networkmanager-strongswan vpn - 通过 VPN 路由特定 IP

Question

斯特朗斯万使用策略路由，通过策略配置xfrm：

该dir out策略规定如何处理来自172.26.199.18/32至的数据包0.0.0.0/0：它们需要加密并通过 VPN 隧道发送。
dir in和策略dir fwd规定当加密数据包进入时要做什么。如果解密后，来自到的数据包0.0.0.0/0不是172.26.199.18/32来自指定隧道，则会被丢弃。明文数据包不受此限制。

为了限制 VPN 网络的使用，您有以下三种解决方案：

这些规则中出现的网络是您的 IKE 服务器与远程服务器之间协商的。 NetworkManager 插件始终建议在your_ip/32和之间建立一条隧道0.0.0.0/0。如果远程服务器提出建议0.0.0.0/0，则10.0.0.0/8生成的连接将是：在your_ip/32和之间10.0.0.0/8。因此，您需要要求远程端点的管理员正确配置他的 IKE 守护进程。

您可以放弃使用 NetworkManager 作为 VPN 隧道，安装卡戎系统d并创建一个简单的配置文件（例如/etc/swanctl/conf.d/my_vpn.conf）：

connections {
    my_vpn {
        version = 2
        local_addrs=%any
        remote_addrs=vpn********.it
        local {
            auth = eap
            eap_id = your_username
        }
        remote {
            auth = pubkey
            id = server_name
        }
        children {
            my_tunnel {
                #local_ts = dynamic
                remote_ts = remote_network
            }
        }
    }
}

重新加载守护进程 ( systemctl reload strongswan-swanctl) 并运行：

swanctl --initiate --ike my_vpn --child my_tunnel

添加您自己的策略，其priority值小于自动安装的值，这将允许未加密的流量，例如：

ip xfrm policy add src your_ip/32 dst 192.0.2.0/24 \
    dir out priority 1000
ip xfrm policy add src 192.0.2.0/24 dst your_ip/32 \
    dir in priority 1000

这将允许明文流量到达192.0.2.0/24.

Answer 1