strongSwan配置示例

场景示例

本文以上图场景为例。某公司在阿里云拥有一个专有网络VPC（Virtual Private Cloud），VPC网段为10.0.0.0/16，VPC中使用云服务器ECS（Elastic Compute Service）部署了应用服务。同时该公司在本地拥有一个数据中心，本地数据中心中要与VPC互通的网段为192.168.0.0/16。公司计划在本地数据中心与云上VPC之间建立IPsec-VPN连接，实现资源互访。

网段规划及VPN配置示例

网段规划

VPN配置示例

• 本文场景中隧道1（主隧道）和隧道2（备隧道）使用相同的示例值。

• 每条隧道下，阿里云侧和strongSwan设备侧VPN配置需保持相同。

前提条件

本文仅描述如何在strongSwan设备中添加VPN配置，不再描述阿里云VPN网关侧的配置。因此在您开始配置前，请确保您已经完成创建VPN网关实例、创建用户网关、创建IPsec连接、配置VPN网关路由的任务。具体操作，请参见建立VPC到本地数据中心的连接（双隧道模式）。

开始配置

1. 登录strongSwan设备的命令行界面。

2. 执行以下命令安装strongSwan软件。

   sudo yum install -y strongswan-5.9.10

3. 为strongSwan设备开启流量转发功能。

   echo 1 > /proc/sys/net/ipv4/ip_forward

   重要

   上述命令需要root权限，且为临时性命令，strongSwan设备重启后需重新配置该命令。您可以参见以下内容永久开启strongSwan设备的流量转发功能。

   单击查看永久配置。

   1. 执行以下命令打开/etc/sysctl.conf文件。

      sudo vi /etc/sysctl.conf

   2. 按下i键，进入编辑模式。

   3. 在文件中添加如下配置。

      net.ipv4.ip_forward = 1

   4. 按下Esc键，退出编辑模式，然后输入:wq保存配置。

   5. 使配置生效。

      sudo sysctl -p

4. 创建2个虚拟网络接口，用于建立IPsec-VPN隧道。

   sudo ip link add ipsec0 type xfrm dev eth0 if_id 42 # 创建隧道1 XFRM虚拟网络接口，接口ID为42，底层接口为公网接口eth0。
   sudo ip link add ipsec1 type xfrm dev eth0 if_id 43 # 创建隧道2 XFRM虚拟网络接口，接口ID为43，底层接口为公网接口eth0。
   sudo ip link set ipsec0 up # 启动隧道1 XFRM虚拟网络接口。
   sudo ip link set ipsec1 up # 启动隧道2 XFRM虚拟网络接口。

   重要

   创建虚拟网络接口的配置为临时性配置，strongSwan设备重启后，需要重新添加该配置，并执行sudo systemctl restart strongswan;swanctl --load-all命令（该命令需要root权限）。您可以参见以下内容为strongSwan设备添加开机自动启动脚本，strongSwan设备重启后会自动重新添加虚拟网络接口。

   单击查看开机自动启动脚本。

   1. 执行以下命令创建一个脚本。

      vi xfrm.sh

   2. 按下i键，进入编辑模式。

   3. 将以下配置添加进脚本中。

      sudo ip link add ipsec0 type xfrm dev eth0 if_id 42 # 创建隧道1 XFRM虚拟网络接口，接口ID为42，底层接口为公网接口eth0。
      sudo ip link add ipsec1 type xfrm dev eth0 if_id 43 # 创建隧道2 XFRM虚拟网络接口，接口ID为43，底层接口为公网接口eth0。
      sudo ip link set ipsec0 up # 启动隧道1 XFRM虚拟网络接口。
      sudo ip link set ipsec1 up # 启动隧道2 XFRM虚拟网络接口。

   4. 按下Esc键，退出编辑模式，然后输入:wq保存配置。

   5. 执行以下命令查看脚本绝对路径。

      sudo find / -name xfrm.sh

   6. 将脚本绝对路径添加进/etc/rc.d/rc.local文件。

      sudo vi /etc/rc.d/rc.local # 打开/etc/rc.d/rc.local文件。
      按下i键，进入编辑模式
      /root/xfrm.sh  #将脚本绝对路径添加进/etc/rc.d/rc.local文件。
      按下Esc键，退出编辑模式，然后输入:wq保存配置

