Приёмка системного ГОСТ strongSwan: критерии и факты¶
Приёмка проводится на установленном RPM, а не на самостоятельно собранном комплекте. Ни одна из команд не требует исходников или сценариев из сборочного каталога.
Контроль установки¶
cat /etc/os-release
uname -r
rpm -q strongswan openssl openssl-gost-engine
rpm -V strongswan
systemctl is-active strongswan.service
pgrep -a charon
ss -xlpn | grep charon.vici
swanctl --list-algs | grep -Ei 'KUZNYECHIK|GOST|STREEBOG'
swanctl --list-conns
swanctl --list-sas
swanctl --list-certs --type x509_crl
Реальные результаты двух VM от 26.10.2026¶
| Возможность | Проверка |
|---|---|
Системный RPM strongswan-6.1.0-1.niceosc5 |
PASS |
| PSK ГОСТ IKEv2 | PASS |
| Кузнечик MGM ESP-in-UDP / kernel-libipsec | PASS |
Двусторонний ping /32 |
30/30 в обе стороны |
| IKE rekey / CHILD rekey | PASS на обеих VM, при 10/10 трафике |
| Завершение SA и адресный fail-closed | PASS в тестовой топологии |
| X.509 ГОСТ512, CA, подписи | PASS |
| Локальная ГОСТ CRL, strict | PASS |
| Нет CRL | Соединение отклонено (PASS) |
| Отозванный временный сертификат | Соединение отклонено (PASS) |
| Действительный исходный сертификат + CRL с отзывом | PASS |
| TLS HTTPS CRL и проверка ГОСТ-подписи | PASS |
Сам charon скачивает HTTPS CRL |
PASS: совпавшие fetching и серверный GET |
| HTTPS недоступен, CRL нет | Соединение отклонено (PASS) |
| Восстановление после HTTPS-отказа | 10/10, PASS |
Топология: 192.168.10.15/192.168.10.26, защищённые 10.200.1.1/32 и 10.200.2.1/32, ядро 6.12.114, OpenSSL 3.5.9. Эти результаты применимы к испытанной конфигурации, а не автоматически ко всем сетям.
Условия PASS на новой системе¶
- ГОСТ-модуль и
kernel-libipsecреально загружены вcharon; VICI доступен. - Согласованы именно ГОСТ IKE и ESP; SA
ESTABLISHEDиINSTALLED. - Счётчики ESP увеличиваются, оба защищённых направления передают пакеты.
- CRL проходит проверку подписи, срока, issuer и не допускает отозванный serial.
strictне разрешает новое соединение при неизвестном статусе.- HTTPS-загрузка подтверждена новым запросом к CRL-серверу и журналом charon.
- Отключение SA не приводит к передаче исходного защищаемого IP вне VPN.
Что ещё не является PASS¶
OCSP, отказ на повреждённой криптографической подписи CRL, anti-rollback более старого действительно подписанного CRL, сторонние VPN-шлюзы, аппаратные ключи, IPv6, массовая ротация CA, высоконагруженный профиль, HA и сертификация СКЗИ требуют отдельных испытаний. Границы.
В протокол можно включать версии RPM, SHA-256 публичных сертификатов, номер CRL, результат проверки, отдельные SPI и очищенные логи. Не включайте закрытые ключи или PSK.