setup-ipsec-vpn/docs/advanced-usage-zh.md

English | 中文

高级用法

• 使用其他的 DNS 服务器
• 域名和更改服务器 IP
• 仅限 IKEv2 的 VPN
• VPN 内网 IP 和流量
• 指定 VPN 服务器的公有 IP
• 自定义 VPN 子网
• 转发端口到 VPN 客户端
• VPN 分流
• 访问 VPN 服务器的网段
• VPN 服务器网段访问 VPN 客户端
• 更改 IPTables 规则
• 部署 Google BBR 拥塞控制

使用其他的 DNS 服务器

在 VPN 已连接时，客户端默认配置为使用 Google Public DNS。如果偏好其它的域名解析服务，你可以编辑以下文件：/etc/ppp/options.xl2tpd, /etc/ipsec.conf 和 /etc/ipsec.d/ikev2.conf（如果存在），并替换 8.8.8.8 和 8.8.4.4。然后运行 service ipsec restart 和 service xl2tpd restart。

以下是一些流行的公共 DNS 提供商的列表，供你参考。

提供商	主 DNS	辅助 DNS	注释
Google Public DNS	8.8.8.8	8.8.4.4	本项目默认
Cloudflare	1.1.1.1	1.0.0.1	另见：Cloudflare for families
Quad9	9.9.9.9	149.112.112.112	阻止恶意域
OpenDNS	208.67.222.222	208.67.220.220	阻止网络钓鱼域，可配置。
CleanBrowsing	185.228.168.9	185.228.169.9	域过滤器可用
NextDNS	按需选择	按需选择	广告拦截，免费套餐可用。了解更多。
Control D	按需选择	按需选择	广告拦截，可配置。了解更多。

高级用户可以在运行 VPN 安装脚本时定义 VPN_DNS_SRV1 和 VPN_DNS_SRV2（可选）。有关更多详细信息，请参见自定义 VPN 选项。

在某些情况下，你可能希望 VPN 客户端仅使用指定的 DNS 服务器来解析内部域名，并使用其本地配置的 DNS 服务器来解析所有其他域名。这可以使用 modecfgdomains 选项进行配置，例如 modecfgdomains="internal.example.com, home"。对于 IKEv2，将此选项添加到 /etc/ipsec.d/ikev2.conf 中的 conn ikev2-cp 小节。对于 IPsec/XAuth ("Cisco IPsec")，将此选项添加到 /etc/ipsec.conf 中的 conn xauth-psk 小节。然后运行 service ipsec restart。IPsec/L2TP 模式不支持此选项。

域名和更改服务器 IP

对于 IPsec/L2TP 和 IPsec/XAuth ("Cisco IPsec") 模式，你可以在不需要额外配置的情况下使用一个域名（比如 vpn.example.com）而不是 IP 地址连接到 VPN 服务器。另外，一般来说，在服务器的 IP 更改后，比如在恢复一个映像到具有不同 IP 的新服务器后，VPN 会继续正常工作，虽然可能需要重启服务器。

对于 IKEv2 模式，如果你想要 VPN 在服务器的 IP 更改后继续正常工作，参见 这一小节。或者，你也可以在 配置 IKEv2 时指定一个域名作为 IKEv2 服务器地址。该域名必须是一个全称域名(FQDN)。示例如下：

sudo VPN_DNS_NAME='vpn.example.com' ikev2.sh --auto

另外，你也可以自定义 IKEv2 选项，通过在运行 辅助脚本 时去掉 --auto 参数来实现。

仅限 IKEv2 的 VPN

使用 Libreswan 4.2 或更新版本，高级用户可以为 VPN 服务器启用仅限 IKEv2 模式。当启用该模式时，VPN 客户端仅能使用 IKEv2 连接到 VPN 服务器。所有的 IKEv1 连接（包括 IPsec/L2TP 和 IPsec/XAuth ("Cisco IPsec") 模式）将被丢弃。

