虚拟专用网络 VPN-示例：使用StrongSwan配置云上云下互通:配置步骤

时间：2024-07-19 15:22:09

虚拟专用网络 VPN

配置步骤

根据strongswan版本不同，相关配置可能存在差异。本实例以strongswan 5.7.2版本为例，详细介绍strongswan在Linux环境下的VPN配置。

安装IPsec VPN客户端。
yum install strongswan

安装交互过程选择“Y”，出现“Complete!”提示即完成安装，strongswan的配置文件集中放置在/etc/strongswan目录中，配置过程只需编辑IPsec.conf和IPsec.secrets文件即可。
开启IPv4转发。
vim /etc/sysctl.conf
1. 在配置文件中增加如下内容：
```
net.ipv4.ip_forward = 1
```
2. 执行/sbin/sysctl -p命令，使转发配置参数生效。

iptables配置。

确认关闭firewall或允许数据流转发，查询命令：iptables -L

iptables -L
    Chain INPUT (policy ACCEPT)
    target     prot opt source               destination 
    Chain FORWARD (policy ACCEPT)
    target     prot opt source               destination 
    Chain OUTPUT (policy ACCEPT)
    target     prot opt source               destination

预共享密钥配置。
```
vim /etc/strongswan/IPsec.secrets          # 编辑IPsec.secrets文件
22.22.22.22 11.11.11.11 : PSK "IPsec-key"
```
格式与openswan相同，冒号的两边都有空格，PSK只能为大写，密钥用英文双引号。

IPsec连接配置。

vim /etc/strongswan/IPsec.conf

在配置文件中增加如下内容：

config setup
conn strong_IPsec                               # 定义连接名称为strong_IPsec
  auto=route                                    # 可选择add、route和start
  type=tunnel                                   # 开启隧道模式
  compress=no                                   # 关闭压缩
  leftauth=psk                                  # 定义本地认证方式为PSK
  rightauth=psk                                 # 定义远端认证方式为PSK
  ikelifetime=86400s                            # ike阶段生命周期
  lifetime=3600s                                # 二阶段生命周期
  keyexchange=ikev1                             # ike密钥交换方式为版本1
  ike=aes128-sha1-modp1536!                     # 按照对端配置定义ike阶段算法和group，modp1536=DH group 5
  esp=aes128-sha1-modp1536!                     # 按照对端配置定义IPsec阶段算法和group，modp1536=DH group 5
  leftid=22.22.22.22                            # 本端标识ID
  left=192.168.222.222                          # 本地IP，nat场景选择真实的主机地址
  leftsubnet=192.168.222.0/24                   # 本地子网
  rightid=11.11.11.11                           # 远端标识ID
  right=11.11.11.11                             # 远端VPN网关IP
  rightsubnet=192.168.200.0/24                  # 远端子网

华为云VPN使用的DH-group对应的比特位详细请参见华为云VPN使用的DH-group对应的比特位是多少？。

启动服务。
service strongswan stop # 关闭服务

service strongswan start # 启动服务

service strongswan restart # 重启服务

strongswan stop # 关闭连接

strongswan start # 开启连接

每次修改配置都需要重启服务，并重新开启连接。