mirror of synced 2024-11-22 13:06:02 +03:00

- Add Debian 10 to supported OS
- Add a note on Debian 10 kernel versions

2019-08-20 11:06:11 -05:00

26 KiB

Raw Blame History

配置 IPsec/L2TP VPN 客户端

其他语言版本: English, 简体中文.

注：你也可以使用更高效的 IPsec/XAuth 模式连接，或者配置 IKEv2。

在成功搭建自己的 VPN 服务器之后，按照下面的步骤来配置你的设备。IPsec/L2TP 在 Android, iOS, OS X 和 Windows 上均受支持，无需安装额外的软件。设置过程通常只需要几分钟。如果无法连接,请首先检查是否输入了正确的 VPN 登录凭证。

平台名称
故障排除

Windows

Windows 10 and 8.x

右键单击系统托盘中的无线/网络图标。
选择 打开网络和共享中心。或者，如果你使用 Windows 10 版本 1709 或以上，选择 打开"网络和 Internet"设置，然后在打开的页面中单击 网络和共享中心。
单击 设置新的连接或网络。
选择 连接到工作区，然后单击 下一步。
单击 使用我的Internet连接 (VPN)。
在 Internet地址 字段中输入你的 VPN 服务器 IP。
在 目标名称 字段中输入任意内容。单击创建。
返回 网络和共享中心。单击左侧的 更改适配器设置。
右键单击新创建的 VPN 连接，并选择属性。
单击安全选项卡，从 VPN 类型 下拉菜单中选择 "使用 IPsec 的第 2 层隧道协议 (L2TP/IPSec)"。
单击 允许使用这些协议。选中 "质询握手身份验证协议 (CHAP)" 和 "Microsoft CHAP 版本 2 (MS-CHAP v2)" 复选框。
单击 高级设置 按钮。
单击 使用预共享密钥作身份验证 并在密钥字段中输入你的 VPN IPsec PSK。
单击确定关闭 高级设置。
单击确定保存 VPN 连接的详细信息。

注：在首次连接之前需要修改一次注册表。请参见下面的说明。

另外，除了按照以上步骤操作，你也可以运行下面的 Windows PowerShell 命令来创建 VPN 连接。将 你的 VPN 服务器 IP 和 你的 VPN IPsec PSK 换成你自己的值，用单引号括起来：

# 不保存命令行历史记录
Set-PSReadlineOption –HistorySaveStyle SaveNothing
# 创建 VPN 连接
Add-VpnConnection -Name 'My IPsec VPN' -ServerAddress '你的 VPN 服务器 IP' -L2tpPsk '你的 VPN IPsec PSK' -TunnelType L2tp -EncryptionLevel Required -AuthenticationMethod Chap,MSChapv2 -Force -RememberCredential -PassThru
# 忽略 data encryption 警告（数据在 IPsec 隧道中已被加密）

Windows 7, Vista and XP

单击开始菜单，选择控制面板。
进入 网络和Internet 部分。
单击 网络和共享中心。
单击 设置新的连接或网络。
选择 连接到工作区，然后单击 下一步。
单击 使用我的Internet连接 (VPN)。
在 Internet地址 字段中输入你的 VPN 服务器 IP。
在 目标名称 字段中输入任意内容。
选中 现在不连接；仅进行设置以便稍后连接 复选框。
单击 下一步。
在 用户名 字段中输入你的 VPN 用户名。
在密码字段中输入你的 VPN 密码。
选中 记住此密码 复选框。
单击创建，然后单击关闭按钮。
返回 网络和共享中心。单击左侧的 更改适配器设置。
右键单击新创建的 VPN 连接，并选择属性。
单击选项选项卡，取消选中 包括Windows登录域 复选框。
单击安全选项卡，从 VPN 类型 下拉菜单中选择 "使用 IPsec 的第 2 层隧道协议 (L2TP/IPSec)"。
单击 允许使用这些协议。选中 "质询握手身份验证协议 (CHAP)" 和 "Microsoft CHAP 版本 2 (MS-CHAP v2)" 复选框。
单击 高级设置 按钮。
单击 使用预共享密钥作身份验证 并在密钥字段中输入你的 VPN IPsec PSK。
单击确定关闭 高级设置。
单击确定保存 VPN 连接的详细信息。

