例子配置文件

StrongSwan配置文件

StrongSwan 是一个强大的 IPsec VPN 服务器和客户端工具，它支持多种 VPN 协议，包括 IKEv1 和 IKEv2，以及 L2F 和 L2B 桥接,以下是配置文件的基本结构和常用参数。

核心配置（strongswan.conf）

配置文件的主要部分是 strongswan.conf，它包含了 VPN 的核心参数，如接口、密钥、CA 证书等。

# 2023-08-03 19:43:33: Info: Starting ipsec_natt
# 2023-08-03 19:43:33: Info: Starting strongswan
# 2023-08-03 19:43:33: Info: Startingipseccard

常用参数

• **密钥（密钥长度）

  • ike: %X:%Y:%Z: %B:%A:%N
  • ike: PSK=3des:512:512:512
    • 3des 是加密算法。
    • 512 是密钥长度。

• CA 证书

  • ca: %X:%Y:%Z:%A:%B:%C
  • ca: /etc/dhcp/strongswan/ca.pem:512:2048:AES:SHA1
    • /etc/dhcp/strongswan/ca.pem 是 CA 证书路径。
    • 512 是私钥长度。
    • 2048 是公钥长度。

• 证书验证

  • verify: %X:%Y:%Z:%A:%B:%C:%D
  • verify: /etc/dhcp/strongswan/crt.pem:2048:2048:AES:SHA1:1
    • /etc/dhcp/strongswan/crt.pem 是客户端证书路径。

• 密钥交换算法

  • dh: %X:%Y:%Z
  • dh: 2048:2048
    • 2048 是 DH 参数的大小。

• L2F 和 L2B

  • l2f: %X:%Y:%Z
  • l2f: xx:xx:xx
    • xx 是 L2F 的类型。
  • l2b: %X:%Y:%Z
    • l2b: xx:xx:xx
      • xx 是 L2B 的类型。

IPsec 配置（ipsec.conf）

ipsec.conf 配置文件定义了 IPsec 的详细参数，如接口、子网掩码、NAT 等。

# 2023-08-03 19:43:33: Info: Starting ipsec_natt
# 2023-08-03 19:43:33: Info: Starting strongswan
# 2023-08-03 19:43:33: Info: Startingipseccard

常用参数

• 接口

  • interface: %X:%Y:%Z
  • interface: eth:192.168.1.1/24
    • eth 是接口名称。
    • 168.1.1/24 是接口 IP 和子网掩码。

• NAT

  • nat: %X:%Y:%Z
  • nat: 192.168.2.1:1234:eth
    • 168.2.1 是 NAT IP。
    • 1234 是 NAT 端口。
    • eth 是用于 NAT 的接口。

• P2P NAT-T

  • natTraversal: %X:%Y:%Z
  • natTraversal: 192.168.2.1:eth
    • 168.2.1 是 NAT IP。
    • eth 是 NAT 接口。

• NAT 穿透

  • natTraversal: %X:%Y:%Z
  • natTraversal: 192.168.2.1:eth

    启用 NAT 穿透。

L2F 和 L2B 配置（l2f.conf 和 l2b.conf）

L2F 和 L2B 是 IPsec 的 Layer 2 Forwarding 和 Bridging 模块,用于桥接。

L2F 配置（l2f.conf）

# 2023-08-03 19:43:33: Info: Starting ipsec_natt
# 2023-08-03 19:43:33: Info: Starting strongswan
# 2023-08-03 19:43:33: Info: Startingipseccard

L2B 配置（l2b.conf）

# 2023-08-03 19:43:33: Info: Starting ipsec_natt
# 2023-08-03 19:43:33: Info: Starting strongswan
# 2023-08-03 19:43:33: Info: Startingipseccard

日志和调试（log.conf）

日志配置可以帮助 troubleshoot。

# 2023-08-03 19:43:33: Info: Starting ipsec_natt
# 2023-08-03 19:43:33: Info: Starting strongswan
# 2023-08-03 19:43:33: Info: Startingipseccard

常用参数

• 日志级别

  • log_level: %X:%Y:%Z
  • log_level: INFO:NOTICE:WARNING:ERROR:CRITICAL

    调整日志级别。

• 日志输出

  • log_file: %X:%Y:%Z:%A:%B:%C
  • log_file: /var/log/strongswan.log:4096
    • 4096 是日志缓冲区大小。

• 调试

  • debug: %X:%Y:%Z
  • debug: ipsec 100
    • 调试级别，100 是最高级别。

常见配置示例

启用 L2F 和 L2B

# strongswan.conf
:ike: PSK=3des:512:512:512
:ca: /etc/dhcp/strongswan/ca.pem:512:2048:AES:SHA1
:verify: /etc/dhcp/strongswan/crt.pem:2048:2048:AES:SHA1:1
:dh: 2048:2048
# ipsec.conf
interface: eth:192.168.1.1/24
nat: 192.168.2.1:1234:eth
# l2f.conf
l2f: xx:xx:xx

启用 L2B

# strongswan.conf
:ike: PSK=3des:512:512:512
:ca: /etc/dhcp/strongswan/ca.pem:512:2048:AES:SHA1
:verify: /etc/dhcp/strongswan/crt.pem:2048:2048:AES:SHA1:1
:dh: 2048:2048
# ipsec.conf
interface: eth:192.168.1.1/24
nat: 192.168.2.1:1234:eth
natTraversal: 192.168.2.1:eth
# l2b.conf
l2b: xx:xx:xx

命令行工具

• strongswanctl：用于管理 StrongSwan 服务。

  • 示例：strongswanctl --start
  • 示例：strongswanctl --stop

• 密钥生成工具

  使用 `strongsw