StrongSwan搭建L2TP收集的参考

两篇文章：
Ubuntu、CentOS搭建IPSec/IKEv2 VPN服务器全攻略
 VPS上基于Debian搭建和配置pure IPsec支持iOS/Win7/Android等多平台VPN客户端

加一篇：
Strongswan-IKEv2+FreeRADIUS VPN配置

前一篇文章里面提到了用Strongswan替换Openswan的最大理由就是IKEv2和对于Radius的支持，这篇文章继续介绍如何使用Strongswan和Freeradius建立IKEv2 VPN。

目前支持IKEv2的客户端貌似只有Openswan/Strongswan，Windows的话只有Windows 7和Windows Server 2008 R2完全支持（Vista只支持IKEv1），因而这篇文章主要介绍如何建立Win7客户端能够使用的IKEv2 VPN。

之所以使用IKEv2而非IKEv1是因为IKEv1目前没有开源的能与Radius连接的插件/客户端，最接近的方案应该是XAuth- PAM+pam_radius。不过pam对于DoS攻击的抵抗很弱，因而不是特别好的一个solution。加上Openswan默认编译是不包含 xauthpam的，在使用二进制包管理的服务器上布置的复杂度会更高。

IKEv2要求服务器必须以证书证明身份，即使客户端采用MSCHAPv2认证（用户名+密码）。所以第一步是产生服务器使用的证书：

以下内容来自http://wiki.strongswan.org/projects/strongswan/wiki/IOS_%28Apple%29：

1 ipsec pki –gen –outform pem > caKey.pem

2 ipsec pki –self –in caKey.pem –dn “C=CH, O=strongSwan, CN=strongSwan CA” –ca –outform pem > caCert.pem

这一步产生CA证书，也是稍后会安装到客户端里面的证书，其中CN（Common Name）的值很重要，必须是服务器的域名/IP地址并且跟给客户的值一样。比如说让客户连接1.2.3.4，那么CN=1.2.3.4。不能是一边是域名而另外一边是IP地址。

1 ipsec pki –gen –outform pem > serverKey.pem

2 ipsec pki –pub –in serverKey.pem | ipsec pki –issue –cacert caCert.pem –cakey caKey.pem \

3 –dn “C=CH, O=strongSwan, CN=vpn.strongswan.org” –flag serverAuth –outform pem > serverCert.pem

这一步里面产生的服务器证书的CN值必须和上一步里面的一样，至于–flag serverAuth是Windows客户端必需的，作用是表示出这个证书的用途（认证）。

把生成的证书拷到ipsec.d/里面：

1 cp caCert.pem /etc/ipsec.d/cacerts/

2 cp serverCert.pem /etc/ipsec.d/certs

3 cp serverKey.pem /etc/ipsec.d/private/

最后在/etc/ipsec.secrets里面添加：

1 : RSA serverKey.pem

这样服务器端的证书准备工作就完成了。

客户端需要添加这个证书，否则认证时会出现Error 13801。添加证书的方法见这里：http://wiki.strongswan.org/projects/strongswan/wiki/Win7EapCert，注意必须是Local Computer（本地计算机）而非Current User（当前用户），否则添加的证书不会起效。

然后配置/etc/strongswan.conf：

在charon段里面加上：

1 dns1 = 8.8.8.8

2 dns2 = 208.67.222.222

然后在plugin段（charon段内部）里面加上：

1 eap-radius {

2 servers {

3 vpnserver {

4 secret = yourfreeradiussecret

5 address = radius.server.address

6 }

7 }

8 }

这样让Strongswan了解Radius服务器地址和暗码。

接下来修改/etc/ipsec.conf：

1 conn IPSec-IKEv2

2 keyexchange=ikev2

3 auto=add

4 left=server.ip.address

5 leftsubnet=0.0.0.0/0

6 leftauth=pubkey

7 leftcert=serverCert.pem

8 right=%any

9 rightsourceip=vpn.ip.address.range

10 rightauth=eap-radius

11 rightsendcert=never

12 eap_identity=%any

解释下上面几项的含义：leftsubnet是决定要通过tunnel的ip的范围，0.0.0.0/0是代表所有的IP通讯都通过VPN。 rightsourceip是VPN分配的虚拟地址的范围，也就是客户端登录后得到的IP范围，例如192.168.1.0/24意味着 192.168.0.1-192.168.1.255为VPN客户端可能的地址范围。rightauth=eap-radius是把客户端的EAP认证请求转发至radius来处理，%any意味着接受任何类型的eap请求。

配置完成了吗？这样启动后Windows的客户端会提示812错误，因为Windows默认使用的是EAP-MSCHAPv2，而 Freeradius的默认配置是EAP-md5，这可能是Windows的一个bug，目前我的解决方法是直接把Freeradius的 eap.conf里面的default_eap_type修改为mschapv2，如有更好的方法望不吝告知。

