CA-Zertifikate erstellen und installieren Installation des Libreswan-Clients Konfiguration von IPSec auf Ihrem Dateisystem Starten Sie IPSec auf dem Client IPSec für mehrere Clients einrichten

Konfiguration von IPSec mithilfe der Zertifikatsauthentifizierung

Die folgenden Themen enthalten Anweisungen zur Konfiguration der IPSec-Verschlüsselung mithilfe der Zertifikatsauthentifizierung auf einem FSx for ONTAP-Dateisystem und einem Client, auf dem Libreswan IPSec ausgeführt wird. Diese Lösung verwendet AWS Certificate Manager und AWS Private Certificate Authority erstellt eine private Zertifizierungsstelle und generiert die Zertifikate.

Die allgemeinen Schritte zur Konfiguration der IPSec-Verschlüsselung mithilfe der Zertifikatsauthentifizierung auf FSx für ONTAP-Dateisysteme und verbundene Clients lauten wie folgt:

Verfügen Sie über eine Zertifizierungsstelle für die Ausstellung von Zertifikaten.
Generieren und exportieren Sie CA-Zertifikate für das Dateisystem und den Client.
Installieren Sie das Zertifikat und konfigurieren Sie IPSec auf der Client-Instanz.
Installieren Sie das Zertifikat und konfigurieren Sie IPSec auf Ihrem Dateisystem.
Definieren Sie die Sicherheitsrichtlinien-Datenbank (SPD).
Konfigurieren Sie IPSec für den Zugriff mehrerer Clients.

CA-Zertifikate erstellen und installieren

Für die Zertifikatsauthentifizierung müssen Sie Zertifikate von einer Zertifizierungsstelle auf Ihrem FSx for ONTAP-Dateisystem und den Clients, die auf die Daten in Ihrem Dateisystem zugreifen, generieren und installieren. Im folgenden Beispiel wird AWS Private Certificate Authority eine private Zertifizierungsstelle eingerichtet und die Zertifikate generiert, die auf dem Dateisystem und dem Client installiert werden sollen. Mithilfe dieser AWS Private Certificate Authority Funktion können Sie eine vollständig AWS gehostete Hierarchie von Stamm- und untergeordneten Zertifizierungsstellen (CAs) für den internen Gebrauch in Ihrer Organisation erstellen. Dieser Prozess besteht aus fünf Schritten:

Erstellen Sie eine private Zertifizierungsstelle (CA) mit AWS Private CA
Stellen Sie das Stammzertifikat aus und installieren Sie es auf der privaten CA
Fordern Sie ein privates Zertifikat AWS Certificate Manager für Ihr Dateisystem und Ihre Clients an
Exportieren Sie das Zertifikat für das Dateisystem und die Clients.

Weitere Informationen finden Sie im AWS Private Certificate Authority Benutzerhandbuch unter Private CA Administration.

So erstellen Sie die private Root-CA

Wenn Sie eine CA erstellen, müssen Sie die CA-Konfiguration in einer von Ihnen bereitgestellten Datei angeben. Der folgende Befehl verwendet den Nano-Texteditor, um die ca_config.txt Datei zu erstellen, die die folgenden Informationen enthält:
- Den Namen des Algorithmus
- Der Signaturalgorithmus, den die CA zum Signieren verwendet
- X.500 Informationen zum Thema
```
$ > nano ca_config.txt
```
Der Texteditor wird angezeigt.

Bearbeiten Sie die Datei mit den Spezifikationen für Ihre CA.


{
   "KeyAlgorithm":"RSA_2048",
   "SigningAlgorithm":"SHA256WITHRSA",
   "Subject":{
      "Country":"US",
      "Organization":"Example Corp",
      "OrganizationalUnit":"Sales",
      "State":"WA",
      "Locality":"Seattle",
      "CommonName":"*.ec2.internal"
   }
}

Speichern und schließen Sie die Datei und beenden Sie den Texteditor. Weitere Informationen finden Sie im AWS Private Certificate Authority Benutzerhandbuch unter Verfahren zum Erstellen einer CA.

Verwenden Sie den AWS Private CA CLI-Befehl create-certificate-authority, um eine private CA zu erstellen.


