Частые вопросы по ГОСТ IKEv2 в НАЙС.ОС¶

Нужно ли скачивать и компилировать strongSwan?¶

Нет. На НАЙС.ОС CLOUD 5.2 устанавливайте tdnf install strongswan openssl-gost-engine; управляйте systemctl и swanctl. Исходные комплекты разработчиков к пользовательской установке не относятся.

Есть ли ГОСТ из коробки после установки RPM?¶

В испытанном RPM загружается niceos-gost, а swanctl --list-algs содержит соответствующие алгоритмы. Для рабочего VPN всё равно нужно настроить peers, ключи, CA/CRL и firewall. Проверьте свои фактические версии.

Какую аутентификацию выбрать?¶

PSK — быстрый простой стенд; X.509 — индивидуальные ключи и управляемый отзыв. Строгая CRL требует регулярного обслуживания УЦ.

Почему вижу `remote host is behind NAT`, хотя NAT нет?¶

Профиль использует encap = yes и принудительно переносит ESP в UDP 4500; сообщение может появляться без реального NAT.

Почему ping работает без `-I`?¶

Маршрут содержит src 10.200.x.1. В испытанном образе утилита ping не принимает ключ -I; ip route get <защищённый_IP> показывает выбранный источник.

Может ли VPN работать без CRL?¶

При remote.revocation = strict для новой X.509 аутентификации нужен положительный статус. Если нет пригодной локальной CRL и HTTPS недоступен, испытанный charon отклоняет подключение.

Нужно ли запускать внешний Python загрузчик CRL?¶

Нет: при authorities.*.crl_uris и загруженных curl/revocation charon сам запросил HTTPS CRL и проверил ГОСТ-подпись. Для продакшна всё равно нужен регламент публикации и контроль свежести.

Почему после обновления CRL активная SA не исчезла?¶

Проверка статуса проводится при X.509 IKE_AUTH. Существующая SA не обязательно переаутентифицируется; при инциденте принудительно завершите SA и заблокируйте узел.

Нужен Python-модуль `vici`?¶

Для swanctl — нет. Для своего управляющего приложения — можно использовать отдельный клиент VICI и ограниченный доступ к сокету; API-сервер из RPM автоматически не появляется.

Можно ли сразу включить полноценный роутер LAN-LAN?¶

Даже если strongSwan поддерживает подобную модель, приведённый /32 host-to-host профиль не обеспечивает маршрутизацию FORWARD, IPv6 или LAN NAT сам по себе. Спроектируйте TS/маршруты/политику firewall и протестируйте обе стороны.

Является ли эта реализация сертифицированным СКЗИ?¶

ГОСТ-алгоритмы и успешно пройденные тесты не равнозначны нормативной сертификации конкретного СКЗИ. Для такой цели требуется отдельная процедура.