2021-06-06 20:04:19 +03:00
# 高级用法
*其他语言版本: [English ](advanced-usage.md ), [简体中文 ](advanced-usage-zh.md ).*
2021-06-06 23:27:56 +03:00
* [使用其他的 DNS 服务器 ](#使用其他的-dns-服务器 )
* [域名和更改服务器 IP ](#域名和更改服务器-ip )
* [VPN 内网 IP 和流量 ](#vpn-内网-ip-和流量 )
* [VPN 分流 ](#vpn-分流 )
* [访问 VPN 服务器的网段 ](#访问-vpn-服务器的网段 )
* [仅限 IKEv2 的 VPN ](#仅限-ikev2-的-vpn )
* [更改 IPTables 规则 ](#更改-iptables-规则 )
2021-06-06 20:04:19 +03:00
## 使用其他的 DNS 服务器
在 VPN 已连接时，客户端配置为使用 [Google Public DNS ](https://developers.google.com/speed/public-dns/ )。如果偏好其它的域名解析服务，你可以编辑以下文件：`/etc/ppp/options.xl2tpd`, `/etc/ipsec.conf` 和 `/etc/ipsec.d/ikev2.conf` （如果存在），并替换 `8.8.8.8` 和 `8.8.4.4` 。然后运行 `service ipsec restart` 和 `service xl2tpd restart` 。
高级用户可以在运行 VPN 安装脚本和 [IKEv2 辅助脚本 ](ikev2-howto-zh.md#使用辅助脚本 ) 时定义 `VPN_DNS_SRV1` 和 `VPN_DNS_SRV2` （可选）。比如你想使用 [Cloudflare 的 DNS 服务 ](https://1.1.1.1/dns/ )：
```
sudo VPN_DNS_SRV1=1.1.1.1 VPN_DNS_SRV2=1.0.0.1 sh vpn.sh
sudo VPN_DNS_SRV1=1.1.1.1 VPN_DNS_SRV2=1.0.0.1 ikev2.sh --auto
```
## 域名和更改服务器 IP
对于 [IPsec/L2TP ](clients-zh.md ) 和 [IPsec/XAuth ("Cisco IPsec") ](clients-xauth-zh.md ) 模式，你可以在不需要额外配置的情况下使用一个域名（比如 `vpn.example.com` ）而不是 IP 地址连接到 VPN 服务器。另外，一般来说，在服务器的 IP 更改后，比如在恢复一个映像到具有不同 IP 的新服务器后，
2021-06-06 23:27:56 +03:00
对于 [IKEv2 ](ikev2-howto-zh.md ) 模式，如果你想要 VPN 在服务器的 IP 更改后继续正常工作，则必须在 [配置 IKEv2 ](ikev2-howto-zh.md ) 时指定一个域名作为 VPN 服务器的地址。该域名必须是一个全称域名(FQDN)。它将包含在生成的服务器证书中，这是 VPN 客户端连接所必需的。示例如下：
2021-06-06 20:04:19 +03:00
```
sudo VPN_DNS_NAME='vpn.example.com' ikev2.sh --auto
```
另外，你也可以自定义 IKEv2 安装选项，通过在运行 [辅助脚本 ](ikev2-howto-zh.md#使用辅助脚本 ) 时去掉 `--auto` 参数来实现。
## VPN 内网 IP 和流量
在使用 [IPsec/L2TP ](clients-zh.md ) 模式连接时， `192.168.42.0/24` 内具有内网 IP `192.168.42.1` 。为客户端分配的内网 IP 在这个范围内：`192.168.42.10` 到 `192.168.42.250` 。要找到为特定的客户端分配的 IP，
在使用 [IPsec/XAuth ("Cisco IPsec") ](clients-xauth-zh.md ) 或 [IKEv2 ](ikev2-howto-zh.md ) 模式连接时， `192.168.43.0/24` 内 **没有** 内网 IP。为客户端分配的内网 IP 在这个范围内：`192.168.43.10` 到 `192.168.43.250` 。
你可以使用这些 VPN 内网 IP 进行通信。但是请注意，为 VPN 客户端分配的 IP 是动态的，而且客户端设备上的防火墙可能会阻止这些流量。
对于 IPsec/L2TP 和 IPsec/XAuth ("Cisco IPsec") 模式，高级用户可以将静态 IP 分配给 VPN 客户端。这是可选的。展开以查看详细信息。IKEv2 模式 **不支持** 此功能。
< details >
< summary >
IPsec/L2TP 模式：为 VPN 客户端分配静态 IP
< / summary >
下面的示例 **仅适用于** IPsec/L2TP 模式。这些命令必须用 `root` 账户运行。
1. 首先为要分配静态 IP 的每个 VPN 客户端创建一个新的 VPN 用户。参见 [管理 VPN 用户 ](manage-users-zh.md )。该文档包含辅助脚本，以方便管理 VPN 用户。
1. 编辑 VPN 服务器上的 `/etc/xl2tpd/xl2tpd.conf` 。将 `ip range = 192.168.42.10-192.168.42.250` 替换为比如 `ip range = 192.168.42.100-192.168.42.250` 。这样可以缩小自动分配的 IP 地址池，从而使更多的 IP 可以作为静态 IP 分配给客户端。
1. 编辑 VPN 服务器上的 `/etc/ppp/chap-secrets` 。例如，如果文件内容是：