~/home > aws acm-pca create-certificate-authority \
     --certificate-authority-configuration file://ca_config.txt \
     --certificate-authority-type "ROOT" \
     --idempotency-token 01234567 --region aws-region

Bei Erfolg gibt dieser Befehl den Amazon-Ressourcennamen (ARN) der CA aus.


{
   "CertificateAuthorityArn": "arn:aws:acm-pca:aws-region:111122223333:certificate-authority/12345678-1234-1234-1234-123456789012"
}

Um ein Zertifikat für Ihre private Root-CA zu erstellen und zu installieren (AWS CLI)

Generieren Sie mit dem get-certificate-authority-csr AWS CLI-Befehl eine Zertifikatsignieranforderung (CSR).


$ aws acm-pca get-certificate-authority-csr \
     --certificate-authority-arn arn:aws:acm-pca:aws-region:111122223333:certificate-authority/12345678-1234-1234-1234-123456789012 \
     --output text \
     --endpoint https://acm-pca.aws-region.amazonaws.com \
     --region eu-west-1 > ca.csr

Die resultierende Dateica.csr, eine im Base64-Format codierte PEM-Datei, hat das folgende Aussehen.

Weitere Informationen finden Sie im Benutzerhandbuch unter Installation eines Root-CA-Zertifikats. AWS Private Certificate Authority

Verwenden Sie den issue-certificate AWS CLI Befehl, um das Root-Zertifikat auf Ihrer privaten CA auszustellen und zu installieren.


$ aws acm-pca issue-certificate \
     --certificate-authority-arn arn:aws:acm-pca:aws-region:111122223333:certificate-authority/12345678-1234-1234-1234-123456789012 \
     --csr file://ca.csr \
     --signing-algorithm SHA256WITHRSA \
     --template-arn arn:aws:acm-pca:::template/RootCACertificate/V1 \
     --validity Value=3650,Type=DAYS --region aws-region

Laden Sie das Stammzertifikat mit dem get-certificate AWS CLI Befehl herunter.


$ aws acm-pca get-certificate \
    --certificate-authority-arn arn:aws:acm-pca:aws-region:111122223333:certificate-authority/12345678-1234-1234-1234-123456789012 \
    --certificate-arn arn:aws:acm-pca:aws-region:486768734100:certificate-authority/12345678-1234-1234-1234-123456789012/certificate/abcdef0123456789abcdef0123456789 \
    --output text --region aws-region > rootCA.pem

Installieren Sie das Root-Zertifikat mit dem import-certificate-authority-certificate AWS CLI Befehl auf Ihrer privaten CA.


$ aws acm-pca import-certificate-authority-certificate \
     --certificate-authority-arn arn:aws:acm-pca:aws-region:111122223333:certificate-authority/12345678-1234-1234-1234-123456789012 \
     --certificate file://rootCA.pem --region aws-region

Generieren und exportieren Sie das Dateisystem und das Client-Zertifikat

Verwenden Sie den request-certificate AWS CLI Befehl, um ein AWS Certificate Manager Zertifikat zur Verwendung auf Ihrem Dateisystem und Ihren Clients anzufordern.


$ aws acm request-certificate \
    --domain-name *.ec2.internal \
    --idempotency-token 12345 \
    --region aws-region \
    --certificate-authority-arn arn:aws:acm-pca:aws-region:111122223333:certificate-authority/12345678-1234-1234-1234-123456789012

Wenn die Anfrage erfolgreich ist, wird der ARN des ausgestellten Zertifikats zurückgegeben.

