*Backtrace*

_ /etc/ipsec.conf

/etc/rc.d/ipsec を使う運用の場合、flush; と spdflush; はいるんだろうか flush; はともかく spdflush; はつけておいて害はないだろうが。

flush;
spdflush;
spdadd  [my-addr]/32 [her-addr]/32 ipencap -P out
        ipsec esp/tunnel/[my-addr]-[her-addr]/require;
spdadd  [her-addr]/32 [my-addr]/32 ipencap -P in
        ipsec esp/tunnel/[her-addr]-[my-addr]/require;

トンネルを作ってるホスト間を通るパケットのうち、カプセル化したパケット (ipencap) だけ ESP しちまえという設定。トンネル丸ごと暗号化したいなら、 ipencap な(カプセル化してある)パケットを無差別に暗号化しちまえば OK ということだ。ちまちま必要な物を ESP してから ipencap しなくてもいい。細かく設定しようと思ったらそうもいかないんだが。

_ RFC2409

pfs_group の group number と実際に使う生成元との対応が気になったので調べる。

_ IPsec を使う

FreeBSD はあっさり設定できたんだが、 OpenBSD でまた設定しなくちゃならん。