ГОСТ IPsec: профиль IKEv2/ESP НАЙС.ОС¶
В НАЙС.ОС CLOUD 5.2 ГОСТ IPsec используется через установленный системный RPM strongSwan 6.1.0, плагин niceos-gost и проверенный путь ESP kernel-libipsec/ipsec0. Полное руководство по установке, PSK, X.509, CRL и HTTPS см. в ГОСТ IKEv2/IPsec.
Что образует совместимый профиль¶
Для полноценного соединения недостаточно только «Кузнечика» в ядре. Оба партнёра должны поддержать одинаковые предложения IKE/ESP, ГОСТ-группу обмена ключами, аутентификацию, сертификаты или PSK, NAT-T, rekey и одинаковые traffic selectors.
| Часть | Подтверждённый профиль НАЙС.ОС |
|---|---|
| IKEv2 | KUZNYECHIK_MGM_KTREE/PRF_HMAC_STREEBOG_512/GOST3410_512 |
| ESP | KUZNYECHIK_MGM_KTREE, TUNNEL-in-UDP |
| Аутентификация | PSK или взаимные сертификаты X.509 с GOST512 |
| Реализация ESP | kernel-libipsec и TUN ipsec0; не XFRM этого профиля |
| Отзыв | ГОСТ CRL с remote.revocation = strict |
| Передача CRL | локальная CRL либо встроенный HTTPS fetcher charon |
Как проверить реально установленный VPN¶
rpm -q strongswan openssl-gost-engine
systemctl is-active strongswan.service
swanctl --list-algs | grep -Ei 'GOST|KUZNYECHIK|STREEBOG'
swanctl --list-conns
swanctl --list-sas
ip -s link show ipsec0
Нужны не только ESTABLISHED и INSTALLED, но и рост счётчиков ESP/двусторонняя передача; при X.509 — успешная CRL и GOST512 AUTH. Контрольный лист.
Стандарты и совместимость¶
- RFC 9227 задаёт ГОСТ-шифры MGM-KTREE для IKEv2 и ESP.
- RFC 9385 дополняет ГОСТ-преобразования IKEv2 (PRF, подписи, ключевой обмен).
- RFC 7296 — базовый протокол IKEv2.
Совпадение названия ГОСТ у двух производителей не доказывает их фактической совместимости. Для сторонних шлюзов, аппаратного XFRM, IPv6 и сертификации СКЗИ требуются отдельные испытания. Совместимость и ограничения.
Первоисточники¶
Теория ключей и форматов: VKO, формат CMS.