这样就建立了一个IKEv2 IPSec隧道。默认情况下加密方法使用3DES，如有需要的话可以在IPSec的配置段里面加上ike=和esp=来修改加密算法。

参考：

http://wiki.strongswan.org/projects/strongswan/wiki/Win7EapCert

http://wiki.strongswan.org/projects/strongswan/wiki/IOS_%28Apple%29

http://wiki.strongswan.org/projects/strongswan/wiki/Win7EapMultipleConfig

还有Strongswan的Mailing list。

原文：http://tomem.info/blog/2011/10/724

===========

Strongswan+L2TP配置

由于需要给VPN添加IKEv2，而OpenSwan对于IKEv2的支持只有最基本的部分，更重要的是OpenSwan没有像 Strongswan一样的EAP-RADIUS插件可以实现Stongswan和Freeradius之间的直接通信（IKEv2必须），所以将服务器上面的OpenSwan换成了Strongswan。

平台是Debian Squeeze，Strongswan的软件包安装自Debian Squeeze Backports，其余的来自于Debian stable。Debian Backports的作用是给稳定版本的Debian提供一些只有在Tesing/sid里面才有的新版本的软件包，而这些软件又是在stable的环境下编译的，所以不用担心包依赖方面的问题。

从Backports安装软件的方法参照这里：http://backports-master.debian.org/Instructions/

Strongswan需要使用新版本的原因是Stable（Squeeze）里面的版本编译时没有–enable-nat-transport参数，这样的话Strongswan由于默认的安全特性（http://wiki.strongswan.org/projects/strongswan/wiki/FAQ）不允许进行NAT转发，从而无公网IP的客户端是无法与服务器建立连接的。

服务器结构依然是xl2tpd+swan，只是把OpenSwan换成了Strongswan。xl2tpd的配置跟上一篇（http://tomem.info/blog/2011/04/577）是一样的，但是Strongswan的配置稍有不同，而错误信息又不是很 informative，花了几个小时才调试成功，所以写下来为后面的作参考。

几个常见的错误：

client.ip.address:4500 #8: NAT-Traversal: Transport mode disabled due to security concerns

pluto[21315]: “l2tp”[3] client.ip.address:4500 #8: sending encrypted notification BAD_PROPOSAL_SYNTAX to client.ip.address:4500

这个是由于Strongswan没有编译–enable-nat-transport，因而无法进行NAT传输。

解决方法：重新编译，加上–enable-nat-transport。

pluto[30735]: packet from client.ip.address:500: initial Main Mode message received on server.ip.address:500 but no connection has been authorized with policy=PSK

这个一般来说是IPSec的secrets错误，但是我在确认Secrets无误的情况下也遇到了这个，http://b.gkp.cc/2010/06/19/setup-ipsec-l2tp-on-centos-55/评论里面的某位仁兄也遇到了这个问题。在几番折腾无果的情况下注意到log里面有这么一行：

pluto[8384]: packet from client.ip.address:500: ignoring Vendor ID payload [IKE CGA version 1]

突然意识到Windows的L2TP使用的是IKEv1，而Strongswan默认使用的是IKEv2，会不会是这个问题？试之果然。

解决：在Strongswan的L2TP的配置段里面加上keyexchange=ikev1。

pluto[1243]: “L2TP-PSK-noNAT”[2] client.ip.address:4500 #1: cannot respond to IPsec SA request because no connection is known for server.ip.address:4500[server.ip.address]:17/1701…client.ip.address:4500[client.ip.nat.address]:17/%any===client.ip.nat.address/32

pluto[1243]: “L2TP-PSK-noNAT”[2] client.ip.address:4500 #1: sending encrypted notification INVALID_ID_INFORMATION to client.ip.address:4500

这个乍看之下也像是PSK的设置错误，实际上不是。问题出在virtual_network的设置上面。

解决：Strongswan的setup段里面加上virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12。

配置文件范例：

1 # ipsec.conf – strongSwan IPsec configuration file

3 # basic configuration

5 config setup

6 # plutodebug=all

7 # crlcheckinterval=600

8 # strictcrlpolicy=yes

9 # cachecrls=yes

10 nat_traversal=yes

11 charonstart=yes

12 plutostart=yes

13 virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12

15 # Add connections here.

17 conn L2TP-PSK-NAT

18 rightsubnet=vhost:%priv

19 also=L2TP-PSK-noNAT

21 conn L2TP-PSK-noNAT

22 keyexchange=ikev1

23 authby=secret

24 pfs=no

25 auto=add

26 rekey=no

27 type=tunnel

28 keyingtries=3

29 left=server.ip.address

30 leftnexthop=%defaultroute

31 leftprotoport=17/1701

32 right=%any

33 rightprotoport=17/%any

原文：http://tomem.info/blog/2011/10/721

琅寰

StrongSwan搭建L2TP收集的参考

传说中天帝藏书的地方