注：在首次连接之前需要修改一次注册表，以解决 VPN 服务器和/或客户端与 NAT （比如家用路由器）的兼容问题。

要连接到 VPN：单击系统托盘中的无线/网络图标，选择新的 VPN 连接，然后单击连接。如果出现提示，在登录窗口中输入 你的 VPN 用户名 和 密码 ，并单击确定。最后你可以到这里检测你的 IP 地址，应该显示为你的 VPN 服务器 IP。

如果在连接过程中遇到错误，请参见故障排除。

OS X

打开系统偏好设置并转到网络部分。
在窗口左下角单击 + 按钮。
从接口下拉菜单选择 VPN。
从 VPN类型 下拉菜单选择 IPSec 上的 L2TP。
在 服务名称 字段中输入任意内容。
单击创建。
在 服务器地址 字段中输入你的 VPN 服务器 IP。
在 帐户名称 字段中输入你的 VPN 用户名。
单击 鉴定设置 按钮。
在 用户鉴定 部分，选择密码单选按钮，然后输入你的 VPN 密码。
在 机器鉴定 部分，选择 共享的密钥 单选按钮，然后输入你的 VPN IPsec PSK。
单击好。
选中 在菜单栏中显示 VPN 状态 复选框。
（重要） 单击高级按钮，并选中 通过VPN连接发送所有通信 复选框。
单击 TCP/IP 选项卡，并在 配置IPv6 部分中选择 仅本地链接。
单击好关闭高级设置，然后单击应用保存VPN连接信息。

要连接到 VPN：使用菜单栏中的图标，或者打开系统偏好设置的网络部分，选择 VPN 并单击连接。最后你可以到这里检测你的 IP 地址，应该显示为你的 VPN 服务器 IP。

如果在连接过程中遇到错误，请参见故障排除。

Android

启动设置应用程序。
在 无线和网络 部分单击 更多...。
单击 VPN。
单击 添加VPN配置文件 或窗口右上角的 +。
在名称字段中输入任意内容。
在类型下拉菜单选择 L2TP/IPSec PSK。
在 服务器地址 字段中输入你的 VPN 服务器 IP。
保持 L2TP 密钥 字段空白。
保持 IPSec 标识符 字段空白。
在 IPSec 预共享密钥 字段中输入你的 VPN IPsec PSK。
单击保存。
单击新的VPN连接。
在 用户名 字段中输入你的 VPN 用户名。
在密码字段中输入你的 VPN 密码。
选中 保存帐户信息 复选框。
单击连接。

VPN 连接成功后，会在通知栏显示图标。最后你可以到这里检测你的 IP 地址，应该显示为你的 VPN 服务器 IP。

如果在连接过程中遇到错误，请参见故障排除。

iOS

进入设置 -> 通用 -> VPN。
单击 添加VPN配置...。
单击类型。选择 L2TP 并返回。
在描述字段中输入任意内容。
在 服务器 字段中输入你的 VPN 服务器 IP。
在帐户字段中输入你的 VPN 用户名。
在密码字段中输入你的 VPN 密码。
在密钥字段中输入你的 VPN IPsec PSK。
启用 发送所有流量 选项。
单击右上角的完成。
启用 VPN 连接。

VPN 连接成功后，会在通知栏显示图标。最后你可以到这里检测你的 IP 地址，应该显示为你的 VPN 服务器 IP。

如果在连接过程中遇到错误，请参见故障排除。

Chromebook

如果你尚未登录 Chromebook，请先登录。
单击状态区（其中显示你的帐户头像）。
单击设置。
在 互联网连接 部分，单击 添加连接。
单击 添加 OpenVPN / L2TP。
在 服务器主机名 字段中输入你的 VPN 服务器 IP。
在 服务名称 字段中输入任意内容。
在 供应商类型 下拉菜单选择 L2TP/IPsec + 预共享密钥。
在 预共享密钥 字段中输入你的 VPN IPsec PSK。
在 用户名 字段中输入你的 VPN 用户名。
在密码字段中输入你的 VPN 密码。
单击连接。

