VPN Gateway：傳統型VPN網關入門

1. 放通防火牆策略

在 strongSwan 裝置上放通 ESP 協議（IP 協議號 50）、UDP 500 連接埠和 UDP 4500 連接埠，允許雲上的 2 個 IPsec 地址訪問。

以 iptables 為例，請根據實際使用的防火牆工具調整命令：

iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

2. 開啟路由轉寄

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

3. 安裝 strongSwan

dnf install epel-release -y
dnf install strongswan -y

4. 配置 strongSwan

1. 備份原始設定檔：mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. 建立設定檔：vi /etc/strongswan/swanctl/swanctl.conf

3. 添加並儲存以下配置。請將樣本中的 IP 位址和預先共用金鑰替換為您的實際地址：

   # strongSwan 雙隧道 IPsec-VPN 配置，適用於：阿里雲傳統型VPN網關+本地公網單出口+感興趣流
   #
   # 只有帶"請修改"標記的參數需要根據實際環境修改，其餘參數保持預設即可。
   # 演算法說明：aes128-sha1-modp1024 = AES-128 / SHA-1 / DH Group 2（控制台預設值）
   # 主備邏輯：vco1 (priority=1) 為主隧道，vco2 (priority=2) 為備隧道，主隧道故障時自動切換。
   
   connections {
   
      # === 隧道1（主） ===
      vco1 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes128-sha1-modp1024
         encap = yes
   
         local_addrs  = 172.16.0.1                # strongSwan本機網卡IP（請修改：NAT環境填私網IP；網卡直接綁公網出口IP則填公網IP）
         local {
            auth = psk
            id = XX.XX.3.3                        # 本地側公網出口IP（請修改）
         }
   
         remote_addrs = XX.XX.1.1                 # 阿里雲側隧道1的公網IP（請修改）
         remote {
            auth = psk
            id = XX.XX.1.1                        # 阿里雲側隧道1的公網IP，與上方 remote_addrs 一致（請修改）
         }
   
         children {
            vco_child1 {
               local_ts  = 172.16.0.0/16          # 本地側感興趣流網段（請修改）
               remote_ts = 10.0.0.0/16            # 阿里雲側感興趣流網段（請修改）
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes128-sha1-modp1024
               priority = 1                       # 指定為主隧道，不建議修改
            }
         }
      }
   
      # === 隧道2（備） ===
      vco2 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes128-sha1-modp1024
         encap = yes
   
         local_addrs  = 172.16.0.1                # strongSwan本機網卡IP，與隧道1的local_addrs相同（請修改）
         local {
            auth = psk
            id = XX.XX.3.3                        # 本地側公網出口IP，與隧道1相同（請修改）
         }
   
         remote_addrs = XX.XX.2.2                 # 阿里雲側隧道2的公網IP（請修改）
         remote {
            auth = psk
            id = XX.XX.2.2                        # 阿里雲側隧道2的公網IP，與上方 remote_addrs 一致（請修改）
         }
   
         children {
            vco_child2 {
               local_ts  = 172.16.0.0/16          # 本地側感興趣流網段，與隧道1的local_ts相同（請修改）
               remote_ts = 10.0.0.0/16            # 阿里雲側感興趣流網段，與隧道1的remote_ts相同（請修改）
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes128-sha1-modp1024
               priority = 2                       # 指定為備隧道，不建議修改
            }
         }
      }
   }
   
   secrets {
      ike-vco1 {
         id = XX.XX.1.1                           # 阿里雲側隧道1的公網IP（請修改）
         secret = your-psk-here                   # 隧道1的預先共用金鑰，需與阿里雲側一致（請修改）
      }
      ike-vco2 {
         id = XX.XX.2.2                           # 阿里雲側隧道2的公網IP（請修改）
         secret = your-psk-here                   # 隧道2的預先共用金鑰，需與阿里雲側一致（請修改）
      }
   }

5. 啟動並確認隧道狀態

sudo systemctl restart strongswan
swanctl --load-all
watch swanctl --list-sas

如果兩條隧道均顯示 ESTABLISHED 且 CHILD_SA 為 INSTALLED 狀態，則表示 strongSwan 裝置和阿里雲 VPN 閘道之間已成功建立 IPsec-VPN 串連。

驗證連通性

1. 先確保 ECS 的安全性群組規則已放通ICMP協議，再登入 strongSwan 裝置，執行以下命令 ping 雲上 ECS：

   ping 10.0.0.1

   若能收到回複報文，說明雲上 VPC 和雲下 IDC 之間已成功互連。

2. 先確保本地防火牆已放通 ICMP 協議，再登入 VPC 中的 ECS 執行個體（10.0.0.1），ping strongSwan 裝置的內網地址：

   ping 172.16.0.1

   若能收到回複報文，說明反向連通也正常。

驗證高可用

1. 保持 ECS 持續 ping IDC 伺服器：

   ping 172.16.0.1 -c 10000

2. 中斷主隧道：在阿里雲控制台修改 IPsec 串連主隧道的預先共用金鑰（使兩端密鑰不一致），主隧道將中斷。

3. 觀察 ping 結果：流量在短暫中斷後重新恢複通訊，說明流量已自動切換到備隧道。

4. 恢複主隧道：將主隧道的預先共用金鑰改回正確值，主隧道恢複後流量將自動切回。