ipsec

IPsec VPN 配置与排错

补充说明

IPsec 在网络层加密和认证流量，常用于站点到站点 VPN。Linux 上常用 strongSwan（swanctl/ipsec）或 Libreswan，配置包括 IKE、ESP、路由和防火墙。

常用示例

ipsec statusall
ipsec up site-a
ipsec down site-a
swanctl --load-all
swanctl --list-conns
swanctl --list-sas
swanctl --list-pols
swanctl --stats

swanctl.conf 要点：

connections {
  site-a {
    local_addrs = 10.0.0.1
    remote_addrs = 203.0.113.2
    proposals = aes256-sha256-modp2048
    local { auth = psk; id = 10.0.0.1 }
    remote { auth = psk; id = 203.0.113.2 }
    children {
      net {
        local_ts = 10.1.0.0/16
        remote_ts = 10.2.0.0/16
        esp_proposals = aes256-sha256
        dpd_action = restart
      }
    }
  }
}

易错点与排错

• IKEv1 和 IKEv2 配置/日志不同；两端版本和提议要匹配。
• NAT-T 需要放行 UDP 500/4500；ESP 协议（50）也要允许。
• local_ts/remote_ts 与实际子网、路由不一致时，隧道起来但流量不通。
• PSK 和证书认证不能混用；id 配置要和对方一致。
• 防火墙/安全组要放行 IKE、ESP 和 NAT-T。
• DPD 检测到对端失联会重建隧道；频繁重建先查网络。
• 路由要指向隧道接口，否则流量绕过 VPN。
• 用 ipsec statusall/swanctl --list-sas 看 SA 状态，不要只看接口。

相关命令

• ipsec / swanctl — strongSwan 管理
• ip route — 路由
• tcpdump — 抓 IKE/ESP