在Debian上安装配置Cisco Ipsec VPN

自从用了shadowsocks人懒了很多,之前开着vpn的那台vps重新部署后一直没弄,导致所有iOS设备都处于无法科学上网状态。今天入手了台kvm架构的vps,安装完debian顺手配置了Cisco ipsec vpn,这里简单记录一下整个搭建流程。

安装racoon

apt-get install racoon

配置racoon

编辑 /etc/racoon/racoon.conf

用下面的代码替换掉原文件

log info;
path include "/etc/racoon";
path pre_shared_key "/etc/racoon/psk.txt";

listen {
    isakmp 1.2.3.4 [500]; #监听的端口和地址
    isakmp_natt 1.2.3.4 [4500]; #监听的端口和地址
}

remote anonymous {
    exchange_mode main,aggressive;
    doi ipsec_doi;
    nat_traversal on;
    proposal_check obey;
    generate_policy unique;
    ike_frag on;
    passive on;
    dpd_delay = 30;
    dpd_retry = 30;
    dpd_maxfail = 800;
    mode_cfg = on;
    proposal {
        encryption_algorithm aes;
        hash_algorithm sha1;
        authentication_method xauth_psk_server;
        dh_group 2;
        lifetime time 12 hour;
    }
}

timer{
    natt_keepalive 20 sec;
}

sainfo anonymous {
    lifetime time 12 hour;
    encryption_algorithm aes,3des,des;
    authentication_algorithm hmac_sha1,hmac_md5;
    compression_algorithm deflate;
}

mode_cfg {
    dns4 8.8.8.8,8.8.4.4;
    save_passwd on;
    network4 10.12.0.100; #客户端IP
    netmask4 255.255.255.0;
    pool_size 250;
    banner "/etc/racoon/motd";
    auth_source pam;
    conf_source local;
    pfs_group 2;
    default_domain "local";
}

修改 /etc/racoon/psk.txt

这是鉴定设置里的 group namegroup secret ,格式很简单,groupname空格groupsecret。例如:

name password

修改 /etc/racoon/motd

这是连接成功后的提示信息,随便你写什么。

ipv4 forward

编辑 /etc/sysctl.conf ,去掉 net.ipv4.ip_forward=1 前的注释。

sysctl -p /etc/sysctl.conf

使其生效。

iptables规则

iptables -A INPUT -p udp --dport 500 -j ACCEPT
iptables -A INPUT -p udp --dport 4500 -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.12.0.0/24 -o eth0 -j MASQUERADE
iptables -A FORWARD -s 10.12.0.0/24 -j ACCEPT

防止重启iptables规则失效

iptables-save > /etc/iptables/rules.v4 保存规则到文件,编辑 /etc/rc.local 加入下面两句:

racoon
/sbin/iptables-restore < /etc/iptables/rules.v4

MAC下避免每小时重新验证的方法

使用paveo大婶的脚本

curl -O http://s.cn.gfw.io/sc/fix_auto_disconnect.sh
chmod +x fix_auto_disconnect.sh
./fix_auto_disconnect.sh fix

手动配置

  1. 连接上Cisco Ipsec VPN
  2. ls /var/run/racoon/ 查看该文件夹下有一个配置文件,假设你的文件名为 ip.conf
  3. sudo cp /var/run/racoon/ip.conf /etc/racoon
  4. 打开 /etc/racoon/racoon.conf ,将最后一行注释掉,然后添加一行 include "/etc/racoon/ip.conf" ,这个 ip.conf 就是刚才从 /var/run/racoon/ 下copy过来的conf文件。
  5. /etc/racoon/ip.conf 做一些修改:
dpd_delay 0;
proposal_check claim;
lifetime time 24 hours; #替换掉每个lifetime time

重新链接后就OK了。

参考资料


本页最后更新时间:2015-11-11 Wed 12:22.
小过的布拉格 - Copyright©2013-2017 - @xiaoguo - Powered by Emacs 26.1 (Org mode 9.1.1)
行路难,行路难, 多歧路,今安在。长风破浪会有时,直挂云帆济沧海。