VPN网关：传统型VPN网关入门

1. 放通防火墙策略

在 strongSwan 设备上放通 ESP 协议（IP 协议号 50）、UDP 500 端口和 UDP 4500 端口，允许云上的 2 个 IPsec 地址访问。

以 iptables 为例，请根据实际使用的防火墙工具调整命令：

iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

2. 开启路由转发

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

3. 安装 strongSwan

dnf install epel-release -y
dnf install strongswan -y

4. 配置 strongSwan

1. 备份原始配置文件：mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. 新建配置文件：vi /etc/strongswan/swanctl/swanctl.conf

3. 添加并保存以下配置。请将示例中的 IP 地址和预共享密钥替换为您的实际地址：

   # strongSwan 双隧道 IPsec-VPN 配置，适用于：阿里云传统型VPN网关+本地公网单出口+感兴趣流
   #
   # 只有带"请修改"标记的参数需要根据实际环境修改，其余参数保持默认即可。
   # 算法说明：aes128-sha1-modp1024 = AES-128 / SHA-1 / DH Group 2（控制台默认值）
   # 主备逻辑：vco1 (priority=1) 为主隧道，vco2 (priority=2) 为备隧道，主隧道故障时自动切换。
   
   connections {
   
      # === 隧道1（主） ===
      vco1 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes128-sha1-modp1024
         encap = yes
   
         local_addrs  = 172.16.0.1                # strongSwan本机网卡IP（请修改：NAT环境填私网IP；网卡直接绑公网出口IP则填公网IP）
         local {
            auth = psk
            id = XX.XX.3.3                        # 本地侧公网出口IP（请修改）
         }
   
         remote_addrs = XX.XX.1.1                 # 阿里云侧隧道1的公网IP（请修改）
         remote {
            auth = psk
            id = XX.XX.1.1                        # 阿里云侧隧道1的公网IP，与上方 remote_addrs 一致（请修改）
         }
   
         children {
            vco_child1 {
               local_ts  = 172.16.0.0/16          # 本地侧感兴趣流网段（请修改）
               remote_ts = 10.0.0.0/16            # 阿里云侧感兴趣流网段（请修改）
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes128-sha1-modp1024
               priority = 1                       # 指定为主隧道，不建议修改
            }
         }
      }
   
      # === 隧道2（备） ===
      vco2 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes128-sha1-modp1024
         encap = yes
   
         local_addrs  = 172.16.0.1                # strongSwan本机网卡IP，与隧道1的local_addrs相同（请修改）
         local {
            auth = psk
            id = XX.XX.3.3                        # 本地侧公网出口IP，与隧道1相同（请修改）
         }
   
         remote_addrs = XX.XX.2.2                 # 阿里云侧隧道2的公网IP（请修改）
         remote {
            auth = psk
            id = XX.XX.2.2                        # 阿里云侧隧道2的公网IP，与上方 remote_addrs 一致（请修改）
         }
   
         children {
            vco_child2 {
               local_ts  = 172.16.0.0/16          # 本地侧感兴趣流网段，与隧道1的local_ts相同（请修改）
               remote_ts = 10.0.0.0/16            # 阿里云侧感兴趣流网段，与隧道1的remote_ts相同（请修改）
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes128-sha1-modp1024
               priority = 2                       # 指定为备隧道，不建议修改
            }
         }
      }
   }
   
   secrets {
      ike-vco1 {
         id = XX.XX.1.1                           # 阿里云侧隧道1的公网IP（请修改）
         secret = your-psk-here                   # 隧道1的预共享密钥，需与阿里云侧一致（请修改）
      }
      ike-vco2 {
         id = XX.XX.2.2                           # 阿里云侧隧道2的公网IP（请修改）
         secret = your-psk-here                   # 隧道2的预共享密钥，需与阿里云侧一致（请修改）
      }
   }

5. 启动并确认隧道状态

sudo systemctl restart strongswan
swanctl --load-all
watch swanctl --list-sas

如果两条隧道均显示 ESTABLISHED 且 CHILD_SA 为 INSTALLED 状态，则表示 strongSwan 设备和阿里云 VPN 网关之间已成功建立 IPsec-VPN 连接。

验证连通性

1. 先确保 ECS 的安全组规则已放通ICMP协议，再登录 strongSwan 设备，执行以下命令 ping 云上 ECS：

   ping 10.0.0.1

   若能收到回复报文，说明云上 VPC 和云下 IDC 之间已成功互通。

2. 先确保本地防火墙已放通 ICMP 协议，再登录 VPC 中的 ECS 实例（10.0.0.1），ping strongSwan 设备的内网地址：

   ping 172.16.0.1

   若能收到回复报文，说明反向连通也正常。

验证高可用

1. 保持 ECS 持续 ping IDC 服务器：

   ping 172.16.0.1 -c 10000

2. 中断主隧道：在阿里云控制台修改 IPsec 连接主隧道的预共享密钥（使两端密钥不一致），主隧道将中断。

3. 观察 ping 结果：流量在短暂中断后重新恢复通信，说明流量已自动切换到备隧道。

4. 恢复主隧道：将主隧道的预共享密钥改回正确值，主隧道恢复后流量将自动切回。