Переход с PSK на ГОСТ X.509 без потери контроля¶

Когда переходить¶

PSK удобен для первого теста; в корпоративной сети X.509 позволяет выдавать отдельные ключи и сертификаты узлам и отзывать их без одновременного изменения общего секрета у всех участников. Миграция меняет тип аутентификации, поэтому на короткое время прервёт действующую SA. Выполняйте в окно обслуживания.

Подготовка до остановки VPN¶

Проверить работоспособность PSK через swanctl --list-sas и ping.
Выпустить ГОСТ PKI и отдельные сертификаты обоих узлов по инструкции.
Установить CA, сертификаты, ключи и CRL на обеих VM, создать зеркальный профиль X.509.
Убедиться в swanctl --list-conns, что второй профиль присутствует, swanctl --list-certs --type x509_crl содержит действительный список, loaded GOST512 key зарегистрирован в журнале.
Убедиться, что iptables блокирует защищённые IP вне ipsec0 и есть альтернативный SSH/консольный доступ.

Переключение на обеих VM¶

Предположим, старый профиль PSK хранится в niceos-gost-psk.conf, как в этом руководстве. Сначала завершите SA PSK на инициаторе:

swanctl --terminate --ike gost

На обеих VM:

umask 077
install -d -m 700 /root/niceos-ike-psk-backup
mv /etc/swanctl/conf.d/niceos-gost-psk.conf \
   /root/niceos-ike-psk-backup/niceos-gost-psk.conf
swanctl --load-conns
swanctl --load-creds --clear
swanctl --list-conns

На инициаторе:

swanctl --initiate --child gost-x509
swanctl --list-sas

Проверьте GOST512 аутентификацию, подписанную CRL, ESTABLISHED + INSTALLED и ICMP 10/10 обеих сторон. Не удаляйте PSK-копию до завершения приёмки и переноса секретов в утверждённое хранилище.

Откат, если X.509 не работает¶

На обеих VM верните только свой PSK-профиль:

mv /root/niceos-ike-psk-backup/niceos-gost-psk.conf \
  /etc/swanctl/conf.d/niceos-gost-psk.conf
swanctl --load-conns
swanctl --load-creds --clear

Затем на инициаторе: swanctl --initiate --child gost, проверить --list-sas и ping. Не очищайте всю /etc/swanctl и не отключайте strict на работающем X.509 профиле: локализуйте конкретную ошибку из диагностики.