在 CentOS 架設 L2TP/IPsec VPN

之前嘗試過PPTP和OpenVPN,但PPTP太弱,而OpenVPN太依賴第三方軟體,因此想說來試試看L2TP/IPsec

架設的軟體使用epel上的strongSwan和xl2tpd,不用openSwan是因OSX在連線的時候會遇到伺服器端錯誤,據說是openSwan本身的問題

安裝前先把必要套件補完

yum install strongswan xl2tpd

strongSwan裝完之後可以在/etc/strongswan設定,裏頭的strongswan.conf沒特別設定不需要去動,預設是所有plugin都載入

在這之前,記得先調整kernel和iptables

sed -i 's/net\.ipv4\.ip_forward[ ]*=[ ]*0/net\.ipv4\.ip_forward = 1/g' /etc/sysctl.conf && sysctl -p # 啟動ip_forward
# 防火牆規則僅供參考
iptables -A INPUT -p esp -j ACCEPT # ESP
iptables -A INPUT -p ah -j ACCEPT # AH
iptables -A INPUT -p udp --dport 500 -j ACCEPT # IKE
iptables -A INPUT -p udp --dport 4500 -j ACCEPT # NAT-T
iptables -A INPUT -p udp -m policy --dir in --pol ipsec -m udp --dport 1701 -j ACCEPT # 強制l2tp透過ipsec存取
iptables -t nat -A POSTROUTING -s 172.16.1.0/24 -o eth0 -j MASQUERADE # 轉送VPN流量
/etc/init.d/iptables save

接著開始設定IPsec連線部分,我這邊使用PSK,其他驗證方法可以上官網文件查

/etc/strongswan/ipsec.conf

config setup

conn %default
        ikelifetime=60m
        keylife=20m
        rekeymargin=3m
        keyingtries=1

conn l2tp
        keyexchange=ikev1 # IKE版本
        left=>>>>{對外IP}<<<<<<
        leftsubnet=0.0.0.0/0
        leftprotoport=17/1701 # l2tp udp流量
        authby=secret # PSK驗證
        leftfirewall=no # 不要讓strongswan更改防火牆
        right=%any # 任意IP
        rightprotoport=17/%any # 任意port udp流量
        type=transport # ipsec transport mode
        auto=add

/etc/strongswan/ipsec.secrets

# ipsec.secrets - strongSwan IPsec secrets file
: PSK "A long preshared key for ipsec"

IPsec這邊設定和網路上的不一樣是因為新的strongswan使用charon來處理IKEv1,而不是以往的pluto

而且有時候設定太多反而會有一些奇怪的錯誤,於是就留預設值

如此一來IPsec的部分就完成了,再來是L2TP

/etc/xl2tpd/xl2tpd.conf

[global]
listen-addr = >>>>{對外IP}<<<<

[lns default]
ip range = 172.16.1.100-172.16.1.200; VPN使用者配發的IP段
local ip = 172.16.1.1; VPN Server本身的聯絡IP
assign ip = yes
;refuse chap = yes
;refuse pap = yes <<<我個人覺得有ipsec使用pap沒關係,而且某些情況下(例如pam),必須使用
require authentication = yes
unix authentication = yes; 使用pam驗證,用密碼檔記得刪掉這行
name = NyanVPNServer; 這個名字等一下會用到,可以任意取名
ppp debug = yes
pppoptfile = /etc/ppp/options.xl2tpd
length bit = yes

如果上面的xl2tpd.conf使用了pam驗證,要修改下面這個

/etc/pam.d/ppp

#%PAM-1.0
auth    required        pam_nologin.so
auth    required        pam_unix.so
account required        pam_unix.so
session required        pam_unix.so

PPP的部分

/etc/ppp/options.xl2tpd

ipcp-accept-local
ipcp-accept-remote
ms-dns  8.8.8.8 # 推送的DNS資訊
ms-dns  8.8.4.4
# ms-dns  192.168.1.1
# ms-dns  192.168.1.3
# ms-wins 192.168.1.2
# ms-wins 192.168.1.4
noccp
auth
crtscts
idle 1800
#mtu 1410
#mru 1410
mtu 1200 # 我也不知道mtu/mru怎麼設,不過這個會動
mru 1200
nodefaultroute
debug
lock
proxyarp
connect-delay 5000
login # 透過PAP使用系統密碼驗證,這也是為什麼前面不能拒絕PAP的原因
#require-mschap-v2 強迫使用MS-CHAP-V2

最後是連線密碼,CHAP和PAP的密碼檔是分開的,依照前面設定的內容和使用者的選擇而定

/etc/ppp/*-secrets

# Secrets for authentication using PAP
# client(帳號)  server(前面提到的name)   secret(密碼)   IP addresses(配發的IP)
alice           NyanVPNServer          "AliceIsCute"  *
# 下面這個是PAM的用法
*               NyanVPNServer          ""             *

設定就到這邊為止,接著就可以啟動VPN了

service strongswan start
service xl2tpd start

成功連上VPN之後,如果無法連外,檢查看看iptables的FORWARD chain是不是有阻擋連線的行為

留言

    • @清潔公司
      發廣告辛苦了
      沒有搜尋引擎的加持下,會不會有人點廣告我滿好奇的XD

  1. L2TP/IPsec辛苦惹
    我個人比較愛OpenVPN就是
    真要在Linux裡搞L2TP/IPsec不如直接用SoftEther
    超級懶人的哦哦哦

  2. 不好意思,我想請問我根據你的步驟完成了安裝與啟動,
    但是在Windows 8 連線卻出現憑證的問題,
    請問是要從Cenots 上取得憑證嗎?

    • @莫里
      ipsec的加密透過key exchange或是pre-shared key,這篇文章說的是pre-shared key,Windows預設是憑證,需要修改Windows的連線設定

      如果要用憑證的話,則是需要修改ipsec的設定,讓他傳送憑證給用戶端,而且要注意憑證的EKU必須要包含1.3.6.1.5.5.8.2.2的用法

      • @ATI
        不太懂,能否贴个教程出来?

        • @Vicer
          我也不太懂你的問題...

          ATI
  3. command "service xl2tpd start" failed...anyone know why?
    but xl2tpd -D works fine!
    pls help!

    • @King
      Try use "xl2tpd" command instead. Seems something went wrong with your process daemonizing.

粗體斜體刪除線連結引用圖片程式碼

注意:您的電子信箱將不會被公開,且網站連結不會被搜尋引擎採計

{124} {123} {122} {121} {120} {119} {118} {117} {116} {115} {114} {113} {112} {111} {100} {025} {024} {023} {022} {021} {020} {019} {018} {017} {016} {015} {014} {013} {012} {011} {010} {009} {008} {007} {006} {005} {004} {003} {002} {001}