IPsec传输模式配置 – 寸衫的个人博客

在Linux服务器上配置IPsec服务端

1. 安装必要的软件

首先，安装strongSwan来管理和配置IPsec。

sudo apt-get update
sudo apt-get install strongswan

2. 配置IPsec

修改/etc/ipsec.conf文件，配置IPsec服务端。

config setup
    charondebug="ike 2, knl 2, cfg 2"

conn windows-connection
    authby=secret
    auto=add
    left=%defaultroute  # 本地主机IP，可以使用%defaultroute自动检测
    [email protected]  # 可选，指定服务端ID
    right=192.168.1.2  # 远程Windows客户端IP
    [email protected]  # 可选，指定客户端ID
    type=transport
    esp=aes256-sha256-modp2048
    ike=aes256-sha256-modp2048
    keyexchange=ikev2
    dpdaction=clear  # 死对等检测
    dpddelay=30s
    dpdtimeout=120s

3. 配置预共享密钥

在/etc/ipsec.secrets文件中配置预共享密钥（PSK）：

@server.example.com @client.example.com : PSK "your_pre_shared_key"

4. 启动IPsec服务

启动并启用IPsec服务：

sudo systemctl start strongswan
sudo systemctl enable strongswan

5. 验证配置

使用ipsec status命令查看IPsec连接的状态：

sudo ipsec status

在Windows客户端上配置IPsec客户端

1. 打开“网络和共享中心”

通过“控制面板”打开“网络和共享中心”。

2. 创建新的VPN连接

点击“设置新的连接或网络”。
选择“连接到工作区”，然后点击“下一步”。
选择“使用我的Internet连接(VPN)”。

3. 配置VPN连接

在“Internet地址”字段中输入Linux服务器的IP地址。
在“目标名称”字段中输入一个名称，例如“IPsec VPN”。
点击“创建”。

4. 配置VPN属性

在“网络和共享中心”中找到刚刚创建的VPN连接，点击“更改适配器设置”。
右键点击新创建的VPN连接，选择“属性”。
在“安全”选项卡中，设置如下：
- VPN类型：选择“IKEv2”。
- 数据加密：选择“需要加密（断开连接如果服务器拒绝）”。
点击“高级设置”，选择“使用预共享密钥进行身份验证”，然后输入与你在Linux服务器上配置的PSK相同的预共享密钥。

5. 配置IPsec设置

在“安全”选项卡中，点击“IPsec设置”。
确保启用了“使用IPsec进行此VPN连接”。
输入预共享密钥。

6. 连接到VPN

在“网络和共享中心”中，找到刚刚创建的VPN连接。
点击“连接”，输入VPN用户名和密码（如果需要），然后连接。

在window下qt程序中的配置

在Windows上使用QT程序实现IPsec配置，可以通过调用Windows API或使用命令行工具来完成。这需要对Windows网络配置API有所了解，以及如何通过QT调用这些API或执行命令。以下是一个简单的示例，展示如何使用QT程序来配置IPsec连接。

1.步骤概述

使用QT创建一个基本的GUI应用程序。
通过QT调用Windows命令行配置VPN连接。
配置IPsec相关设置。

2.创建基本的QT应用程序

首先，创建一个QT Widget应用程序。在QT Creator中，选择“New Project”->“Application”->“QT Widgets Application”。

3.界面设计

使用QT Designer创建一个简单的界面，包括：

一个文本框，用于输入服务器IP地址。
一个文本框，用于输入预共享密钥。
一个按钮，用于提交配置。

4.主窗口代码

修改主窗口的头文件（mainwindow.h）：

#ifndef MAINWINDOW_H
#define MAINWINDOW_H

#include <QMainWindow>

namespace Ui {
class MainWindow;
}

class MainWindow : public QMainWindow
{
    Q_OBJECT

public:
    explicit MainWindow(QWidget *parent = nullptr);
    ~MainWindow();

private slots:
    void on_connectButton_clicked();
    void on_disconnectButton_clicked();

private:
    Ui::MainWindow *ui;
    void configureIPsec(const QString &serverIp, const QString &psk);
    void disconnectIPsec();
};

#endif // MAINWINDOW_H

修改主窗口的源文件（mainwindow.cpp）：

#include "mainwindow.h"
#include "ui_mainwindow.h"
#include <QProcess>
#include <QMessageBox>

MainWindow::MainWindow(QWidget *parent) :
    QMainWindow(parent),
    ui(new Ui::MainWindow)
{
    ui->setupUi(this);

    // Connect the disconnect button signal to the slot
    connect(ui->disconnectButton, &QPushButton::clicked, this, &MainWindow::on_disconnectButton_clicked);
}