```
"username1" l2tpd "password1" *
"username2" l2tpd "password2" *
"username3" l2tpd "password3" *
```
假设你要为 VPN 用户 `username2` 分配静态 IP `192.168.42.2` ，为 VPN 用户 `username3` 分配静态 IP `192.168.42.3` ，同时保持 `username1` 不变（从池中自动分配）。在编辑完成后，文件内容应该如下所示：
```
"username1" l2tpd "password1" *
"username2" l2tpd "password2" 192.168.42.2
"username3" l2tpd "password3" 192.168.42.3
```
**注：** 分配的静态 IP 必须来自子网 `192.168.42.0/24` ，并且必须 **不是** 来自自动分配的 IP 地址池（参见上面的 `ip range` ）。另外，`192.168.42.1` 保留给 VPN 服务器本身使用。在上面的示例中，你只能分配 `192.168.42.2-192.168.42.99` 范围内的静态 IP。
1. ** （重要）** 重启 xl2tpd 服务：
```
service xl2tpd restart
```
< / details >
< details >
< summary >
IPsec/XAuth ("Cisco IPsec") 模式：为 VPN 客户端分配静态 IP
< / summary >
下面的示例 **仅适用于** IPsec/XAuth ("Cisco IPsec") 模式。这些命令必须用 `root` 账户运行。
1. 首先为要分配静态 IP 的每个 VPN 客户端创建一个新的 VPN 用户。参见 [管理 VPN 用户 ](manage-users-zh.md )。该文档包含辅助脚本，以方便管理 VPN 用户。
1. 编辑 VPN 服务器上的 `/etc/ipsec.conf` 。将 `rightaddresspool=192.168.43.10-192.168.43.250` 替换为比如 `rightaddresspool=192.168.43.100-192.168.43.250` 。这样可以缩小自动分配的 IP 地址池，从而使更多的 IP 可以作为静态 IP 分配给客户端。
1. 编辑 VPN 服务器上的 `/etc/ipsec.d/ikev2.conf` （如果存在）。将 `rightaddresspool=192.168.43.10-192.168.43.250` 替换为与上一步 **相同的值** 。
1. 编辑 VPN 服务器上的 `/etc/ipsec.d/passwd` 。例如，如果文件内容是：
```
username1:password1hashed:xauth-psk
username2:password2hashed:xauth-psk
username3:password3hashed:xauth-psk
```
假设你要为 VPN 用户 `username2` 分配静态 IP `192.168.43.2` ，为 VPN 用户 `username3` 分配静态 IP `192.168.43.3` ，同时保持 `username1` 不变（从池中自动分配）。在编辑完成后，文件内容应该如下所示：
```
username1:password1hashed:xauth-psk
username2:password2hashed:xauth-psk:192.168.42.2
username3:password3hashed:xauth-psk:192.168.42.3
```
**注：** 分配的静态 IP 必须来自子网 `192.168.43.0/24` ，并且必须 **不是** 来自自动分配的 IP 地址池（参见上面的 `rightaddresspool` ）。在上面的示例中，你只能分配 `192.168.43.1-192.168.43.99` 范围内的静态 IP。
1. ** （重要）** 重启 IPsec 服务：
```
service ipsec restart
```
< / details >
在默认配置下，允许客户端之间的流量。如果你想要 **不允许** 客户端之间的流量，可以在 VPN 服务器上运行以下命令。将它们添加到 `/etc/rc.local` 以便在重启后继续有效。
```
iptables -I FORWARD 2 -i ppp+ -o ppp+ -s 192.168.42.0/24 -d 192.168.42.0/24 -j DROP
iptables -I FORWARD 3 -s 192.168.43.0/24 -d 192.168.43.0/24 -j DROP
```
## VPN 分流
在启用 [VPN 分流 (split tunneling) ](https://wiki.strongswan.org/projects/strongswan/wiki/ForwardingAndSplitTunneling#Split-Tunneling ) 时， **不会** 通过 VPN 隧道。VPN 分流 [有一些局限性 ](https://wiki.strongswan.org/projects/strongswan/wiki/ForwardingAndSplitTunneling#Split-Tunneling )，而且并非所有的 VPN 客户端都支持。
高级用户可以为 [IPsec/XAuth ("Cisco IPsec") ](clients-xauth-zh.md ) 和/或 [IKEv2 ](ikev2-howto-zh.md ) 模式启用 VPN 分流。这是可选的。IPsec/L2TP 模式 **不支持** 此功能。
< details >
< summary >
