上一篇文章提到了一点StrongSwan的配置。

本文继续使用StrongSwan。

StrongSwan的left和right是支持使用域名的，利用此可以实现动态IP的支持；上一篇文章用了type=transport模式转发UDP端口构建L2TPv3，如果没有L2组网的需求，其实可以直接利用type=tunnel模式实现L3转发。

网络拓扑：

上图中的路由器lan-router1和lan-router2都是通过pppoe接入互联网的，域名lan-router1.router和lan-router2.router通过ddns分别解析到了各自pppoe0的IP地址上；server1和server2分别通过lan-router1和lan-router2接入互联网。

下面的操作将在server1与lan-router2之间构建site-to-site IPsec VPN，接通192.168.1.0/24与10.0.0.0/24这两个内网。

提醒：用StrongSwan构建site-to-site IPsec VPN的话，需要至少有一端的UDP 500和4500端口在公网可以访问。

1. 配置StrongSwan

安装StrongSwan就不再阐述了。

在IPsec的配置文件中，left指本地，right指对方。

2.1 server1的配置

编辑/etc/ipsec.conf，末尾加入：

这里left直接用0.0.0.0表示任何IP都接受连接，right用lan-router2的ddns域名lan-router2.router。

其中left/rightsubnet分别定义了server1的内网IP段，server2的内网IP段，意思就是leftsubnet和rightsubnet之间的流量将走site-to-site IPsec VPN。left/rightsubnet支持定义多个子网的，用逗号分隔。

在server1的auto是route，意思是当内核遇到目的地为rightsubnet的流量，自动发起协商构建site-to-site IPsec VPN。

left/rightid是不建议省略的，另外记得在开头添加@阻止把字符串当成域名解析成IP。

其余的参数，大概就是使用aes-128加密，sha1签名，ikev2协议交换密钥，30秒发送一次心跳包（使用NAT的话尤其重要），心跳包超过120秒无回应重新构建连接（dpdaction=restart）。

编辑/etc/ipsec.secrets，在末尾加入（其中的pre-shared-key是密码，记得改成你自己定的值）：

ipsec.secrets的格式，上一篇文章也有提到，是：

2.2 server2的配置

server2需开放UDP端口500与4500。

编辑/etc/ipsec.conf，末尾加入：

其实大体上就是把server1的配置中的left和right调换过来。

当然，这边的right用了域名lan-router1.router，这个域名是会解析到lan-router1 的pppoe0接口的IP的。

此外，这边的auto是add，dpdaction是clear，主要原因是server1处于内网，在server2是无法主动发起协商请求的，所以让StrongSwan启动时仅加载此配置，不作任何其它操作，并且心跳回应超时后，不重建连接。

编辑/etc/ipsec.secrets，在末尾加入（其中的pre-shared-key是密码，记得改成你自己定的值）：

2.3 重启StrongSwan并发起协商构建连接

server1和lan-router2执行下面的命令重启StrongSwan：

发起协商是仅能从server1发起的，原因上一篇文章和开头已提过：

如果up有提示successfully，但是ping不通的话，见本文2.3防火墙的配置。

在lan-router2上测试：

因为设置了心跳，所以无需担心路由器上的NAT记录超时，此外server1上设置了自动重连，所以更换IP或者其它原因导致VPN断开后，只要ddns更新的DNS记录生效了或者网络恢复正常，理论上server1是会自动重连的，当然，理论上。

2. 其它配置

2.1 L2TPv3、GRE等应用

通过上面构造的VPN，因为server1和lan-router2都是分别拥有一个固定的内网IP的，所以可以直接指定双方的内网IP构建L2TPv3（详见上一篇文章）或者GRE之类的。

2.2 启用IPv4转发以及设置SNAT规则

上面配置的都是/24的子网，如果两边都未启用IPv4转发，双方都仅能访问对方的IP。

本文的拓扑中，server1是需要启用IPv4转发并设置SNAT的，lan-router2上一般不需要进行这两项配置。

如何启用IPv4转发以及设置SNAT规则，网络上很多资料，这个各位自行按实际情况解决。

2.3 防火墙的配置

这里给个匹配IPsec流量的规则，自行按需应用吧：

例如lan-router2上pppoe0接口可能配了防火墙对入网流量进行了较为严格的入网流量控制，会导致lan-router2可以主动访问server1但server1无法主动访问lan-router2，加入以下规则即可解决：

转发的类似，加入FORWARD链即可。