   7. 为rc.local文件和xfrm.sh脚本添加可执行权限。

      sudo chmod +x /etc/rc.d/rc.local
      sudo chmod +x /root/xfrm.sh

5. 修改strongSwan配置文件。

   1. 执行以下命令打开strongSwan配置文件。

      sudo vi /etc/strongswan/swanctl/swanctl.conf

   2. 按下i键，进入编辑模式。

   3. 根据以下信息在配置文件中添加VPN配置，文件中原有的配置需全部删除。

      重要

      您需要将配置中的IP地址替换为您实际使用的IP地址，并确保阿里云侧和strongSwan设备侧VPN配置相同。

      connections {
         vco1 {                            # 添加IPsec-VPN隧道1的VPN配置
            version = 2                    # 指定IKE版本，需与阿里云隧道1的IKE版本保持一致，2表示IKEv2。
            local_addrs  = 8.XX.XX.99      # 指定需要建立IPsec-VPN连接的公网IP地址。
            remote_addrs = 8.XX.XX.149     # 指定隧道1对端的IP地址为阿里云隧道1的网关IP地址，即IPsec地址1。
            dpd_delay = 10
            rekey_time = 84600             # 指定隧道1的SA生存周期，需与阿里云隧道1 IKE配置中的SA生存周期保持一致。
            over_time = 1800               
            proposals = aes-sha1-modp1024  # 指定隧道1的加密算法、认证算法、DH分组，需与阿里云隧道1 IKE配置中的加密算法、认证算法、DH分组保持一致，group2对应的是modp1024。
            encap = yes
      
            local {
               auth = psk                  # 本段认证方式选择PSK模式，即预共享密钥方式。
               id = 8.XX.XX.99             # 指定本端ID，需与阿里云隧道1的RemoteId保持一致。
            }
            remote {
               auth = psk                  # 对端认证方式选择PSK方式，即阿里云使用预共享密钥方式。
               id = 8.XX.XX.149            # 指定对端ID，需与阿里云隧道1的LocalId保持一致。
            }
            children {
               vco_child1 {
                  local_ts  = 0.0.0.0/0    # 阿里云目的路由模式对应的感兴趣流是0.0.0.0/0。
                  remote_ts = 0.0.0.0/0    # 阿里云目的路由模式对应的感兴趣流是0.0.0.0/0。
                  mode = tunnel
                  rekey_time = 85500
                  life_time = 86400        # 指定隧道1的SA生存周期，需与阿里云隧道1 IPsec配置中的SA生存周期保持一致。
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes-sha1-modp1024   # 指定隧道1的加密算法、认证算法、DH分组，需与阿里云隧道1 IPsec配置中的加密算法、认证算法、DH分组保持一致，group2对应的是modp1024。
      
                  if_id_out = 42           # 指定隧道1的出接口和入接口为隧道1 XFRM虚拟网络接口。
                  if_id_in = 42
                  updown = /root/connect_1.sh         # 根据隧道1的UP和DOWN状态执行/root/connect_1.sh脚本，以配置路由。
               }
            }
         }
        vco2 {                             # 添加IPsec-VPN隧道2的VPN配置
            version = 2                    # 指定IKE版本，需与阿里云隧道2的IKE版本保持一致，2表示IKEv2。
            local_addrs  = 8.XX.XX.99      # 指定需要建立IPsec-VPN连接的公网IP地址。
            remote_addrs = 8.XX.XX.137     # 指定隧道2对端的IP地址为阿里云隧道2的网关IP地址，即IPsec地址2。
            dpd_delay = 10
            rekey_time = 84600             # 指定隧道2的SA生存周期，需与阿里云隧道2 IKE配置中的SA生存周期保持一致。
            over_time = 1800               # 
            proposals = aes-sha1-modp1024  # 指定隧道2的加密算法、认证算法、DH分组，需与阿里云隧道2 IKE配置中的加密算法、认证算法、DH分组保持一致，group2对应的是modp1024。
            encap = yes
      
