Дополнительные возможности и интеграция с VICI¶
Что такое VICI¶
VICI — локальный управляющий интерфейс charon; им пользуется штатный swanctl. Через него доступны конфигурация соединений, ключей, удостоверяющих центров, получение списка SA, инициирование/завершение и rekey. В испытанном RPM сокет расположен в /run/strongswan/charon.vici.
ss -xlpn | grep '/run/strongswan/charon.vici'
swanctl --stats
swanctl --list-conns
swanctl --list-sas
swanctl --list-authorities
swanctl --list-certs
Отсутствие модуля Python vici на НАЙС.ОС 5.2 не влияет на работоспособность VPN: swanctl уже содержит клиентский протокол. Для собственного веб-интерфейса или автоматики необходимо отдельно установить/упаковать совместимый клиент VICI, настроить строгую авторизацию к Unix-сокету и изоляцию управляющих процессов. Открывать VICI напрямую через публичный TCP запрещено без отдельной модели защиты.
Несколько соединений и CHILD SA¶
swanctl.conf может содержать несколько именованных блоков connections, а каждый — несколько children. Разделяйте peer IDs, локальные/удалённые IP, TS и имена CHILD; следите за пересечением маршрутов и политик безопасности. Расширение на несколько процессов charon, разные сокеты/порты и централизованную панель не следует считать реализованным только на основании одного VICI-socket: это отдельный продукт и стенд квалификации.
Нестандартные сценарии strongSwan¶
Upstream strongSwan документирует IKEv2, PSK, X.509, EAP, виртуальные IP, MOBIKE и разные kernel backends. Наличие функций в upstream не равно поддержке конкретной ГОСТ-схемы данного RPM. Проверенный путь: два статических IPv4 peer, сертификаты/PSK, mobike=no, kernel-libipsec.
Другие криптопредложения и функции можно изучать через swanctl --list-algs, swanctl --list-conns и документацию upstream, но перед промышленным использованием надо подтвердить работу выбранных ГОСТ-преобразований end-to-end.
Источники для расширенных конфигураций¶
Для практических профилей НАЙС.ОС приоритет имеют настроенные в RPM имена плагинов, конкретный OpenSSL GOST Engine и выбранные предложения, а не произвольный upstream пример с AES.