上一步生成的 CAK 和 CKN。在 MACsec-protected 网络的每个主机上，这些值必须相同。

4. 配置 MACsec 连接中的 IP 设置。

   1. 配置 IPv4 设置。例如，要为 macsec0 连接设置静态 IPv4 地址、网络掩码、默认网关和 DNS 服务器，请输入：

      # nmcli connection modify macsec0 ipv4.method manual ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253'

   2. 配置 IPv6 设置。例如，要为 macsec0 连接设置静态 IPv6 地址、网络掩码、默认网关和 DNS 服务器，请输入：

      # nmcli connection modify macsec0 ipv6.method manual ipv6.addresses '2001:db8:1::1/32' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd'

5. 激活连接：

   # nmcli connection up macsec0

验证

1. 验证流量是否加密：

   # tcpdump -nn -i enp1s0

2. 可选：显示未加密的流量：

   # tcpdump -nn -i macsec0

3. 显示 MACsec 统计信息：

   # ip macsec show

4. 显示每种保护类型的单独的计数器：仅完整性（关闭加密）和加密（打开加密）

   # ip -s macsec show

流程

1. 设置 Dovecot：

   1. 在 /etc/dovecot/conf.d/10-master.conf 文件中包括以下行：

      service auth {
        unix_listener /var/spool/postfix/private/auth {
          mode = 0660
          user = postfix
          group = postfix
        }
      }

      前面的示例使用 UNIX-domain 套接字进行 Postfix 和 Dovecot 之间的通信。该示例还假定默认 Postfix SMTP 服务器设置，其中包括位于 /var/spool/postfix/ 目录中的邮件队列，以及在 postfix 用户和组下运行的应用。

   2. 可选：将 Dovecot 设置为通过 TCP 侦听 Postfix 验证请求：

      service auth {
        inet_listener {
            port = port-number
        }
      }

   3. 通过编辑 /etc/dovecot/conf.d/10-auth.conf 文件中的 auth_mechanisms 参数来指定电子邮件客户端用来通过 Dovecot 进行身份验证的方法：

      auth_mechanisms = plain login

      auth_mechanisms 参数支持不同的纯文本和非纯文本身份验证方法。

2. 通过修改 /etc/postfix/main.cf 文件来设置 Postfix：

   1. 在 Postfix SMTP 服务器上启用 SMTP 身份验证：

      smtpd_sasl_auth_enable = yes

   2. 为 SMTP 身份验证启用 Dovecot SASL 实现：

      smtpd_sasl_type = dovecot

   3. 提供相对于 Postfix 队列目录的身份验证路径。请注意，使用相对路径可确保无论 Postfix 服务器是否在 chroot 中运行，配置都可以正常工作：

      smtpd_sasl_path = private/auth

      此步骤使用 UNIX-domain 套接字进行 Postfix 和 Dovecot 之间的通信。

      要将 Postfix 配置为在不同机器上查找 Dovecot，如果您使用 TCP 套接字进行通信，请使用类似如下的配置值：

      smtpd_sasl_path = inet: ip-address : port-number

      在上例中，将 ip-address 替换为 Dovecot 机器的 IP 地址，port-number 替换为 Dovecot 的 /etc/dovecot/conf.d/10-master.conf 文件中的端口号。

   4. 指定 Postfix SMTP 服务器可供客户端使用的 SASL 机制。请注意，您可以为加密和未加密的会话指定不同的机制。

      smtpd_sasl_security_options = noanonymous, noplaintext
      smtpd_sasl_tls_security_options = noanonymous

      以上指令指定在未加密的会话期间，不允许匿名身份验证，且不会允许传输未加密的用户名或密码的机制。对于使用 TLS 的加密会话，只允许非匿名身份验证机制。