2021-2022年ICT大赛云服务（VPN网关）

本文撰写于 2023 年 3 月，系在长沙参加 2021-2022 年华为 ICT 大赛云计算赛项国赛培训期间的学习笔记，现整理发布，留作纪念与参考。

安装openswan（VPN客户端）

1
yum install openswan -y

配置内核参数，开启IPv4转发

1
vi /etc/sysctl.conf

sysctl.conf配置文件添加如下内容：

1
net.ipv4.ip_forward = 1
2
net.ipv4.conf.all.rp_filter = 0
3
net.ipv4.conf.default.rp_filter = 0
4
net.ipv4.conf.eth0.rp_filter = 0   //eth0是网卡配置，配置时需根据网卡实际配置
5
net.ipv4.conf.all.send_redirects = 0
6
net.ipv4.conf.default.send_redirects = 0
7
net.ipv4.conf.all.log_martians = 0
8
net.ipv4.conf.default.log_martians = 0
9
net.ipv4.conf.default.accept_source_route = 0
10
net.ipv4.conf.all.accept_redirects = 0
11
net.ipv4.conf.default.accept_redirects = 0
12
net.ipv4.icmp_ignore_bogus_error_responses = 1

使内核参数生效

1
sysctl -p

启动ipsec

1
systemctl start ipsec

查看ipsec运行状态

1
ipsec verify

预共享密钥配置（xxxx可以随意命名）

1
vi /etc/ipsec.d/xxxx.secrets

xxxx.secrets配置文件添加如下内容：

1
22.22.22.22 11.11.11.11 : psk "ipsec-key"

格式：本地用于连接的IP+空格+远端网关IP+空格+英文冒号+空格+PSK+预共享密钥，冒号的两边都有空格，PSK大小写均可，密钥用英文双引号。

添加隧道建立配置，新建文件/etc/ipsec.d/xxx.conf（xxx可以随意命名）

1
vi /etc/ipsec.d/xxx.conf

xxx.conf配置文件当中添加如下内容：

1
conn openswan_IPsec                                 //定义连接名称为openswan_IPsec
2
  authby=secret                                     //定义认证方式为PSK
3
  auto=start                                          //可选择add、route和start
4
  ikev2=never                                       //关闭IKEv2版本
5
  ike=aes128-sha1;modp1536                 //按照对端配置定义ike阶段算法和group
6
  keyexchange=ike                                // ike密钥交换方式
7
  ikelifetime=86400s                             // ike阶段生命周期
8
  phase2=esp                                        //二阶段传输格式
9
  phase2alg=aes128-sha1;modp1536 //按照对端配置定义IPsec阶段算法和group，modp1536=DH group 5
10
  compress=no                                      //关闭压缩
11
  pfs=yes                                             //开启PFS
12
  salifetime=3600s                                //二阶段生命周期
13
  type=tunnel                                       //开启隧道模式
14
  left=192.168.222.222                         //本地IP，nat场景选择真实的主机地址
15
  leftid=22.22.22.22                              //本地标识ID
16
  leftsubnet=192.168.222.0/24               //本地子网
17
  leftnexthop=22.22.22.1                       //nat场景下一跳选择nat后的网关IP
18
  right=11.11.11.11                              //远端VPN网关IP
19
  rightid=11.11.11.11                                   //远端标识ID
20
  rightsubnet=192.168.200.0/24             //远端子网
21
  rightnexthop=%defaultroute                //远端路由按缺省配置

启动隧道连接

1
ipsec auto --up xxxx   //如果启动失败，可使用systemctl restart ipsec重启ipsec服务后尝试重新启动隧道连接

参考：https://support.huaweicloud.com/admin-vpn/vpn_01_0007.html

音乐

音乐

文章分享