VPN 连接成功后，网络状态图标上会出现 VPN 指示。最后你可以到这里检测你的 IP 地址，应该显示为你的 VPN 服务器 IP。

如果在连接过程中遇到错误，请参见故障排除。

Linux

Ubuntu Linux

Ubuntu 18.04 （和更新版本）用户可以安装 network-manager-l2tp-gnome 软件包，然后通过 GUI 配置 IPsec/L2TP VPN 客户端。Ubuntu 16.04 用户可能需要添加 nm-l2tp PPA，参见这里。

进入 Settings -> Network -> VPN。单击 + 按钮。
选择 Layer 2 Tunneling Protocol (L2TP)。
在 Name 字段中输入任意内容。
在 Gateway 字段中输入你的 VPN 服务器 IP。
在 User name 字段中输入你的 VPN 用户名。
右键单击 Password 字段中的 ?，选择 Store the password only for this user。
在 Password 字段中输入你的 VPN 密码。
保持 NT Domain 字段空白。
单击 IPsec Settings... 按钮。
选中 Enable IPsec tunnel to L2TP host 复选框。
保持 Gateway ID 字段空白。
在 Pre-shared key 字段中输入你的 VPN IPsec PSK。
展开 Advanced 部分。
在 Phase1 Algorithms 字段中输入 aes128-sha1-modp2048!。
在 Phase2 Algorithms 字段中输入 aes128-sha1-modp2048!。
单击 OK，然后单击 Add 保存 VPN 连接信息。
启用 VPN 连接。

VPN 连接成功后，你可以到这里检测你的 IP 地址，应该显示为你的 VPN 服务器 IP。

Fedora 和 CentOS

Fedora 28 （和更新版本）和 CentOS 7 用户可以使用更高效的 IPsec/XAuth 模式连接。

其它 Linux

首先看这里以确认 network-manager-l2tp 和 network-manager-l2tp-gnome 软件包是否在你的 Linux 版本上可用。如果可用，安装它们（选择使用 strongSwan）并参见上面的说明。另外，你也可以使用命令行配置 Linux VPN 客户端。

故障排除

其他语言版本: English, 简体中文.

Windows 错误 809
Windows 错误 628
Windows 10 升级
Windows 8/10 DNS 泄漏
macOS VPN 流量
iOS/Android 睡眠模式
iOS 13 连接问题
Android 6 及以上版本
Debian 10 内核
Chromebook 连接问题
访问 VPN 服务器的网段
其它错误
额外的步骤

Windows 错误 809

无法建立计算机与 VPN 服务器之间的网络连接，因为远程服务器未响应。

要解决此错误，在首次连接之前需要修改一次注册表，以解决 VPN 服务器和/或客户端与 NAT （比如家用路由器）的兼容问题。请下载并导入下面的 .reg 文件，或者打开提升权限命令提示符并运行以下命令。完成后必须重启计算机。

适用于 Windows Vista, 7, 8.x 和 10 (下载 .reg 文件)

REG ADD HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 0x2 /f

仅适用于 Windows XP (下载 .reg 文件)

REG ADD HKLM\SYSTEM\CurrentControlSet\Services\IPSec /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 0x2 /f

另外，某些个别的 Windows 系统配置禁用了 IPsec 加密，此时也会导致连接失败。要重新启用它，可以运行以下命令并重启。

适用于 Windows XP, Vista, 7, 8.x 和 10 (下载 .reg 文件)

REG ADD HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters /v ProhibitIpSec /t REG_DWORD /d 0x0 /f

