在Debian 9 里安装 strongSwan

strongSwan能提供方便、快捷的加密和认证,适合远程办公,信息交换等场合。

环境:Debian 9,经典网络的阿里云ECS实例。
目的:服务端使用SSL证书,客户端凭用户名和密码登录。

过程:

  1. apt-get update # 更新软件仓库
  2. apt-get install strongswan # 安装 strongswan (5.5.1-4+deb9u1)
  3. apt-get install libcharon-extra-plugins # 安装额外的 plugin,支持Windows客户端常用的MSCHAPV2加密
  4. /etc/ipsec.conf # 编辑配置文件,添加相应的连接配置内容,如下例

    config setup
        # strictcrlpolicy=yes
        uniqueids=never
    
    conn sample-with-ca-cert
      left=%defaultroute
      leftsubnet=0.0.0.0/0
      leftcert=1_yun.anqun.org_bundle.crt
      right=%any
      rightauth=eap-mschapv2
      rightsourceip=10.2.0.0/16
      rightsendcert=never
      eap_identity=%any
      auto=add
    
    conn networkmanager-strongswan
      keyexchange=ikev2
      left=%defaultroute
      leftauth=pubkey
      leftsubnet=0.0.0.0/0
      leftcert=1_yun.anqun.org_bundle.crt
      right=%any
      rightauth=pubkey
      rightsourceip=10.2.0.0/16
      rightcert=client.cert.pem
      auto=add  
    
    conn ios_ikev2
      keyexchange=ikev2
      rekey=no
      leftid=yun.anqun.org
      leftsendcert=always
      leftsubnet=0.0.0.0/0
      leftcert=1_yun.anqun.org_bundle.crt
      right=%any
      rightauth=eap-mschapv2
      rightsourceip=10.2.0.0/16
      rightsendcert=never
      eap_identity=%any
      dpdaction=clear
      fragmentation=yes
      auto=add
    
    conn windows7
      keyexchange=ikev2
      rekey=no
      left=%defaultroute
      leftauth=pubkey
      leftsubnet=0.0.0.0/0
      leftcert=1_yun.anqun.org_bundle.crt
      leftsendcert=always
      right=%any
      rightauth=eap-mschapv2
      rightsourceip=10.2.0.0/16
      rightsendcert=never
      eap_identity=%any
      auto=add
  5. 将SSL证书中的ca文件保存在 /etc/ipsec.d/cacerts 目录,SSL证书中的服务器文件保存在 /etc/ipsec.d/certs , SSL证书的私匙保存在 /etc/ipsec.d/private
  6. /etc/ipsec.secrets # 编辑内容,写明私匙文件名称及用户名和密码等
  7. /etc/sysctl.conf # 如需经服务端转发,请在该文件中添加 net.ipv4.ip_forward=1
  8. iptables -t nat -A POSTROUTING -s 10.2.0.0/16 -o eth1 -j MASQUERADE # 如需iptables筛选流量,请根据出网网卡及用户端IP段设置
  9. 在Windows 7系统及安装有strongSwan应用的安卓手机里测试,可成功连接
  10. 如苹果客户设备没有收到DNS配置信息,可以在 /etc/strongswan.d/charon.conf 里设置dns1和dns2的值

参考:

标签: strongSwan

添加新评论