IPsec/XAuth ("Cisco IPsec") 模式：启用 VPN 分流 (split tunneling)
< / summary >
下面的示例 **仅适用于** IPsec/XAuth ("Cisco IPsec") 模式。这些命令必须用 `root` 账户运行。
1. 编辑 VPN 服务器上的 `/etc/ipsec.conf` 。在 `conn xauth-psk` 小节中，将 `leftsubnet=0.0.0.0/0` 替换为你想要 VPN 客户端通过 VPN 隧道发送流量的子网。例如：
对于单个子网：
```
leftsubnet=10.123.123.0/24
```
对于多个子网（使用 `leftsubnets` ） ：
```
leftsubnets="10.123.123.0/24,10.100.0.0/16"
```
1. ** （重要）** 重启 IPsec 服务：
```
service ipsec restart
```
< / details >
< details >
< summary >
IKEv2 模式：启用 VPN 分流 (split tunneling)
< / summary >
下面的示例 **仅适用于** IKEv2 模式。这些命令必须用 `root` 账户运行。
1. 编辑 VPN 服务器上的 `/etc/ipsec.d/ikev2.conf` 。在 `conn ikev2-cp` 小节中，将 `leftsubnet=0.0.0.0/0` 替换为你想要 VPN 客户端通过 VPN 隧道发送流量的子网。例如：
对于单个子网：
```
leftsubnet=10.123.123.0/24
```
对于多个子网（使用 `leftsubnets` ） ：
```
leftsubnets="10.123.123.0/24,10.100.0.0/16"
```
1. ** （重要）** 重启 IPsec 服务：
```
service ipsec restart
```
< / details >
## 访问 VPN 服务器的网段
连接到 VPN 后， `192.168.0.0/24` ，并且一个 Nginx 服务器在 IP `192.168.0.2` 上运行，则 VPN 客户端可以使用 IP `192.168.0.2` 来访问 Nginx 服务器。
请注意，如果 VPN 服务器具有多个网络接口（例如 `eth0` 和 `eth1` ），并且你想要 VPN 客户端访问服务器上 **不用于** Internet 访问的网络接口后面的本地子网，则需要进行额外的配置。在此情形下，你必须运行以下命令来添加 IPTables 规则。为了在重启后仍然有效，你可以将这些命令添加到 `/etc/rc.local` 。
```bash
# 将 eth1 替换为 VPN 服务器上你想要客户端访问的网络接口名称
netif=eth1
iptables -I FORWARD 2 -i "$netif" -o ppp+ -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD 2 -i ppp+ -o "$netif" -j ACCEPT
iptables -I FORWARD 2 -i "$netif" -d 192.168.43.0/24 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD 2 -s 192.168.43.0/24 -o "$netif" -j ACCEPT
iptables -t nat -I POSTROUTING -s 192.168.43.0/24 -o "$netif" -m policy --dir out --pol none -j MASQUERADE
iptables -t nat -I POSTROUTING -s 192.168.42.0/24 -o "$netif" -j MASQUERADE
```
## 仅限 IKEv2 的 VPN
Libreswan 4.2 和更新版本支持 `ikev1-policy` 配置选项。使用此选项，高级用户可以设置仅限 IKEv2 的 VPN，
要设置仅限 IKEv2 的 VPN， 自述文件 ](../README-zh.md ) 中的说明安装 VPN 服务器并且配置 IKEv2。然后使用 `ipsec --version` 命令检查 Libreswan 版本并 [更新 Libreswan ](../README-zh.md#升级libreswan )（如果需要）。下一步，编辑 VPN 服务器上的 `/etc/ipsec.conf` 。在 `config setup` 小节的末尾添加 `ikev1-policy=drop` ，开头必须空两格。保存文件并运行 `service ipsec restart` 。在完成后，你可以使用 `ipsec status` 命令来验证仅启用了 `ikev2-cp` 连接。
## 更改 IPTables 规则
如果你想要在安装后更改 IPTables 规则，请编辑 `/etc/iptables.rules` 和/或 `/etc/iptables/rules.v4` (Ubuntu/Debian)，或者 `/etc/sysconfig/iptables` (CentOS/RHEL)。然后重启服务器。
## 授权协议
版权所有 (C) 2021 [Lin Song ](https://github.com/hwdsl2 ) [](https://www.linkedin.com/in/linsongui)
[](http://creativecommons.org/licenses/by-sa/3.0/)
这个项目是以 [知识共享署名-相同方式共享3.0 ](http://creativecommons.org/licenses/by-sa/3.0/ ) 许可协议授权。
必须署名： 请包括我的名字在任何衍生产品，并且让我知道你是如何改善它的！