Aus Sicherheitsgründen müssen Sie dem privaten Schlüssel beim Export eine Passphrase zuweisen. Erstellen Sie eine Passphrase und speichern Sie sie in einer Datei mit dem Namen passphrase.txt
Verwenden Sie den export-certificate AWS CLI Befehl, um das zuvor ausgestellte private Zertifikat zu exportieren. Die exportierte Datei enthält das Zertifikat, die Zertifikatskette und den verschlüsselten privaten 2048-Bit-RSA-Schlüssel, der dem öffentlichen Schlüssel zugeordnet ist, der in das Zertifikat eingebettet ist. Aus Sicherheitsgründen müssen Sie dem privaten Schlüssel beim Exportieren eine Passphrase zuweisen. Das folgende Beispiel bezieht sich auf eine Linux EC2-Instance.
```
$ aws acm export-certificate \
     --certificate-arn arn:aws:acm:aws-region:111122223333:certificate/12345678-1234-1234-1234-123456789012 \
     --passphrase $(cat passphrase.txt | base64) --region aws-region > exported_cert.json 
```

Verwenden Sie die folgenden jq Befehle, um den privaten Schlüssel und das Zertifikat aus der JSON-Antwort zu extrahieren.


$ passphrase=$(cat passphrase.txt | base64)
cat exported_cert.json | jq -r .PrivateKey > prv.key                                    
cat exported_cert.json | jq -r .Certificate > cert.pem

Verwenden Sie den folgenden openssl Befehl, um den privaten Schlüssel aus der JSON-Antwort zu entschlüsseln. Nach Eingabe des Befehls werden Sie zur Eingabe der Passphrase aufgefordert.
```
$ openssl rsa -in prv.key -passin pass:$passphrase -out decrypted.key 
```

Installation und Konfiguration von Libreswan IPSec auf einem Amazon Linux 2-Client

Die folgenden Abschnitte enthalten Anweisungen zur Installation und Konfiguration von Libreswan IPSec auf einer Amazon EC2-Instance, auf der Amazon Linux 2 ausgeführt wird.

Um Libreswan zu installieren und zu konfigurieren

Stellen Sie mithilfe von SSH eine Verbindung zu Ihrer EC2-Instance her. Spezifische Anweisungen dazu finden Sie unter Herstellen einer Verbindung zu Ihrer Linux-Instance mithilfe eines SSH-Clients im Amazon Elastic Compute Cloud-Benutzerhandbuch für Linux-Instances.
Führen Sie zur Installation den folgenden Befehl auslibreswan:
```
$ sudo yum install libreswan
```
(Optional) Wenn Sie IPSec in einem späteren Schritt überprüfen, werden diese Eigenschaften möglicherweise ohne diese Einstellungen gekennzeichnet. Wir empfehlen, Ihr Setup zunächst ohne diese Einstellungen zu testen. Wenn Ihre Verbindung Probleme hat, kehren Sie zu diesem Schritt zurück und nehmen Sie die folgenden Änderungen vor.

Verwenden Sie nach Abschluss der Installation Ihren bevorzugten Texteditor, um der /etc/sysctl.conf Datei die folgenden Einträge hinzuzufügen.
```
net.ipv4.ip_forward=1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.default.send_redirects = 0
net.ipv4.conf.lo.accept_redirects = 0
net.ipv4.conf.lo.send_redirects = 0
net.ipv4.conf.all.rp_filter = 0
net.ipv4.conf.default.rp_filter = 0
net.ipv4.conf.eth0.rp_filter = 0
```
Speichern Sie die Änderungen und beenden Sie den Texteditor.
Wenden Sie die Änderungen an.
```
$ sudo sysctl -p
```
Überprüfen Sie die IPSec-Konfiguration.
```
$ sudo ipsec verify
```
Stellen Sie sicher, dass die von Libreswan Ihnen installierte Version ausgeführt wird.
Initialisieren Sie die IPSec-NSS-Datenbank.
```
$ sudo ipsec checknss
```

Um das Zertifikat auf dem Client zu installieren

Kopieren Sie das Zertifikat, das Sie für den Client generiert haben, in das Arbeitsverzeichnis auf der EC2-Instance. Sie

Exportieren Sie das zuvor generierte Zertifikat in ein Format, das mit libreswan kompatibel ist.


$ openssl pkcs12 -export -in cert.pem -inkey decrypted.key \ 
    -certfile rootCA.pem -out certkey.p12 -name fsx

Importieren Sie den neu formatierten Schlüssel und geben Sie die Passphrase ein, wenn Sie dazu aufgefordert werden.
```
$ sudo ipsec import certkey.p12
```

Erstellen Sie eine IPSec-Konfigurationsdatei mit dem bevorzugten Texteditor.


