失眠网 > CentOS搭建Strongswan

CentOS搭建Strongswan

时间：2024-08-16 01:29:46

相关推荐

CentOS搭建Strongswan

假设你的服务器公网ip是99.99.99.99, 下文中出现的指令中的“你的服务器公网ip”替换成99.99.99.99

1、安装strongswan

yum install strongswan

2、创建证书

strongswan pki --gen --outform pem > ca.key.pemstrongswan pki --self --in ca.key.pem --dn "C=CN, O=Org, CN=Org Me CA" --ca --lifetime 3650 --outform pem > ca.cert.pem

strongswan pki --gen --outform pem > server.key.pemstrongswan pki --pub --in server.key.pem --outform pem > server.pub.pemstrongswan pki --pub --in server.key.pem | strongswan pki --issue --lifetime 3601 --cacert ca.cert.pem --cakey ca.key.pem --dn "C=CN, O=Org, CN=Org Me CA" --san="99.99.99.99" --san="99.99.99.99" --flag serverAuth --flag ikeIntermediate --outform pem > server.cert.pem

注意：

这里C=CN, O=Org, CN=Org Me CAOrg指机构名字 Me是自己名字随便填。--san="99.99.99.99" --san="99.99.99.99"如果已经有域名可以把一个改成域名

3、安装证书

cp -r ca.key.pem /etc/strongswan/ipsec.d/private/cp -r ca.cert.pem /etc/strongswan/ipsec.d/cacerts/cp -r server.cert.pem /etc/strongswan/ipsec.d/certs/cp -r server.pub.pem /etc/strongswan/ipsec.d/certs/cp -r server.key.pem /etc/strongswan/ipsec.d/private/

4、配置VPN

vi /etc/strongswan/ipsec.conf

config setup uniqueids=never #允许多个客户端使用同一个证书conn %default #定义连接项, 命名为 %default 所有连接都会继承它compress = yes #是否启用压缩, yes 表示如果支持压缩会启用.dpdaction = hold #当意外断开后尝试的操作, hold, 保持并重连直到超时.dpddelay = 30s #意外断开后尝试重连时长dpdtimeout = 60s #意外断开后超时时长, 只对 IKEv1 起作用inactivity = 300s #闲置时长,超过后断开连接.leftdns = 8.8.8.8,8.8.4.4 #指定服务端与客户端的dns, 多个用","分隔rightdns = 8.8.8.8,8.8.4.4conn IKEv2-BASEleftca = "C=CN, O=Org, CN=Org Me CA" #服务器端根证书DN名称，与 --dn 内容一致 leftsendcert = always #是否发送服务器证书到客户端rightsendcert = never #客户端不发送证书conn IKEv2-EAP keyexchange=ikev2 #默认的密钥交换算法, ike 为自动, 优先使用 IKEv2left=%any #服务器端标识,%any表示任意 leftid= 你的服务器公网ip#服务器端ID标识，你的服务器公网ip(99.99.99.99) leftsubnet=0.0.0.0/0 #服务器端虚拟ip, 0.0.0.0/0表示通配. leftcert = server.cert.pem#服务器端证书 leftauth=pubkey#服务器校验方式，使用证书 right=%any#客户端标识，%any表示任意 rightsourceip = 10.1.0.0/16 #客户端IP地址分配范围 rightauth=eap-mschapv2 #eap-md5#客户端校验方式#KEv2 EAP(Username/Password) also=IKEv2-BASEeap_identity = %any #指定客户端eap idrekey = no #不自动重置密钥fragmentation = yes #开启IKE 消息分片auto = add #当服务启动时, 应该如何处理这个连接项. add 添加到连接表中.

5、修改 dns 配置

vi /etc/strongswan/strongswan.d/charon.conf

charon {duplicheck.enable = no #同时连接多个设备,把冗余检查关闭.# windows 公用 dnsdns1 = 8.8.8.8dns2 = 8.8.4.4#以下是日志输出, 生产环境请关闭.filelog {/var/log/charon.log {# add a timestamp prefixtime_format = %b %e %T# prepend connection name, simplifies greppingike_name = yes# overwrite existing filesappend = no# increase default loglevel for all daemon subsystemsdefault = 1# flush each line to diskflush_line = yes}}}

vi /etc/strongswan/strongswan.conf

charon {load_modular = yesduplicheck.enable = nocompress = yesplugins {include strongswan.d/charon/*.conf}dns1 = 8.8.8.8nbns1 =8.8.4.4}include strongswan.d/*.conf

6、配置用户和密码

vi /etc/strongswan/ipsec.secrets

#ipsec.secrets - strongSwan IPsec secrets file#使用证书验证时的服务器端私钥#格式 : RSA <private key file> [ <passphrase> | %prompt ]: RSA server.key.pem#使用预设加密密钥, 越长越好#格式 [ <id selectors> ] : PSK <secret>admin : PSK "123456"#EAP 方式, 格式同 psk 相同 (用户名/密码例：oneAA/oneTT)admin : EAP "123456"#XAUTH 方式, 只适用于 IKEv1#格式 [ <servername> ] <username> : XAUTH "<password>"admin : XAUTH "123456"

注意：账号密码分别是 admin 123456 这个自己定义

7、开启内核转发

vi /etc/sysctl.conf

配置里添加如下：

net.ipv4.ip_forward = 1net.ipv6.conf.all.forwarding=1

8、配置防火

vi /etc/firewalld/zones/public.xml

<?xml version="1.0" encoding="utf-8"?><zone><short>Public</short><description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description><interface name="eth0"/><service name="ssh"/><service name="dhcpv6-client"/><service name="ipsec"/><port protocol="tcp" port="1723"/><port protocol="tcp" port="47"/><port protocol="tcp" port="1701"/><port protocol="tcp" port="22"/><masquerade/><rule family="ipv4"><source address="10.1.0.0/16"/><masquerade/></rule><rule family="ipv4"><source address="10.1.0.0/16"/><forward-port to-port="4500" protocol="udp" port="4500"/></rule><rule family="ipv4"><source address="10.1.0.0/16"/><forward-port to-port="500" protocol="udp" port="500"/></rule><masquerade/></zone>