MainWindow::~MainWindow()
{
    // Ensure IPsec connection is closed on exit
    disconnectIPsec();
    delete ui;
}

void MainWindow::on_connectButton_clicked()
{
    QString serverIp = ui->serverIpTextBox->text();
    QString psk = ui->pskTextBox->text();

    if (serverIp.isEmpty() || psk.isEmpty()) {
        QMessageBox::warning(this, "Input Error", "Please enter both server IP and PSK.");
        return;
    }

    configureIPsec(serverIp, psk);
}

void MainWindow::on_disconnectButton_clicked()
{
    disconnectIPsec();
    QMessageBox::information(this, "VPN Disconnection", "IPsec VPN has been disconnected.");
}

void MainWindow::configureIPsec(const QString &serverIp, const QString &psk)
{
    QString connectionName = "IPsecVPN";
    QString createVpnCmd = QString("powershell -Command \"Add-VpnConnection -Name '%1' -ServerAddress '%2' -TunnelType IKEv2 -AuthenticationMethod MachineCertificate -EncryptionLevel Required -PassThru\"")
                            .arg(connectionName).arg(serverIp);

    QProcess::execute(createVpnCmd);

    QString setPreSharedKeyCmd = QString("powershell -Command \"Set-VpnConnectionIPsecConfiguration -ConnectionName '%1' -AuthenticationTransformConstants GCMAES128 -CipherTransformConstants GCMAES256 -EncryptionMethod GCMAES256 -IntegrityCheckMethod SHA256 -DHGroup Group14 -PfsGroup PFS2048 -PassThru -EncryptionType Require -PreSharedKey '%2'\"")
                                 .arg(connectionName).arg(psk);

    QProcess::execute(setPreSharedKeyCmd);

    QString connectVpnCmd = QString("powershell -Command \"rasdial %1\"").arg(connectionName);
    QProcess::execute(connectVpnCmd);

    QMessageBox::information(this, "VPN Configuration", "IPsec VPN has been configured and connected.");
}

void MainWindow::disconnectIPsec()
{
    QString connectionName = "IPsecVPN";
    QString disconnectVpnCmd = QString("powershell -Command \"rasdial %1 /disconnect\"").arg(connectionName);
    QProcess::execute(disconnectVpnCmd);

    QString removeVpnCmd = QString("powershell -Command \"Remove-VpnConnection -Name '%1' -Force\"").arg(connectionName);
    QProcess::execute(removeVpnCmd);
}

5.界面文件修改

修改界面文件（mainwindow.ui）：

添加两个QLineEdit控件，用于输入服务器IP地址和预共享密钥，分别命名为serverIpTextBox和pskTextBox。
添加两个QPushButton控件，用于提交配置以及关闭连接，命名为connectButton和disconnectButton。

6.异常处理

为了确保在程序异常退出时也能断开IPsec连接，可以通过QT的信号与槽机制捕捉应用程序的关闭事件。

在主窗口的构造函数中添加如下代码以捕捉关闭事件：

cpp复制代码MainWindow::MainWindow(QWidget *parent) :
    QMainWindow(parent),
    ui(new Ui::MainWindow)
{
    ui->setupUi(this);

    // Connect the disconnect button signal to the slot
    connect(ui->disconnectButton, &QPushButton::clicked, this, &MainWindow::on_disconnectButton_clicked);

    // Handle application close event
    connect(QApplication::instance(), &QCoreApplication::aboutToQuit, this, &MainWindow::disconnectIPsec);
}

7.权限管理

确保以管理员身份运行程序，因为添加VPN连接和配置IPsec需要管理员权限。

8.代码说明

QProcess::execute用于执行命令行指令。我们使用PowerShell命令来添加VPN连接和配置IPsec。
Add-VpnConnection PowerShell命令用于创建VPN连接。
Set-VpnConnectionIPsecConfiguration PowerShell命令用于配置IPsec的预共享密钥和加密设置。
rasdial命令用于连接VPN。

9.完成

通过以上步骤，你可以使用QT程序在Windows上配置IPsec VPN连接。这个示例展示了基本的实现思路，实际应用中可能需要根据具体需求进行调整和扩展。

验证连接

在成功连接后，你可以在Windows客户端上使用ping或其他网络工具来测试与Linux服务器的连接。你还可以在Linux服务器上使用ipsec status来查看连接状态和活动会话。

额外注意事项

防火墙配置：确保Linux服务器的防火墙允许IPsec相关的流量（例如UDP 500和4500端口用于IKE，ESP协议流量）。
证书认证：虽然本文示例使用的是预共享密钥认证，你也可以配置证书认证以提高安全性。
网络拓扑：根据你的网络拓扑和具体需求，可能需要调整配置以优化性能和兼容性。

通过以上步骤，你可以在Linux服务器上配置IPsec服务端，并在Windows客户端上配置IPsec客户端，以实现加密通信。这种方式适用于需要安全、加密的端到端通信场景。