要启用仅限 IKEv2 模式，首先按照 自述文件 中的说明安装 VPN 服务器并且配置 IKEv2。然后运行 辅助脚本 并按提示操作。

wget https://get.vpnsetup.net/ikev2only -O ikev2only.sh
sudo bash ikev2only.sh

要禁用仅限 IKEv2 模式，再次运行辅助脚本并选择适当的选项。

另外，你也可以手动启用仅限 IKEv2 模式。

另外，你也可以手动启用仅限 IKEv2 模式。首先使用 ipsec --version 命令检查 Libreswan 版本，并 更新 Libreswan（如果需要）。然后编辑 VPN 服务器上的 /etc/ipsec.conf。在 config setup 小节的末尾添加 ikev1-policy=drop，开头必须空两格。保存文件并运行 service ipsec restart。在完成后，你可以使用 ipsec status 命令来验证仅启用了 ikev2-cp 连接。

VPN 内网 IP 和流量

在使用 IPsec/L2TP 模式连接时，VPN 服务器在虚拟网络 192.168.42.0/24 内具有内网 IP 192.168.42.1。为客户端分配的内网 IP 在这个范围内：192.168.42.10 到 192.168.42.250。要找到为特定的客户端分配的 IP，可以查看该 VPN 客户端上的连接状态。

在使用 IPsec/XAuth ("Cisco IPsec") 或 IKEv2 模式连接时，VPN 服务器在虚拟网络 192.168.43.0/24 内 没有 内网 IP。为客户端分配的内网 IP 在这个范围内：192.168.43.10 到 192.168.43.250。

你可以使用这些 VPN 内网 IP 进行通信。但是请注意，为 VPN 客户端分配的 IP 是动态的，而且客户端设备上的防火墙可能会阻止这些流量。

高级用户可以将静态 IP 分配给 VPN 客户端。这是可选的。展开以查看详细信息。

IPsec/L2TP 模式：为 VPN 客户端分配静态 IP

下面的示例 仅适用于 IPsec/L2TP 模式。这些命令必须用 root 账户运行。

1. 首先为要分配静态 IP 的每个 VPN 客户端创建一个新的 VPN 用户。参见 管理 VPN 用户。该文档包含辅助脚本，以方便管理 VPN 用户。

2. 编辑 VPN 服务器上的 /etc/xl2tpd/xl2tpd.conf。将 ip range = 192.168.42.10-192.168.42.250 替换为比如 ip range = 192.168.42.100-192.168.42.250。这样可以缩小自动分配的 IP 地址池，从而使更多的 IP 可以作为静态 IP 分配给客户端。

3. 编辑 VPN 服务器上的 /etc/ppp/chap-secrets。例如，如果文件内容是：

   "username1"  l2tpd  "password1"  *
   "username2"  l2tpd  "password2"  *
   "username3"  l2tpd  "password3"  *
   

   假设你要为 VPN 用户 username2 分配静态 IP 192.168.42.2，为 VPN 用户 username3 分配静态 IP 192.168.42.3，同时保持 username1 不变（从池中自动分配）。在编辑完成后，文件内容应该如下所示：

   "username1"  l2tpd  "password1"  *
   "username2"  l2tpd  "password2"  192.168.42.2
   "username3"  l2tpd  "password3"  192.168.42.3
   

   注： 分配的静态 IP 必须来自子网 192.168.42.0/24，并且必须 不是 来自自动分配的 IP 地址池（参见上面的 ip range）。另外，192.168.42.1 保留给 VPN 服务器本身使用。在上面的示例中，你只能分配 192.168.42.2-192.168.42.99 范围内的静态 IP。

4. （重要） 重启 xl2tpd 服务：

   service xl2tpd restart
   

IPsec/XAuth ("Cisco IPsec") 模式：为 VPN 客户端分配静态 IP

下面的示例 仅适用于 IPsec/XAuth ("Cisco IPsec") 模式。这些命令必须用 root 账户运行。

1. 首先为要分配静态 IP 的每个 VPN 客户端创建一个新的 VPN 用户。参见 管理 VPN 用户。该文档包含辅助脚本，以方便管理 VPN 用户。

2. 编辑 VPN 服务器上的 /etc/ipsec.conf。将 rightaddresspool=192.168.43.10-192.168.43.250 替换为比如 rightaddresspool=192.168.43.100-192.168.43.250。这样可以缩小自动分配的 IP 地址池，从而使更多的 IP 可以作为静态 IP 分配给客户端。