Windows 错误 628

在连接完成前，连接被远程计算机终止。

要解决此错误，请按以下步骤操作：

右键单击系统托盘中的无线/网络图标，选择 打开网络和共享中心。
单击左侧的 更改适配器设置。右键单击新的 VPN 连接，并选择属性。
单击安全选项卡，从 VPN 类型 下拉菜单中选择 "使用 IPsec 的第 2 层隧道协议 (L2TP/IPSec)"。
单击 允许使用这些协议。确保选中 "质询握手身份验证协议 (CHAP)" 复选框。
单击 高级设置 按钮。
单击 使用预共享密钥作身份验证 并在密钥字段中输入你的 VPN IPsec PSK。
单击确定关闭 高级设置。
单击确定保存 VPN 连接的详细信息。

Windows 10 升级

在升级 Windows 10 版本之后（比如从 1709 到 1803），你可能需要重新按照上面的 Windows 错误 809 中的步骤修改注册表并重启。

Windows 8/10 DNS 泄漏

Windows 8.x 和 10 默认使用 "smart multi-homed name resolution" （智能多宿主名称解析）。如果你的因特网适配器的 DNS 服务器在本地网段上，在使用 Windows 自带的 IPsec VPN 客户端时可能会导致 "DNS 泄漏"。要解决这个问题，你可以禁用智能多宿主名称解析，或者配置你的因特网适配器以使用在你的本地网段之外的 DNS 服务器（比如 8.8.8.8 和 8.8.4.4）。在完成后清除 DNS 缓存并且重启计算机。

另外，如果你的计算机启用了 IPv6，所有的 IPv6 流量（包括 DNS 请求）都将绕过 VPN。要在 Windows 上禁用 IPv6，请看这里。

macOS VPN 流量

OS X (macOS) 用户：如果你成功地使用 IPsec/L2TP 模式连接，但是你的公有 IP 没有显示为 你的 VPN 服务器 IP，请阅读上面的 OS X 部分并完成这一步：单击高级按钮，并选中 通过VPN连接发送所有通信 复选框。然后重新连接 VPN。

iOS/Android 睡眠模式

为了节约电池，iOS 设备 (iPhone/iPad) 在屏幕变黑（睡眠模式）之后不久就会自动断开 Wi-Fi 连接。这会导致 IPsec VPN 断开。该行为是被故意设计的并且不能被配置。如果你需要 VPN 在设备唤醒后自动重连，可以另外尝试使用 OpenVPN，它支持一些选项比如 "Reconnect on Wakeup" 和 "Seamless Tunnel"。

Android 设备在进入睡眠模式不久后也会断开 Wi-Fi 连接，如果你没有启用选项 "睡眠期间保持 WLAN 开启" 的话。该选项在 Android 8 (Oreo) 中不再可用。另外，你也可以尝试打开 "始终开启 VPN" 选项以保持连接。详情请看这里。

iOS 13 连接问题

如果你的 iOS 13 设备 (iPhone/iPad) 可以连接到 VPN 但是不能上网，请尝试以下步骤：编辑 VPN 服务器上的 /etc/ipsec.conf。找到 sha2-truncbug=yes 并将它替换为 sha2-truncbug=no。保存修改并运行 service ipsec restart。

Android 6 及以上版本

如果你无法使用 Android 6 或以上版本连接：

单击 VPN 连接旁边的设置按钮，选择 "Show advanced options" 并且滚动到底部。如果选项 "Backward compatible mode" 存在（看下图），请启用它并重试连接。如果不存在，请尝试下一步。
编辑 VPN 服务器上的 /etc/ipsec.conf。找到 sha2-truncbug=yes 并将它替换为 sha2-truncbug=no。保存修改并运行 service ipsec restart (参见)

Debian 10 内核

Debian 10 用户：运行 uname -r 以检查你的服务器的 Linux 内核版本。如果它包含 cloud 字样，并且 /dev/ppp 不存在，则该内核缺少 ppp 支持从而不能使用 IPsec/L2TP 模式（IPsec/XAuth 模式不受影响）。

要解决此问题，你可以换用标准的 Linux 内核，通过安装比如 linux-image-amd64 软件包来实现。然后更新 GRUB 的内核默认值并重启。

Chromebook 连接问题

Chromebook 用户：如果你无法连接，请尝试以下步骤：编辑 VPN 服务器上的 /etc/ipsec.conf。找到这一行 phase2alg=... 并在结尾加上 ,aes_gcm-null 。保存修改并运行 service ipsec restart。

