openwrt中搭建strongswan服务器vpn支持ipsec ikev2

御坂主机

1. 简介

OpenWrt是一款基于linux的开源路由器固件，为用户提供了灵活的网络配置选项。StrongSwan是一个强大的IPsec VPN解决方案，支持IKEv2协议。本文将详细介绍在OpenWrt上搭建StrongSwan服务器以支持IPsec IKEv2 VPN的方法。

1.1 OpenWrt和StrongSwan的优势

OpenWrt的优势在于其高度可定制性和广泛的硬件支持，使其成为搭建家庭和小型企业网络的理想选择。StrongSwan则提供了可靠的IPsec VPN支持，能够实现安全的远程访问和数据传输。

2. 环境准备

在开始搭建StrongSwan服务器之前，需要确保你的OpenWrt设备已经连接到互联网并且可以访问OpenWrt的命令行界面（CLI）。

2.1 更新软件包列表

首先，更新OpenWrt的软件包列表以确保我们能够获取最新的软件包：

1. opkg update

复制代码

2.2 安装StrongSwan

使用以下命令安装StrongSwan及其相关组件：

1. opkg install strongswan-full

复制代码

该命令将安装StrongSwan及其所有必要的依赖项。

3. 配置StrongSwan

安装完成后，需要配置StrongSwan以支持IPsec IKEv2 VPN。

3.1 配置IPsec

编辑StrongSwan的主配置文件`ipsec.conf`。使用文本编辑器（如vi或nano）打开该文件：

1. vi /etc/strongswan/ipsec.conf

复制代码

添加以下内容以配置IPsec：

1. config setup
   
2.     charondebug="ike 2, knl 2, cfg 2"
   
3. 
   
4. conn ikev2-vpn
   
5.     keyexchange=ikev2
   
6.     ike=aes256-sha256-modp2048
   
7.     esp=aes256-sha256
   
8.     dpdaction=clear
   
9.     dpddelay=300s
   
10.     rekey=no
    
11.     left=%any
    
12.     leftid=@your_domain_or_ip
    
13.     leftcert=serverCert.pem
    
14.     leftsendcert=always
    
15.     leftsubnet=0.0.0.0/0
    
16.     right=%any
    
17.     rightid=%any
    
18.     rightauth=eap-mschapv2
    
19.     rightsourceip=10.0.0.0/24
    
20.     rightdns=8.8.8.8
    
21.     rightsendcert=never
    
22.     eap_identity=%identity
    
23.     auto=add

复制代码

确保将`your_domain_or_ip`替换为你的实际域名或IP地址。

3.2 配置身份验证

编辑StrongSwan的身份验证文件`ipsec.secrets`：

1. vi /etc/strongswan/ipsec.secrets

复制代码

添加以下内容以配置身份验证：

1. : RSA serverKey.pem
   
2. username : EAP "password"

复制代码

确保将`username`和`password`替换为实际的用户名和密码。

4. 生成证书

为StrongSwan生成服务器证书和密钥。可以使用StrongSwan自带的工具`pki`来生成。

4.1 生成CA证书和密钥

1. pki --gen --type rsa --size 4096 --outform pem > caKey.pem
   
2. pki --self --ca --lifetime 3650 --in caKey.pem --type rsa --dn "C=US, O=MyOrg, CN=MyVPN CA" --outform pem > caCert.pem

复制代码

4.2 生成服务器证书和密钥

1. pki --gen --type rsa --size 4096 --outform pem > serverKey.pem
   
2. pki --req --in serverKey.pem --type rsa --dn "C=US, O=MyOrg, CN=your_domain_or_ip" --outform pem > serverReq.pem
   
3. pki --issue --lifetime 1825 --cacert caCert.pem --cakey caKey.pem --in serverReq.pem --outform pem > serverCert.pem

复制代码

4.3 安装证书

将生成的证书和密钥放置到正确的目录：

1. mv caCert.pem /etc/strongswan/ipsec.d/cacerts/
   
2. mv serverCert.pem /etc/strongswan/ipsec.d/certs/
   
3. mv serverKey.pem /etc/strongswan/ipsec.d/private/

复制代码

5. 配置防火墙

为了确保VPN流量能够通过，需要配置OpenWrt的防火墙。

5.1 开放必要的端口

编辑防火墙配置文件：

1. vi /etc/config/firewall

复制代码

添加以下规则以开放UDP 500和4500端口：

1. config rule
   
2.     option name 'Allow-IPsec-IKE'
   
3.     option src 'wan'
   
4.     option dest 'lan'
   
5.     option proto 'udp'
   
6.     option dest_port '500 4500'
   
7.     option target 'ACCEPT'

复制代码

重启防火墙使配置生效：

1. /etc/init.d/firewall restart

复制代码

6. 启动StrongSwan

配置完成后，启动StrongSwan服务：

1. /etc/init.d/strongswan start

复制代码

并设置为开机自启：

1. /etc/init.d/strongswan enable

复制代码

7. 总结

通过以上步骤，您已经在OpenWrt上成功搭建了支持IPsec IKEv2的StrongSwan服务器。此配置将提供安全的VPN连接，保障远程访问的安全性和数据传输的保密性。希望本文能帮助您顺利完成StrongSwan VPN的搭建。

------------------------------------------------------------------------------------------------------------------------------------------

========  御 坂 主 机  ========

>> VPS主机 服务器 前沿资讯 行业发布 技术杂谈 <<

>> 推广/合作/找我玩  TG号 : @Misaka_Offical <<

-------------------------------------------------------------------------------------------------------------------------------------------