            local {
               auth = psk                  # 本端认证方式选择PSK方式，即预共享密钥方式。
               id = 8.XX.XX.99             # 指定本端ID，需与阿里云隧道2的RemoteId保持一致。
            }
            remote {
               auth = psk                  # 对端认证方式选择PSK方式，即阿里云使用预共享密钥方式。
               id = 8.XX.XX.137            # 指定对端ID，需与阿里云隧道2的LocalId保持一致。
            }
            children {
               vco_child2 {
                  local_ts  = 0.0.0.0/0    # 阿里云目的路由模式对应的感兴趣流是0.0.0.0/0
                  remote_ts = 0.0.0.0/0    # 阿里云目的路由模式对应的感兴趣流是0.0.0.0/0
                  mode = tunnel 
                  rekey_time = 85500
                  life_time = 86400        # 指定隧道2的SA生存周期，需与阿里云隧道1 IPsec配置中的SA生存周期保持一致。
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes-sha1-modp1024     # 指定隧道2的加密算法、认证算法、DH分组，需与阿里云隧道2 IPsec配置中的加密算法、认证算法、DH分组保持一致，group2对应的是modp1024。
                  if_id_out = 43           # 指定隧道2的出接口和入接口为隧道2 XFRM虚拟网络接口。
                  if_id_in = 43
                  updown = /root/connect_2.sh           # 根据隧道2的UP和DOWN状态执行/root/connect_2.sh脚本，以配置路由。
               }
            }
         }
      }
      
      secrets {
         ike-vco1 {
            secret = 123456****            # 指定隧道1的预共享密钥，需与阿里云隧道1的预共享密钥保持一致。
         }
         ike-vco2 {
            secret = 123456****            # 指定隧道2的预共享密钥，需与阿里云隧道2的预共享密钥保持一致。
         }
      }

   4. 按下Esc键，退出编辑模式，然后输入:wq保存配置。

6. 根据以下信息创建脚本以配置路由，控制从本地数据中心去往阿里云VPC（10.0.0.0/16）的流量传输。

   1. 执行以下命令编辑/root/connect_1.sh脚本。

      sudo vi /root/connect_1.sh

   2. 按下i键，进入编辑模式。

   3. 在脚本中添加如下配置。

      如果隧道1的状态是UP，则添加路由使本地数据中心去往阿里云VPC（10.0.0.0/16）的流量通过隧道1 XFRM虚拟网络接口传输，同时指定该路由的metric值为100，使该路由的优先级高于指向隧道2 XFRM虚拟网络接口的路由。如果隧道1的状态是DOWM，则撤销该路由。

      #!/usr/bin/env bash
      if [ x"$PLUTO_VERB" == "xup-client" ]; then
      	echo "ip route add 10.0.0.0/16 dev ipsec0" >> /root/vpn_route.log;ip route add 10.0.0.0/16 dev ipsec0 metric 100
      elif [ x"$PLUTO_VERB" == "xdown-client" ]; then
      	echo "ip route del 10.0.0.0/16 dev ipsec0" >> /root/vpn_route.log;ip route del 10.0.0.0/16 dev ipsec0 metric 100
      fi

   4. 按下Esc键，退出编辑模式，然后输入:wq保存配置。

   5. 按照上述步骤编辑/root/connect_2.sh脚本，脚本的配置如下。

      如果隧道2的状态是UP，则添加路由使本地数据中心去往阿里云VPC（10.0.0.0/16）的流量通过隧道2 XFRM虚拟网络接口传输，同时指定该路由的metric值为101，使该路由的优先级低于指向隧道1 XFRM虚拟网络接口的路由。如果隧道2的状态是DOWM，则撤销该路由。

      #!/usr/bin/env bash
      if [ x"$PLUTO_VERB" == "xup-client" ]; then
      	echo "ip route add 10.0.0.0/16 dev ipsec1" >> /root/vpn_route.log;ip route add 10.0.0.0/16 dev ipsec1 metric 101
      elif [ x"$PLUTO_VERB" == "xdown-client" ]; then
      	echo "ip route del 10.0.0.0/16 dev ipsec1" >> /root/vpn_route.log;ip route del 10.0.0.0/16 dev ipsec1 metric 101
      fi

   6. 为/root/connect_1.sh和/root/connect_2.sh脚本赋予可执行权限。

      sudo chmod +x /root/connect_1.sh
      sudo chmod +x /root/connect_2.sh

   7. 重新启动strongSwan进程。

      sudo systemctl restart strongswan

7. 查看隧道状态和路由。

   完成上述配置后，strongSwan设备和VPN网关之间通常已经建立了IPsec-VPN连接，您可以通过以下命令查看IPsec-VPN连接隧道状态以及路由。

   sudo swanctl --list-sas  # 查看隧道状态
   route -n            # 查看路由配置

   

8. 在本地数据中心侧，设置本地数据中心客户端到strongSwan设备及strongSwan设备到本地数据中心客户端的路由。

   后续您可以开始测试本地数据中心和阿里云VPC之间的网络连通性。具体操作，请参见验证测试。