访问 VPN 服务器的网段

如果要允许 VPN 客户端访问 VPN 服务器所在的网段，你需要在搭建 VPN 服务器之后手动添加 IPTables 规则。例如，如果网段是 192.168.0.0/24：

# For IPsec/L2TP
iptables -I FORWARD 2 -i ppp+ -d 192.168.0.0/24 -j ACCEPT
iptables -I FORWARD 2 -s 192.168.0.0/24 -o ppp+ -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# For IPsec/XAuth ("Cisco IPsec")
iptables -I FORWARD 2 -s 192.168.43.0/24 -d 192.168.0.0/24 -j ACCEPT
iptables -I FORWARD 2 -s 192.168.0.0/24 -d 192.168.43.0/24 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

为了让这些 IPTables 规则在重启后继续有效，你可以将它们添加到文件 /etc/iptables.rules 和/或 /etc/iptables/rules.v4 (Ubuntu/Debian)，或者 /etc/sysconfig/iptables (CentOS/RHEL)。

其它错误

如果你遇到其它错误，请参见以下链接：

额外的步骤

请尝试下面这些额外的故障排除步骤：

首先，重启 VPN 服务器上的相关服务：

service ipsec restart
service xl2tpd restart

如果你使用 Docker，请运行 docker restart ipsec-vpn-server。

然后重启你的 VPN 客户端设备，并重试连接。如果仍然无法连接，可以尝试删除并重新创建 VPN 连接，按照本文档中的步骤操作。请确保输入了正确的 VPN 登录凭证。

检查 Libreswan (IPsec) 和 xl2tpd 日志是否有错误：

# Ubuntu & Debian
grep pluto /var/log/auth.log
grep xl2tpd /var/log/syslog

# CentOS & RHEL
grep pluto /var/log/secure
grep xl2tpd /var/log/messages

查看 IPsec VPN 服务器状态：

ipsec status
ipsec verify

显示当前已建立的 VPN 连接：

ipsec whack --trafficstatus

使用命令行配置 Linux VPN 客户端

以下步骤是基于 Peter Sanford 的工作。这些命令必须在你的 VPN 客户端上使用 root 账户运行。

要配置 VPN 客户端，首先安装以下软件包：

# Ubuntu & Debian
apt-get update
apt-get -y install strongswan xl2tpd

# CentOS & RHEL
yum -y install epel-release
yum --enablerepo=epel -y install strongswan xl2tpd

# Fedora
yum -y install strongswan xl2tpd

创建 VPN 变量（替换为你自己的值）：

VPN_SERVER_IP='你的VPN服务器IP'
VPN_IPSEC_PSK='你的IPsec预共享密钥'
VPN_USER='你的VPN用户名'
VPN_PASSWORD='你的VPN密码'

配置 strongSwan：

cat > /etc/ipsec.conf <<EOF
# ipsec.conf - strongSwan IPsec configuration file

# basic configuration

config setup
  # strictcrlpolicy=yes
  # uniqueids = no

# Add connections here.

# Sample VPN connections

conn %default
  ikelifetime=60m
  keylife=20m
  rekeymargin=3m
  keyingtries=1
  keyexchange=ikev1
  authby=secret
  ike=aes128-sha1-modp2048!
  esp=aes128-sha1-modp2048!

conn myvpn
  keyexchange=ikev1
  left=%defaultroute
  auto=add
  authby=secret
  type=transport
  leftprotoport=17/1701
  rightprotoport=17/1701
  right=$VPN_SERVER_IP
EOF

cat > /etc/ipsec.secrets <<EOF
: PSK "$VPN_IPSEC_PSK"
EOF

chmod 600 /etc/ipsec.secrets

# For CentOS/RHEL & Fedora ONLY
mv /etc/strongswan/ipsec.conf /etc/strongswan/ipsec.conf.old 2>/dev/null
mv /etc/strongswan/ipsec.secrets /etc/strongswan/ipsec.secrets.old 2>/dev/null
ln -s /etc/ipsec.conf /etc/strongswan/ipsec.conf
ln -s /etc/ipsec.secrets /etc/strongswan/ipsec.secrets

