strongswan配置

strongSwan是一个开源的IPsec实现，用于建立VPN连接。以下是在Linux上配置strongSwan的步骤：

1. 安装strongSwan

在Ubuntu和Debian上安装strongSwan，可以使用以下命令：

sudo apt-get update
sudo apt-get install strongswan

2. 配置IPsec

编辑strongSwan的主配置文件`/etc/ipsec.conf`，并添加以下内容：

conn myvpn
    left=%defaultroute
    leftsubnet=0.0.0.0/0
    leftfirewall=yes
    right=<远程服务器IP地址>
    rightsubnet=0.0.0.0/0
    rightfirewall=yes
    ike=aes256-sha256-modp2048
    esp=aes256-sha256-modp2048
    keyexchange=ikev2
    auto=start

这个配置文件定义了一个名为“myvpn”的连接，其中`left`和`right`分别代表本地和远程服务器的IP地址。`leftsubnet`和`rightsubnet`指定了允许的IP地址范围。`ike`和`esp`定义了加密和哈希算法，`keyexchange`定义了IKE版本。

3. 配置证书

在strongSwan中，需要使用证书来进行身份验证。首先，需要创建一个CA证书：

ipsec pki --gen --type rsa --size 4096 --outform pem > ca.key
ipsec pki --self --ca --lifetime 3650 --in ca.key --type rsa --dn "C=US, O=StrongSwan, CN=strongswan.org CA" --outform pem > ca.crt

然后，需要为本地服务器和远程服务器创建证书：

ipsec pki --gen --type rsa --size 4096 --outform pem > server.key
ipsec pki --pub --in server.key --type rsa | ipsec pki --issue --lifetime 1825 --cacert ca.crt --cakey ca.key --dn "C=US, O=StrongSwan, CN=<本地服务器IP地址>" --san="<本地服务器IP地址>" --san="<本地服务器主机名>" --flag serverAuth --outform pem > server.crt

ipsec pki --gen --type rsa --size 4096 --outform pem > client.key
ipsec pki --pub --in client.key --type rsa | ipsec pki --issue --lifetime 1825 --cacert ca.crt --cakey ca.key --dn "C=US, O=StrongSwan, CN=<远程服务器IP地址>" --san="<远程服务器IP地址>" --san="<远程服务器主机名>" --flag clientAuth --outform pem > client.crt

4. 配置密钥

编辑`/etc/ipsec.secrets`文件，添加以下内容：

<本地服务器IP地址> : RSA server.key
<远程服务器IP地址> : RSA client.key

这个文件定义了本地服务器和远程服务器的私钥。

5. 启动IPsec

最后，启动IPsec服务：

sudo systemctl start strongswan

完成以上步骤后，您的strongSwan VPN应该已经配置完成。