openwrt中搭建strongswan服务器vpn支持ipsec ikev2

最新推荐文章于 2025-05-28 10:31:51 发布

心足

最新推荐文章于 2025-05-28 10:31:51 发布

阅读量1.2w

点赞数 24

CC 4.0 BY-SA版权

文章标签：服务器运维 openwrt

本文链接：https://blog.csdn.net/gaoxiangfei/article/details/134132214

本文详细介绍了如何在OpenWrt路由器上安装和配置StrongSwanVPN服务器，包括安装步骤、配置主配置文件、密钥和证书生成、IPsec连接设置、预共享密钥管理以及防火墙规则的调整。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

OpenWrt上StrongSwan VPN服务器的安装和配置。

准备工作：
- ssh软件
安装StrongSwan：
- 打开终端或SSH连接到你的OpenWrt路由器。
- 运行以下命令安装StrongSwan：
```
opkg update
opkg install strongswan
```
配置StrongSwan：
- 编辑StrongSwan的主配置文件。运行以下命令：
```
vi /etc/strongswan.conf
```
- 在文件中添加以下内容：
```
charon {
    load_modular = yes
    duplicheck.enable = no
    compress = yes
}
```
- 保存并退出文件。

配置StrongSwan密钥和证书：

运行以下命令创建StrongSwan的密钥和证书目录：
```
mkdir /etc/ipsec.d
```

运行以下命令生成StrongSwan的CA证书：

ipsec pki --gen --type rsa --size 4096 --outform pem > /etc/ipsec.d/private/strongswanKey.pem
ipsec pki --self --ca --lifetime 3650 --in /etc/ipsec.d/private/strongswanKey.pem --type rsa --dn "CN=strongSwan CA" --outform pem > /etc/ipsec.d/cacerts/strongswanCert.pem

运行以下命令生成服务器证书：

ipsec pki --gen --type rsa --size 2048 --outform pem > /etc/ipsec.d/private/serverKey.pem
ipsec pki --pub --in /etc/ipsec.d/private/serverKey.pem --type rsa | ipsec pki --issue --lifetime 730 --cacert /etc/ipsec.d/cacerts/strongswanCert.pem --cakey /etc/ipsec.d/private/strongswanKey.pem --dn "CN=server" --san server --flag serverAuth --flag ikeIntermediate --outform pem > /etc/ipsec.d/certs/serverCert.pem

运行以下命令生成客户端证书（可选）：

ipsec pki --gen --type rsa --size 2048 --outform pem > /etc/ipsec.d/private/clientKey.pem
ipsec pki --pub --in /etc/ipsec.d/private/clientKey.pem --type rsa | ipsec pki --issue --lifetime 730 --cacert /etc/ipsec.d/cacerts/strongswanCert.pem --cakey /etc/ipsec.d/private/strongswanKey.pem --dn "CN=client" --outform pem > /etc/ipsec.d/certs/clientCert.pem

设置StrongSwan的权限：

chmod 600 /etc/ipsec.d/private/*
chmod 600 /etc/ipsec.d/cacerts/*
chmod 600 /etc/ipsec.d/certs/*

配置StrongSwan的IPsec连接：

编辑StrongSwan的IPsec连接配置文件。运行以下命令：
```
vi /etc/ipsec.conf
```

在文件中添加以下内容：

config setup
    charondebug="ike 1, knl 1, cfg 0"

conn %default
    ikelifetime=60m
    keylife=20m
    rekeymargin=3m
    keyingtries=1
    keyexchange=ikev2
    dpdaction=clear
    dpddelay=300s
    dpdtimeout=1h
    compress=yes
    left=%any
    leftsubnet=0.0.0.0/0
    right=%any
    rightsourceip=10.10.10.0/24

conn ikev2-vpn
    auto=add
    leftcert=serverCert.pem
    leftid=server
    leftsendcert=always
    rightauth=eap-mschapv2
    rightdns=8.8.8.8,8.8.4.4
    rightsendcert=never
    eap_identity=%identity

保存并退出文件。

配置StrongSwan的IPsec预共享密钥：
- 编辑StrongSwan的IPsec预共享密钥配置文件。运行以下命令：
```
vi /etc/ipsec.secrets
```
- 在文件中添加以下内容：
```
: RSA serverKey.pem
your_username : EAP "your_password"
```
  将your_username替换为你的用户名，your_password替换为你的密码。
- 保存并退出文件。
启动StrongSwan服务：
- 运行以下命令启动StrongSwan服务：
```
/etc/init.d/ipsec start
```
- 运行以下命令设置StrongSwan服务开机自启动：
```
/etc/init.d/ipsec enable
```

配置防火墙规则：

运行以下命令打开StrongSwan所需的端口：

uci add firewall rule
uci set firewall.@rule[-1].name='Allow-IPSec'
uci set firewall.@rule[-1].src='wan'
uci set firewall.@rule[-1].dest='lan'
uci set firewall.@rule[-1].proto='esp'
uci set firewall.@rule[-1].target='ACCEPT'
uci commit firewall
/etc/init.d/firewall restart