配置 xl2tpd：

cat > /etc/xl2tpd/xl2tpd.conf <<EOF
[lac myvpn]
lns = $VPN_SERVER_IP
ppp debug = yes
pppoptfile = /etc/ppp/options.l2tpd.client
length bit = yes
EOF

cat > /etc/ppp/options.l2tpd.client <<EOF
ipcp-accept-local
ipcp-accept-remote
refuse-eap
require-chap
noccp
noauth
mtu 1280
mru 1280
noipdefault
defaultroute
usepeerdns
connect-delay 5000
name $VPN_USER
password $VPN_PASSWORD
EOF

chmod 600 /etc/ppp/options.l2tpd.client

至此 VPN 客户端配置已完成。按照下面的步骤进行连接。

注：当你每次尝试连接到 VPN 时，必须重复下面的所有步骤。

创建 xl2tpd 控制文件：

mkdir -p /var/run/xl2tpd
touch /var/run/xl2tpd/l2tp-control

重启服务：

service strongswan restart
service xl2tpd restart

开始 IPsec 连接：

# Ubuntu & Debian
ipsec up myvpn

# CentOS/RHEL & Fedora
strongswan up myvpn

开始 L2TP 连接：

echo "c myvpn" > /var/run/xl2tpd/l2tp-control

运行 ifconfig 并且检查输出。现在你应该看到一个新的网络接口 ppp0。

检查你现有的默认路由：

ip route

在输出中查找以下行： default via X.X.X.X ...。记下这个网关 IP，并且在下面的两个命令中使用。

从新的默认路由中排除你的 VPN 服务器 IP （替换为你自己的值）：

route add 你的VPN服务器IP gw X.X.X.X

如果你的 VPN 客户端是一个远程服务器，则必须从新的默认路由中排除你的本地电脑的公有 IP，以避免 SSH 会话被断开（替换为实际值）：

route add 你的本地电脑的公有IP gw X.X.X.X

添加一个新的默认路由，并且开始通过 VPN 服务器发送数据：

route add default dev ppp0

至此 VPN 连接已成功完成。检查 VPN 是否正常工作：

wget -qO- http://ipv4.icanhazip.com; echo

以上命令应该返回 你的 VPN 服务器 IP。

要停止通过 VPN 服务器发送数据：

route del default dev ppp0

要断开连接：

# Ubuntu & Debian
echo "d myvpn" > /var/run/xl2tpd/l2tp-control
ipsec down myvpn

# CentOS/RHEL & Fedora
echo "d myvpn" > /var/run/xl2tpd/l2tp-control
strongswan down myvpn

致谢

本文档是在 Streisand 项目文档基础上翻译和修改。该项目由 Joshua Lund 和其他开发者维护。

授权协议

注：这个协议仅适用于本文档。

本程序为自由软件，在自由软件联盟发布的 GNU 通用公共许可协议的约束下，你可以对其进行再发布及修改。协议版本为第三版或（随你）更新的版本。

我们希望发布的这款程序有用，但不保证，甚至不保证它有经济价值和适合特定用途。详情参见GNU通用公共许可协议。

26 KiB Raw Blame History Unescape Escape

配置 IPsec/L2TP VPN 客户端

Windows

Windows 10 and 8.x

Windows 7, Vista and XP

OS X

Android

iOS

Chromebook

Linux

Ubuntu Linux

Fedora 和 CentOS

其它 Linux

故障排除

Windows 错误 809

Windows 错误 628

Windows 10 升级

Windows 8/10 DNS 泄漏

macOS VPN 流量

iOS/Android 睡眠模式

iOS 13 连接问题

Android 6 及以上版本

Debian 10 内核

Chromebook 连接问题

访问 VPN 服务器的网段

其它错误

额外的步骤

使用命令行配置 Linux VPN 客户端

致谢

授权协议

26 KiB

Raw Blame History