HQY 一个和谐有爱的空间

1. 用户网关：因为只有1个公网出口IP，只需创建1个用户网关。

2. IPsec连接：

1. 本端网段填写阿里云侧VPC的网段 172.16.0.0/16

2. 对端网段填写本地IDC侧的私网网段 10.0.0.0/16

3. 每条隧道的路由模式选择感兴趣流模式。

4. 用户网关选择同1个。

单出口基于strongSwan感兴趣流进行配置，直接可以实现双隧道主备切换功能。

1. 备份原始strongSwan配置文件

   mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. 新建strongSwan配置文件

   vi /etc/strongswan/swanctl/swanctl.conf

3. 根据场景示例中的规划，添加并保存如下配置

   connections {
      vco1 {                              # 添加IPsec-VPN隧道1的VPN配置
         version = 2                      # 指定IKE版本，需与阿里云隧道1的IKE版本保持一致，2表示IKEv2。
         local_addrs  = 10.0.0.1          # 本地网卡的ip地址
         remote_addrs = 3.3.XX.XX         # 指定隧道1对端的IP地址为阿里云隧道1的网关IP地址，即IPsec地址1。
         dpd_delay = 10
         rekey_time = 84600               # 指定隧道1的SA生存周期，需与阿里云隧道1 IKE配置中的SA生存周期保持一致。
         over_time = 1800               
         proposals = aes-sha1-modp1024    # 指定隧道1的加密算法、认证算法、DH分组，需与阿里云隧道1 IKE配置中的加密算法、认证算法、DH分组保持一致，group2对应的是modp1024。
         encap = yes
   
         local {
            auth = psk                    # 本段认证方式选择PSK模式，即预共享密钥方式。
            id = 1.1.XX.XX                # 本地公网出口IP，需与阿里云隧道1的RemoteId保持一致。
         }
         remote {
            auth = psk                    # 对端认证方式选择PSK方式，即阿里云使用预共享密钥方式。
            id = 3.3.XX.XX                # 阿里云侧IPsec地址1，需与阿里云隧道1的LocalId保持一致。
         }
         children {
            vco_child1 {
               local_ts  = 10.0.0.0/16    # 本地侧感兴趣流，填写本地私网网段10.0.0.0/16。
               remote_ts = 172.16.0.0/16  # 阿里云侧感兴趣流，填写VPC网段172.16.0.0/16。
               mode = tunnel
               rekey_time = 85500
               life_time = 86400          # 指定隧道1的SA生存周期，需与阿里云隧道1 IPsec配置中的SA生存周期保持一致。
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes-sha1-modp1024   # 指定隧道1的加密算法、认证算法、DH分组，需与阿里云隧道1 IPsec配置中的加密算法、认证算法、DH分组保持一致，group2对应的是modp1024。
            }
         }
      }
     vco2 {                             # 添加IPsec-VPN隧道2的VPN配置
         version = 2                    # 指定IKE版本，需与阿里云隧道2的IKE版本保持一致，2表示IKEv2。
         local_addrs  = 10.0.0.1        # 本地网卡的ip地址
         remote_addrs = 4.4.XX.XX       # 指定隧道 址，即IPsec地址2。
         dpd_delay = 10
         rekey_time = 84600             # 指定隧道2的SA生存周期，需与阿里云隧道2 IKE配置中的SA生存周期保持一致。
         over_time = 1800               
         proposals = aes-sha1-modp1024  # 指定隧道2的加密算法、认证算法、DH分组，需与阿里云隧道2 IKE配置中的加密算法、认证算法、DH分组保持一致，group2对应的是modp1024。
         encap = yes
   
         local {
            auth = psk                  # 本端认证方式选择PSK方式，即预共享密钥方式。
            id = 1.1.XX.XX              # 本地公网出口IP，与阿里云隧道2的RemoteId保持一致。
         }
         remote {
            auth = psk                  # 对端认证方式选择PSK方式，即阿里云使用预共享密钥方式。
            id = 4.4.XX.XX              # 阿里云侧IPsec地址2，需与阿里云隧道2的LocalId保持一致。
         }
         children {
            vco_child2 {
               local_ts  = 10.0.0.0/16      # 本地侧感兴趣流，填写本地私网网段10.0.0.0/16。
               remote_ts = 172.16.0.0/16    # 阿里云侧感兴趣流，填写VPC网段172.16.0.0/16。
               mode = tunnel 
               rekey_time = 85500
               life_time = 86400        # 指定隧道2的SA生存周期，需与阿里云隧道1 IPsec配置中的SA生存周期保持一致。
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes-sha1-modp1024     # 指定隧道2的加密算法、认证算法、DH分组，需与阿里云隧道2 IPsec配置中的加密算法、认证算法、DH分组保持一致，group2对应的是modp1024。
            }
         }
      }
   }
   
   secrets {
      ike-vco1 {
         secret = ChangeMe***            # 指定隧道1的预共享密钥，需与阿里云隧道1的预共享密钥保持一致。
      }
      ike-vco2 {
         secret = ChangeMe***            # 指定隧道2的预共享密钥，需与阿里云隧道2的预共享密钥保持一致。
      }
   }

4. 重启strongSwan进程

   systemctl restart strongswan

5. 查看隧道状态

   watch swanctl --list-sas

   

   如图，strongSwan设备和VPN网关之间已经正常建立了IPsec-VPN连接。