$ sudo cat /etc/ipsec.d/nfs.conf

Fügen Sie der Konfigurationsdatei die folgenden Einträge hinzu:


conn fsxn
    authby=rsasig
    left=172.31.77.6
    right=198.19.254.13
    auto=start
    type=transport
    ikev2=insist
    keyexchange=ike
    ike=aes256-sha2_384;dh20
    esp=aes_gcm_c256
    leftcert=fsx
    leftrsasigkey=%cert
    leftid=%fromcert
    rightid=%fromcert
    rightrsasigkey=%cert

Sie starten IPSec auf dem Client, nachdem Sie IPSec auf Ihrem Dateisystem konfiguriert haben.

Konfiguration von IPSec auf Ihrem Dateisystem

Dieser Abschnitt enthält Anweisungen zur Installation des Zertifikats auf Ihrem FSx for ONTAP-Dateisystem und zur Konfiguration von IPSec.

Um das Zertifikat auf Ihrem Dateisystem zu installieren

Kopieren Sie das Stammzertifikat ()rootCA.pem), das Client-Zertifikat (cert.pem) und die entschlüsselten Schlüsseldateien (decrypted.key) in Ihr Dateisystem. Sie müssen die Passphrase für das Zertifikat kennen.
Um auf die ONTAP CLI zuzugreifen, richten Sie eine SSH-Sitzung auf dem Management-Port des Amazon FSx for NetApp ONTAP-Dateisystems oder der SVM ein, indem Sie den folgenden Befehl ausführen. management_endpoint_ipErsetzen Sie es durch die IP-Adresse des Management-Ports des Dateisystems.
```
[~]$ ssh fsxadmin@management_endpoint_ip
```
Weitere Informationen finden Sie unter Verwaltung von Dateisystemen mit dem ONTAP CLI.
Verwenden Sie diese Option cat auf einem Client (nicht in Ihrem Dateisystem), um den Inhalt der decrypted.key Dateien cert.pem und aufzulistenrootCA.pem, sodass Sie die Ausgabe jeder Datei kopieren und einfügen können, wenn Sie in den folgenden Schritten dazu aufgefordert werden.
```
$ > cat cert.pem
```
Kopieren Sie den Inhalt des Zertifikats.
Sie müssen alle bei der gegenseitigen Authentifizierung verwendeten CA-Zertifikate, einschließlich ONTAP-side sowohl der clientseitigen als auch der clientseitigen CAs, für die ONTAP Zertifikatsverwaltung installieren, sofern sie nicht bereits installiert ist (wie dies bei einer selbstsignierten ONTAP-Root-CA der Fall ist).

Verwenden Sie den security certificate install NetApp CLI-Befehl wie folgt, um das Client-Zertifikat zu installieren:
```
FSxID123:: > security certificate install -vserver dr -type client -cert-name ipsec-client-cert
```
```
Please enter Certificate: Press <Enter> when done
```
Fügen Sie den Inhalt der cert.pem Datei ein, die Sie zuvor kopiert haben, und drücken Sie die Eingabetaste.
```
Please enter Private Key: Press <Enter> when done
```
Fügen Sie den Inhalt der decrypted.key Datei ein und drücken Sie die Eingabetaste.
```
Do you want to continue entering root and/or intermediate certificates {y|n}: 
```
Geben Sie einn, um die Eingabe des Client-Zertifikats abzuschließen.
Erstellen und installieren Sie ein Zertifikat zur Verwendung durch die SVM. Die Aussteller-CA dieses Zertifikats muss bereits auf IPSec installiert ONTAP und zu IPSec hinzugefügt sein.

Verwenden Sie den folgenden Befehl, um das Stammzertifikat zu installieren.
```
FSxID123:: > security certificate install -vserver dr -type server-ca -cert-name ipsec-ca-cert 
```
```
Please enter Certificate: Press <Enter> when done
```
Fügen Sie den Inhalt der rootCA.pem Datei ein und drücken Sie die Eingabetaste.
Um sicherzustellen, dass sich die installierte CA während der Authentifizierung innerhalb des IPSec-CA-Suchpfads befindet, fügen Sie die ONTAP Zertifizierungsstellen für die Zertifikatsverwaltung mithilfe des Befehls „security ipsec ca-certificate add“ zum IPSec-Modul hinzu.

