配置StrongSwan VPN服务器可以分为几个步骤，确保每一步都正确执行

安装StrongSwan

• 在Ubuntu上：

  sudo apt-get install strongswan

• 在Mac上：

  brew install strongswan

生成证书

• 启动StrongSwan服务：

  sudo strongswan-daemon start

• 生成证书请求：

  sudo strongswan-ca-helper --subject-alt-name "IP address" --keypair-file strongswan.pem

• 上传并下载证书： 将生成的证书请求发送给CA服务器,并下载回本地。

配置服务器文件

• 创建配置目录：

  mkdir -p /etc/strongswan

• 配置文件：
  /etc/strongswan/server.cfg

  # 服务器配置
  %defaulthost=192.168.1.1
  %defaulthost_ipv6=2001:db8::1
  %auth=psk:mysecret
  %ike=ikev2
  %strip=
  %mute=
  %nat=1
  %nat_traversal=1
  %redirect_flags=
  %dns=...1
  %default_router_policy=.../
  %server_crypto= aes:256, des:3des, blowfish:448, rc4:128, hmac:sha1, sha, sha256

配置用户

• 创建用户文件：
  /etc/strongswan/user.cfg

  %groups:
  group1 {
      # 用户1的配置
      id=123
      ca=ca.pem
      certificate=client.pem
      private_key=client.key
      password=yourpassword
  }

配置路由和策略

• 默认路由：
  在server.cfg中添加：

  %default_route=.../

• 允许特定应用：
  可能需要在server.cfg中添加路由规则,允许特定应用通过VPN。

配置客户端

• 生成客户端配置文件：

  sudo ipsec --generate client.cfg --server host=192.168.1.1

• 手动编辑client.cfg：

  # 客户端配置
  %debug=2
  %auth=psk:yourpassword
  %host=192.168.1.2
  %ike=ikev2
  %strip=
  %mute=
  %nat=1
  %nat_traversal=1
  %redirect_flags=
  %dns=...1

测试连接

• 服务器状态：

  sudo ipsec --status

• 测试连接：

  sudo ipsec --connect

• 使用nc测试端口：

  nc -zv 192.168.1.1 450

注意事项

• 证书管理： 定期更新证书,确保它们在有效期内。
• 防火墙配置： 打开相关端口,确保服务器和客户端的防火墙允许VPN流量。
• 路由设置： 确保本地网络和远程网络的路由配置正确,避免连接失败。

通过以上步骤，你可以配置一个功能正常的StrongSwan VPN服务器,确保用户能够顺利连接。