编辑...

Question

天哪，你的工作确实已经做好了。好的；这是一种大纲入门，因为目前你对基础知识的理解太差，以至于细节都不重要了。

首先，你没有为每一个互联网连接设置静态公共地址，这是一个问题。IPSec 无法轻松支持此类配置中的隧道 [1]，因此每次你的任何一个地址发生变化时，你最终都要编辑 ipsec.conf。好吗？

现在，当我问你每个 OpenSWAN 端点是否都有一个公共 IP 地址时，你自信地回答“是”，结果证明——正如我所怀疑的那样——你错了。你的ifconfig输出显示一端的地址为 192.168.1.78，另一端的地址为 10.0.2.15。你还告诉我，一端（目前）在后面公共 IP 地址 212.251.112.115 后面是 192.168.1.78，另一个在 79.103.7.114 后面。您没有说哪个是哪个，所以我假设 192.168.1.78 在 212.251.112.115 后面，而 10.0.2.15 在 79.103.7.114 后面。如果这是错误的，只需反转对应关系即可。我还将前一对称为左边以及后一对正确的。这没什么区别，但它会帮助我们保持思维清晰，这将是一个真的目前来说是个好主意。

您需要在两端设置公共路由器，以将 UDP/500 和协议 50 和 51（仅为了完整性）转发到每个公共地址内的 OpenSWAN 端点。如果您无法管理这两个协议穿透，请调查有关 NAT 遍历的文档并转发 UDP/4500。

首先，要求每一端在配置中找到自己的 IP 地址，以便每一端在启动时都能知道自己是左端还是右端。因此，左端需要有一个ipsec.conf包含

conn net-to-net  
    authby=secret
    left=192.168.1.78
    leftsubnet=192.168.1.0/24
    leftnexthop=%defaultroute
    right=79.103.7.114
    rightsubnet=10.0.2.0/24

并且ipsec.secrets说

192.168.1.78 79.103.7.114: PSK "123"

而右边必须有一个ipsec.conf包含

conn net-to-net  
    authby=secret
    left=212.251.112.115
    leftsubnet=192.168.1.0/24
    right=10.0.2.15
    rightsubnet=10.0.2.0/24 
    rightnexthop=%defaultroute

并且ipsec.secrets说

10.0.2.15 212.251.112.115: PSK "123"

每一端都需要真正知道自己是谁，同时可以假装自己并不关心远端是否位于 NAT 后面。明白了吗？

此外，您需要配置每一端的所有客户端，以便它们通过本地 OpenSWAN 端点路由到远程 RFC1918 网络。您需要检查/proc/sys/net/ipv4/ip_forward每个端点上的是否设置为 1。关闭两个端点上的任何防火墙确实是一个好主意，至少目前如此。您可能还需要激活一些配置变量，告诉每个端点不要在意远程端点认为它具有与本地端点认为它具有的不同 IP 地址；从记忆中，这些是leftid=和rightid=，但您必须自己解决这个问题。

这就是基础知识。如果你理解了基本拓扑和概念，剩下的只是调试细节。祝你好运。

[1] 这不完全正确。SWAN 实现支持机会性 IPSec 加密，但这要求您在两端控制反向 DNS，而我猜您不需要。如果您想了解更多信息，请再次阅读手册页。

Answer 1

天哪，你的工作确实已经做好了。好的；这是一种大纲入门，因为目前你对基础知识的理解太差，以至于细节都不重要了。

首先，你没有为每一个互联网连接设置静态公共地址，这是一个问题。IPSec 无法轻松支持此类配置中的隧道 [1]，因此每次你的任何一个地址发生变化时，你最终都要编辑 ipsec.conf。好吗？

现在，当我问你每个 OpenSWAN 端点是否都有一个公共 IP 地址时，你自信地回答“是”，结果证明——正如我所怀疑的那样——你错了。你的ifconfig输出显示一端的地址为 192.168.1.78，另一端的地址为 10.0.2.15。你还告诉我，一端（目前）在后面公共 IP 地址 212.251.112.115 后面是 192.168.1.78，另一个在 79.103.7.114 后面。您没有说哪个是哪个，所以我假设 192.168.1.78 在 212.251.112.115 后面，而 10.0.2.15 在 79.103.7.114 后面。如果这是错误的，只需反转对应关系即可。我还将前一对称为左边以及后一对正确的。这没什么区别，但它会帮助我们保持思维清晰，这将是一个真的目前来说是个好主意。

您需要在两端设置公共路由器，以将 UDP/500 和协议 50 和 51（仅为了完整性）转发到每个公共地址内的 OpenSWAN 端点。如果您无法管理这两个协议穿透，请调查有关 NAT 遍历的文档并转发 UDP/4500。

首先，要求每一端在配置中找到自己的 IP 地址，以便每一端在启动时都能知道自己是左端还是右端。因此，左端需要有一个ipsec.conf包含

conn net-to-net  
    authby=secret
    left=192.168.1.78
    leftsubnet=192.168.1.0/24
    leftnexthop=%defaultroute
    right=79.103.7.114
    rightsubnet=10.0.2.0/24

并且ipsec.secrets说

192.168.1.78 79.103.7.114: PSK "123"

而右边必须有一个ipsec.conf包含

conn net-to-net  
    authby=secret
    left=212.251.112.115
    leftsubnet=192.168.1.0/24
    right=10.0.2.15
    rightsubnet=10.0.2.0/24 
    rightnexthop=%defaultroute

并且ipsec.secrets说

10.0.2.15 212.251.112.115: PSK "123"

每一端都需要真正知道自己是谁，同时可以假装自己并不关心远端是否位于 NAT 后面。明白了吗？

此外，您需要配置每一端的所有客户端，以便它们通过本地 OpenSWAN 端点路由到远程 RFC1918 网络。您需要检查/proc/sys/net/ipv4/ip_forward每个端点上的是否设置为 1。关闭两个端点上的任何防火墙确实是一个好主意，至少目前如此。您可能还需要激活一些配置变量，告诉每个端点不要在意远程端点认为它具有与本地端点认为它具有的不同 IP 地址；从记忆中，这些是leftid=和rightid=，但您必须自己解决这个问题。

这就是基础知识。如果你理解了基本拓扑和概念，剩下的只是调试细节。祝你好运。

[1] 这不完全正确。SWAN 实现支持机会性 IPSec 加密，但这要求您在两端控制反向 DNS，而我猜您不需要。如果您想了解更多信息，请再次阅读手册页。

编辑...

编辑...

我的ifconfig：

他的 ifconfig

ipsec.conf 文件，我们都使用了完全相同的文件，我们也将其放在 /etc/init.d 中

我们还使用了完全相同的 ipsec.secrets，我们都将其放在 /etc/init.d 中

答案1

相关内容