Geben Sie den folgenden Befehl ein, um das Stammzertifikat hinzuzufügen.
```
FSxID123:: > security ipsec ca-certificate add -vserver dr -ca-certs ipsec-ca-cert
```

Geben Sie den folgenden Befehl ein, um die erforderliche IPSec-Richtlinie in der Sicherheitsrichtlinien-Datenbank (SPD) zu erstellen.


security ipsec policy create -vserver dr -name policy-name -local-ip-subnets 198.19.254.13/32 -remote-ip-subnets 172.31.0.0/16 -auth-method PKI -action ESP_TRA -cipher-suite SUITEB_GCM256 -cert-name ipsec-client-cert -local-identity "CN=*.ec2.internal" -remote-identity "CN=*.ec2.internal"

Verwenden Sie den folgenden Befehl, um die IPSec-Richtlinie für das zu bestätigende Dateisystem anzuzeigen.


FSxID123:: > security ipsec policy show -vserver dr -instance

                                    Vserver: dr
                                Policy Name: promise
                           Local IP Subnets: 198.19.254.13/32
                          Remote IP Subnets: 172.31.0.0/16
                                Local Ports: 0-0
                               Remote Ports: 0-0
                                  Protocols: any
                                     Action: ESP_TRA
                               Cipher Suite: SUITEB_GCM256
          IKE Security Association Lifetime: 86400
        IPsec Security Association Lifetime: 28800
IPsec Security Association Lifetime (bytes): 0
                          Is Policy Enabled: true
                             Local Identity: CN=*.ec2.internal
                            Remote Identity: CN=*.ec2.internal
                      Authentication Method: PKI
             Certificate for Local Identity: ipsec-client-cert

Starten Sie IPSec auf dem Client

Jetzt ist IPSec sowohl auf dem FSx for ONTAP-Dateisystem als auch auf dem Client konfiguriert. Sie können IPSec auf dem Client starten.

Stellen Sie über SSH eine Verbindung zu Ihrem Clientsystem her.
Starten Sie IPSec.
```
$ sudo ipsec start
```
Überprüfen Sie den Status von IPSec.
```
$ sudo ipsec status
```

Mounten Sie ein Volume in Ihrem Dateisystem.


$ sudo mount -t nfs 198.19.254.13:/benchmark /home/ec2-user/acm/dr

Überprüfen Sie das IPSec-Setup, indem Sie die verschlüsselte Verbindung auf Ihrem FSx for ONTAP-Dateisystem anzeigen.


FSxID123:: > security ipsec show-ikesa -node FsxId123
FsxId08ac16c7ec2781a58::> security ipsec show-ikesa -node FsxId08ac16c7ec2781a58-01
            Policy Local           Remote
Vserver     Name   Address         Address         Initator-SPI     State
----------- ------ --------------- --------------- ---------------- -----------
dr          policy-name
                   198.19.254.13   172.31.77.6     551c55de57fe8976 ESTABLISHED
fsx         policy-name
                   198.19.254.38   172.31.65.193   4fd3f22c993e60c5 ESTABLISHED
2 entries were displayed.

IPSec für mehrere Clients einrichten

Wenn eine kleine Anzahl von Clients IPSec nutzen muss, ist die Verwendung eines einzigen SPD-Eintrags für jeden Client ausreichend. Wenn jedoch Hunderte oder sogar Tausende von Clients IPSec nutzen müssen, empfehlen wir, die IPSec-Konfiguration mit mehreren Clients zu verwenden.

