定义内网地址

配置StrongSwan涉及多个步骤，确保每一步都正确执行是关键,以下是详细的步骤指南：

安装StrongSwan

在Ubuntu上安装：

sudo apt-get install strongswan

安装完成后,生成证书和密钥：

sudo ipsec-certs generate --cacert ca.pem --cert server.pem --keyserver /etc/ipsec/keys

配置服务器

编辑/etc/ipsec/strongswan/strongswan.conf：

# 服务器IP和端口
local_ip = 127...1
local_port = 443
# 证书信息
ca_file = /etc/ipsec/strongswan/ca.pem
cert_file = /etc/ipsec/strongswan/server.pem
key_file = /etc/ipsec/strongswan/server.key
# 密钥轮换
rekey_interval = 360

证书管理

生成CA证书：

sudo ipsec-certs ca --expires 365 days /etc/ipsec/strongswan/ca.pem

生成服务器证书和密钥：

sudo ipsec-certs server --cacert ca.pem --expires 365 days --key-size 4096 /etc/ipsec/strongswan/server.pem
sudo ipsec-store --add /etc/ipsec/strongswan/server.pem
sudo ipsec-keymgr rotate

密钥管理

创建密钥库文件：

sudo ipsec-keymgr add --keychain-file /etc/ipsec/keys/ipsec_keychain

用户配置

添加用户并设置访问权限，

sudo ipsec-users add alice
sudo ipsec-users set alice password

在/etc/ipsec/strongswan下新建user.conf：

# 用户配置
VNＨost=192.168.1.100
VNＨost2=192.168.2.100
# 认证方式
auth = vedirect

设置默认IPsec参数

编辑/etc/ipsec/strongswan/strongswan.conf,添加：

# 默认配置
default_route_distance = 255
default_cryptodefault = aes256
default_hashing_algorithm = sha256

NAT穿透配置

编辑/etc/natTraversal/natTraversal.conf,设置NAT穿透：

# 允许NAT穿透
strict_nat_traversal = 0

测试连接

使用ipsecadm测试：

sudo ipsecadm --verify --user alice

使用mksigner测试：

sudo mksigner --server 127...1:443 alice@192.168.1.100

自动化部署

使用脚本或工具如Ansible进行自动化配置和部署。

注意事项

• 定期检查证书续期。
• 配置密钥库时确保密钥管理正确。
• 测试网络环境下的NAT穿透配置。
• 监控性能,优化配置参数如PFS群组大小。

通过以上步骤，您可以配置并运行StrongSwan VPN服务器,确保设备间的安全通信。