strongswan5.3.5 ipsec server eap-mschapv2认证方式配置

StrongSwan是一款开源的IPsec（Internet Protocol Security）框架，用于实现企业级的网络通信加密。EAP-Mschapv2是一种基于Microsoft Challenge-Handshake Authentication Protocol（MS-CHAP v2）的身份验证协议，适用于IPSec IKE（Internet Key Exchange）协商。

要在StrongSwan 5.3.5中设置IPsec服务器并启用EAP-Mschapv2认证，你需要按照以下步骤操作：

1. **安装和配置StrongSwan**:
首先确保你已经安装了StrongSwan，并创建了一个服务配置文件。你可以通过编辑`/etc/ipsec.conf`来配置基本的IPsec参数。

2. **添加IKE Phase 1配置**:
为IKE Phase 1（建立安全关联阶段）添加一个新的配置段，例如：

   config ike {
       # IKE proposal
       proposals = ikedemo;
       
       # EAP-Mschapv2 authentication method
       eap = mschapv2;
   }

3. **IKE Phase 2配置**:
创建一个IKE Phase 2（隧道模式）配置，指定IKE交换机和IPSec SA（Security Association）信息：

   conn myconn {
       left = <your-ip>:<ike-port> # 通常IKE端口是500
       right = <remote-ip>:<ipsec-tunnel-port> # 通常是4500 or 5001
       authby = secret;
       auto=start;
       type=tun;
       esp=%ike.proposals;
       ike=%ike;
   }

将 `<your-ip>` 替换为你的服务器地址，`<remote-ip>` 替换为客户需要连接的IP地址。

4. **添加EAP身份验证密钥**:
编辑IKE Phase 1部分的`secret`配置，提供用于EAP-Mschapv2认证的共享秘密：

   secret /etc/ipsec.secrets <your-hostname>.local %ike:
       <shared-secret>;

这里的`<shared-secret>`就是你们双方约定的共享密钥。

5. **启动 StrongSwan**:
重启或初始化StrongSwan服务，使其应用新的配置：

   systemctl restart strongswan

6. **测试连接**:
客户端应该能够发起EAP-Mschapv2身份验证尝试，如果一切配置无误，他们将成功建立IPsec连接。