FSx for ONTAP unterstützt die Verbindung mehrerer Clients in vielen Netzwerken mit einer einzigen SVM-IP-Adresse mit aktiviertem IPSec. Dazu können Sie entweder die subnet Konfiguration oder die Konfiguration verwenden, die Allow all clients in den folgenden Verfahren erklärt werden:

So konfigurieren Sie IPSec für mehrere Clients mithilfe einer Subnetzkonfiguration

Um alle Clients in einem bestimmten Subnetz zuzulassen (192.168.134. 0/24 Wenn Sie beispielsweise mithilfe eines einzigen SPD-Richtlinieneintrags eine Verbindung zu einer einzelnen SVM-IP-Adresse herstellen möchten, müssen Sie die remote-ip-subnets in Subnetzform angeben. Darüber hinaus müssen Sie das remote-identity Feld mit der richtigen clientseitigen Identität angeben.

Wichtig

Bei Verwendung der Zertifikatsauthentifizierung kann jeder Client entweder sein eigenes Zertifikat oder ein gemeinsames Zertifikat zur Authentifizierung verwenden. FSx for ONTAP IPSec überprüft die Gültigkeit des Zertifikats anhand der CAs, die in seinem lokalen Trust Store installiert sind. FSx for ONTAP unterstützt auch die Überprüfung der Zertifikatssperrliste (CRL).

Um auf die ONTAP CLI zuzugreifen, richten Sie eine SSH-Sitzung auf dem Management-Port des Amazon FSx for NetApp ONTAP-Dateisystems oder der SVM ein, indem Sie den folgenden Befehl ausführen. management_endpoint_ipErsetzen Sie es durch die IP-Adresse des Management-Ports des Dateisystems.
```
[~]$ ssh fsxadmin@management_endpoint_ip
```
Weitere Informationen finden Sie unter Verwaltung von Dateisystemen mit dem ONTAP CLI.

Verwenden Sie den security ipsec policy create NetApp ONTAP CLI-Befehl wie folgt und ersetzen Sie die sample Werte durch Ihre spezifischen Werte.


FsxId123456::> security ipsec policy create -vserver svm_name -name policy_name \
  -local-ip-subnets 192.168.134.34/32 -remote-ip-subnets 192.168.134.0/24 \
  -local-ports 2049 -protocols tcp -auth-method PSK \
  -cert-name my_nfs_server_cert -local-identity ontap_side_identity \
  -remote-identity client_side_identity

So konfigurieren Sie IPSec für mehrere Clients mithilfe der Konfiguration „Alle Clients zulassen“

Damit jeder Client, unabhängig von seiner Quell-IP-Adresse, eine Verbindung zur IPsec-enabled SVM-IP-Adresse herstellen kann, verwenden Sie bei der Angabe des 0.0.0.0/0 Feldes den Platzhalter. remote-ip-subnets

Darüber hinaus müssen Sie das remote-identity Feld mit der richtigen clientseitigen Identität angeben. Für die Zertifikatsauthentifizierung können Sie Folgendes eingebenANYTHING.

Auch wenn die 0.0.0. 0/0 Wenn ein Platzhalter verwendet wird, müssen Sie eine bestimmte lokale oder Remote-Portnummer für die Verwendung konfigurieren. Zum Beispiel NFS-Port 2049.

Um auf die ONTAP CLI zuzugreifen, richten Sie eine SSH-Sitzung auf dem Management-Port des Amazon FSx for NetApp ONTAP-Dateisystems oder der SVM ein, indem Sie den folgenden Befehl ausführen. management_endpoint_ipErsetzen Sie es durch die IP-Adresse des Management-Ports des Dateisystems.
```
[~]$ ssh fsxadmin@management_endpoint_ip
```
Weitere Informationen finden Sie unter Verwaltung von Dateisystemen mit dem ONTAP CLI.

Verwenden Sie den security ipsec policy create NetApp ONTAP CLI-Befehl wie folgt und ersetzen Sie die sample Werte durch Ihre spezifischen Werte.


FsxId123456::> security ipsec policy create -vserver svm_name -name policy_name \
  -local-ip-subnets 192.168.134.34/32 -remote-ip-subnets 0.0.0.0/0 \
  -local-ports 2049 -protocols tcp -auth-method PSK \
  -cert-name my_nfs_server_cert -local-identity ontap_side_identity \
  -local-ports 2049 -remote-identity client_side_identity

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

Konfiguration von IPSec mithilfe der PSK-Authentifizierung

Identity and Access Management