3. 编辑 VPN 服务器上的 /etc/ipsec.d/ikev2.conf（如果存在）。将 rightaddresspool=192.168.43.10-192.168.43.250 替换为与上一步 相同的值。

4. 编辑 VPN 服务器上的 /etc/ipsec.d/passwd。例如，如果文件内容是：

   username1:password1hashed:xauth-psk
   username2:password2hashed:xauth-psk
   username3:password3hashed:xauth-psk
   

   假设你要为 VPN 用户 username2 分配静态 IP 192.168.43.2，为 VPN 用户 username3 分配静态 IP 192.168.43.3，同时保持 username1 不变（从池中自动分配）。在编辑完成后，文件内容应该如下所示：

   username1:password1hashed:xauth-psk
   username2:password2hashed:xauth-psk:192.168.42.2
   username3:password3hashed:xauth-psk:192.168.42.3
   

   注： 分配的静态 IP 必须来自子网 192.168.43.0/24，并且必须 不是 来自自动分配的 IP 地址池（参见上面的 rightaddresspool）。在上面的示例中，你只能分配 192.168.43.1-192.168.43.99 范围内的静态 IP。

5. （重要） 重启 IPsec 服务：

   service ipsec restart
   

IKEv2 模式：为 VPN 客户端分配静态 IP

下面的示例 仅适用于 IKEv2 模式。这些命令必须用 root 账户运行。

1. 首先为要分配静态 IP 的每个客户端创建一个新的 IKEv2 客户端证书，并且在纸上记下每个客户端的名称。参见 添加客户端证书。

2. 编辑 VPN 服务器上的 /etc/ipsec.d/ikev2.conf。将 rightaddresspool=192.168.43.10-192.168.43.250 替换为比如 rightaddresspool=192.168.43.100-192.168.43.250。这样可以缩小自动分配的 IP 地址池，从而使更多的 IP 可以作为静态 IP 分配给客户端。

3. 编辑 VPN 服务器上的 /etc/ipsec.conf。将 rightaddresspool=192.168.43.10-192.168.43.250 替换为与上一步 相同的值。

4. 再次编辑 VPN 服务器上的 /etc/ipsec.d/ikev2.conf。例如，如果文件内容是：

   conn ikev2-cp
     left=%defaultroute
     ... ...
   

   假设你要为 IKEv2 客户端 client1 分配静态 IP 192.168.43.4，为客户端 client2 分配静态 IP 192.168.43.5，同时保持其它客户端不变（从池中自动分配）。在编辑完成后，文件内容应该如下所示：

   conn ikev2-cp
     left=%defaultroute
     ... ...
   
   conn client1
     rightid=@client1
     rightaddresspool=192.168.43.4-192.168.43.4
     also=ikev2-cp
   
   conn client2
     rightid=@client2
     rightaddresspool=192.168.43.5-192.168.43.5
     also=ikev2-cp
   

   注： 为要分配静态 IP 的每个客户端添加一个新的 conn 小节。rightid= 右边的客户端名称必须添加 @ 前缀。该客户端名称必须与你在添加客户端证书时指定的名称完全一致。分配的静态 IP 必须来自子网 192.168.43.0/24，并且必须 不是 来自自动分配的 IP 地址池（参见上面的 rightaddresspool）。在上面的示例中，你只能分配 192.168.43.1-192.168.43.99 范围内的静态 IP。

   注： 对于 Windows 7/8/10/11 客户端，你必须对 rightid= 使用不同的语法。例如，如果客户端名称为 client1，则在上面的示例中设置 rightid="CN=client1, O=IKEv2 VPN"。

5. （重要） 重启 IPsec 服务：

   service ipsec restart
   

在默认配置下，允许客户端之间的流量。如果你想要 不允许 客户端之间的流量，可以在 VPN 服务器上运行以下命令。将它们添加到 /etc/rc.local 以便在重启后继续有效。

iptables -I FORWARD 2 -i ppp+ -o ppp+ -s 192.168.42.0/24 -d 192.168.42.0/24 -j DROP
iptables -I FORWARD 3 -s 192.168.43.0/24 -d 192.168.43.0/24 -j DROP
iptables -I FORWARD 4 -i ppp+ -d 192.168.43.0/24 -j DROP
iptables -I FORWARD 5 -s 192.168.43.0/24 -o ppp+ -j DROP

