ГОСТ IKEv2/IPsec в НАЙС.ОС: руководство пользователя¶

ГОСТ IKEv2/IPsec в НАЙС.ОС CLOUD 5.2 — защищённые сетевые соединения средствами установленного из RPM strongswan-6.1.0 с модулем niceos-gost. Для управления используется штатный swanctl, для жизненного цикла процесса — systemd, для передачи ESP в проверенном варианте — kernel-libipsec и интерфейс ipsec0. Установка не требует сборки исходного кода, вспомогательных скриптов разработчика или замены системного OpenSSL.

Для кого предназначена документация

Для администраторов НАЙС.ОС, которые хотят создать VPN между двумя узлами или шлюзами с российскими криптографическими алгоритмами, выдать ГОСТ-сертификаты, настроить строгую проверку отзыва и диагностировать соединение. Описание соответствует системному RPM на реальных узлах с ядром 6.12.114 и OpenSSL 3.5.9 (26.10.2026); новые выпуски проверяйте по установленным пакетам.

Как устроен защищённый канал¶

 Защищённая сеть А                                   Защищённая сеть Б
 10.200.1.1/32                                       10.200.2.1/32
      |                                                     |
 НАЙС.ОС CLOUD / strongSwan                           НАЙС.ОС CLOUD / strongSwan
 192.168.10.15                                        192.168.10.26
 swanctl ─VICI─ charon ← IKEv2 UDP 500/4500 → charon ─VICI─ swanctl
          niceos-gost  ← ESP-in-UDP (Кузнечик MGM) →  niceos-gost
          kernel-libipsec / ipsec0       ipsec0 / kernel-libipsec
      |                                                     |
 Маршрут и firewall: защищённые адреса не выходят в обход VPN

IKEv2 выполняет согласование ключей, аутентификацию и обновление SA; ESP защищает полезные данные. В проверенном ГОСТ-профиле применяется KUZNYECHIK_MGM_KTREE, PRF_HMAC_STREEBOG_512, GOST3410_512, а X.509 использует GOST512 подписи. Это профиль НАЙС.ОС, а не обещание совместимости с любым сторонним IPsec-шлюзом.

Последовательность настройки¶

Установите RPM, проверьте возможности ГОСТ и подготовьте адреса.
Подготовьте charon, VICI и systemd, маршруты и фаервол.
Выберите быстрый PSK для обучения или ГОСТ X.509 для эксплуатации с собственными сертификатами.
Для X.509 создайте PKI, проверьте CRL и при необходимости HTTPS-распространение CRL.
Запустите и проверьте туннель, проверьте ESP, rekey и fail-closed.
Настройте операционные процедуры, диагностику, резервное восстановление и безопасную проверку.

Быстрая самопроверка установленной системы¶

rpm -q strongswan openssl openssl-libs openssl-gost-engine
systemctl is-active strongswan.service
pgrep -a charon
swanctl --list-algs | grep -Ei 'KUZNYECHIK|MAGMA|STREEBOG|GOST'
swanctl --list-conns
swanctl --list-sas

Статусы ESTABLISHED для IKE SA и INSTALLED для CHILD SA, увеличивающиеся счётчики ESP и успешная передача данных — последовательные признаки работающего канала. Один ESTABLISHED не доказывает передачу пользовательского трафика.

Граница подтверждённых возможностей¶

Подтверждено на двух НАЙС.ОС 5.2: PSK, двусторонний X.509 GOST512, CRL с ГОСТ-подписью, revocation = strict, отказ при отсутствии/отзыве CRL, встроенная HTTPS-загрузка CRL charon через curl, отказ при недоступном HTTPS и отсутствии локальной CRL, CHILD/IKE rekey, ESP-in-UDP, двусторонние ICMP без потерь и запрет отправки защищённого /32 вне VPN. Подробности: матрица приёмки.

Не подтверждено в этих испытаниях: OCSP, аппаратные токены/HSM, массовая ротация УЦ, сторонние шлюзы, IPv6, HA/кластер, высокие нагрузки, аппаратный XFRM и регуляторная сертификация СКЗИ. Ограничения и дальнейшие проверки.

Правила безопасности¶

Не помещайте PSK и закрытые ключи в тикеты, журналы, снимки экрана или репозитории. Не изменяйте SSH, основные маршруты, системный firewall и strongswan.conf на рабочем сервере без резервной копии и окна обслуживания. Строгая проверка CRL защищает новую аутентификацию: она не означает мгновенное отключение ранее установленной IKE SA. Срок nextUpdate CRL контролируется администратором.