VSR公网对接strongSwan NAT穿越

通过上次的案例，我们已经掌握了strongSwan和VSR基于IKEv1主模式进行对接的配置方法。有同学提出，实际使用中穿越NAT在所难免，其实这种也好解决，按照前面配置H3C的思路，我们调整对应的配置为野蛮模式+FQDN应该就可以了。

本次我们先把VSR作为公网端，strongSwan经过NAT设备和VSR进行对接。

照例，我们先调整VSR的配置：

#ike keychain swan pre-shared-key hostname swan key simple swan#ike proposal 20 encryption-algorithm aes-cbc-128 dh group2 authentication-algorithm sha256#ike profile swan keychain swan exchange-mode aggressive local-identity address 49.7.205.89 match remote identity fqdn swan proposal 20#acl advanced 3402 rule 0 permit ip source 172.30.1.0 0.0.0.255 destination 172.27.3.0 0.0.0.255#ipsec transform-set swan esp encryption-algorithm aes-cbc-128 esp authentication-algorithm sha256#ipsec policy swan 10 isakmp transform-set swan security acl 3402 local-address 172.30.3.19ike-profile swan#interface GigabitEthernet1/0 ipsec apply policy swan

然后调整strongSwan的配置，主要是修改为IKEv1一阶段的交互模式为野蛮模式，并且修改身份验证为FQDN。

# cat /etc/strongswan/ipsec.confconn swan  aggressive = yesauthby = psk  keyexchange=ikev1  left= 192.168.222.131  leftid=swan  leftsubnet= 172.27.3.0/24  right= 49.7.205.89  rightid= 49.7.205.89  rightsubnet= 172.30.1.0/24  auto=route  ike = aes128-sha256-modp1024  esp = aes128-sha256  ikelifetime=86400

配置预共享密钥到ipsec.secrets文件中。

# cat /etc/strongswan/ipsec.secretsswan 49.7.205.89 : PSK swan

配置完成之后重新启动strongSwan服务。

strongswan restart

然后从strongSwan下连的主机发起访问请求。

访问失败，IKE一阶段协商成功，二阶段协商失败。

从VSR上查看，也是一样的状态。

对比之前的实验配置，应该是要换成IPsec模板试一下，把IPsec兴趣流也去掉。

#ipsec policy-template swant 1 transform-set swanlocal-address 172.30.3.19 ike-profile swan#ipsec policy swan 10 isakmp template swant

再次触发IPsec协商，隧道建立成功。

再次查看strongSwan状态，IKE第二阶段协商成功。

在VSR上查看IPsec SA信息。

不过有个地方我不太理解了，为啥开了ICMP超时报文发送功能和ICMP目的不可达报文发送功能之后，tracert路径还是会显示为*呢？

梳理一下配置。strongSwan配置如下：

# cat /etc/strongswan/ipsec.confconn swan        aggressive = yes        authby = psk        keyexchange=ikev1        left= 192.168.222.131        leftid=swan        leftsubnet= 172.27.3.0/24        right= 49.7.205.89        rightid= 49.7.205.89        rightsubnet= 172.30.1.0/24        auto=route        ike = aes128-sha256-modp1024        esp = aes128-sha256        ikelifetime=86400# cat /etc/strongswan/ipsec.secretsswan 49.7.205.89 : PSK swan

VSR配置如下：

#interface GigabitEthernet1/0 ip address 172.30.3.19 255.255.255.0ipsec apply policy swan#ipsec transform-set swan esp encryption-algorithm aes-cbc-128 esp authentication-algorithm sha256#ipsec policy-template swant 1 transform-set swan local-address 172.30.3.19 ike-profile swan#ipsec policy swan 10 isakmp template swant#ike profile swan keychain swan exchange-mode aggressive local-identity address 49.7.205.89 match remote identity fqdn swan proposal 20#ike proposal 20 encryption-algorithm aes-cbc-128 dh group2 authentication-algorithm sha256#ike keychain swan pre-shared-key hostname swan key simple swan

版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。