指定 VPN 服务器的公有 IP

在具有多个公有 IP 地址的服务器上，高级用户可以使用变量 VPN_PUBLIC_IP 为 VPN 服务器指定一个公有 IP。例如，如果服务器的 IP 为 192.0.2.1 和 192.0.2.2，并且你想要 VPN 服务器使用 192.0.2.2：

sudo VPN_PUBLIC_IP=192.0.2.2 sh vpn.sh

请注意，如果在服务器上已经配置了 IKEv2，则此变量对 IKEv2 模式无效。在这种情况下，你可以移除 IKEv2 并使用自定义选项重新配置它。参见 使用辅助脚本配置 IKEv2。

如果你想要 VPN 客户端在 VPN 连接处于活动状态时使用指定的公有 IP 作为其 "出站 IP"，并且指定的 IP 不是 服务器上的主 IP（或默认路由），则可能需要额外的配置。在这种情况下，你可能需要更改服务器上的 IPTables 规则。如果要在重启后继续有效，你可以将这些命令添加到 /etc/rc.local。

继续上面的例子，如果你希望 "出站 IP" 为 192.0.2.2：

# 获取默认网络接口名称
netif=$(ip -4 route list 0/0 | grep -m 1 -Po '(?<=dev )(\S+)')
# 移除 MASQUERADE 规则
iptables -t nat -D POSTROUTING -s 192.168.43.0/24 -o "$netif" -m policy --dir out --pol none -j MASQUERADE
iptables -t nat -D POSTROUTING -s 192.168.42.0/24 -o "$netif" -j MASQUERADE
# 添加 SNAT 规则
iptables -t nat -I POSTROUTING -s 192.168.43.0/24 -o "$netif" -m policy --dir out --pol none -j SNAT --to 192.0.2.2
iptables -t nat -I POSTROUTING -s 192.168.42.0/24 -o "$netif" -j SNAT --to 192.0.2.2

注： 以上方法仅适用于服务器的默认网络接口对应多个公有 IP 的情况。如果服务器有多个网络接口，对应不同的公有 IP，则此方法无效。

要检查一个已连接的 VPN 客户端的 "出站 IP"，你可以在该客户端上打开浏览器并到 这里 检测 IP 地址。

自定义 VPN 子网

默认情况下，IPsec/L2TP VPN 客户端将使用内部 VPN 子网 192.168.42.0/24，而 IPsec/XAuth ("Cisco IPsec") 和 IKEv2 VPN 客户端将使用内部 VPN 子网 192.168.43.0/24。有关更多详细信息，请参见 VPN 内网 IP 和流量。

对于大多数用例，没有必要也 不建议 自定义这些子网。但是，如果你的用例需要它，你可以在安装 VPN 时指定自定义子网。

重要： 你只能在 初始 VPN 安装时 指定自定义子网。如果 IPsec VPN 已安装，你 必须 首先 卸载 VPN，然后指定自定义子网并重新安装。否则，VPN 可能会停止工作。

首先，请阅读上面的重要说明。然后点这里查看示例。

# 示例：为 IPsec/L2TP 模式指定自定义 VPN 子网
# 注：必须指定所有三个变量。
sudo VPN_L2TP_NET=10.1.0.0/16 \
VPN_L2TP_LOCAL=10.1.0.1 \
VPN_L2TP_POOL=10.1.0.10-10.1.254.254 \
sh vpn.sh

# 示例：为 IPsec/XAuth 和 IKEv2 模式指定自定义 VPN 子网
# 注：必须指定以下两个变量。
sudo VPN_XAUTH_NET=10.2.0.0/16 \
VPN_XAUTH_POOL=10.2.0.10-10.2.254.254 \
sh vpn.sh

在上面的例子中，VPN_L2TP_LOCAL 是在 IPsec/L2TP 模式下的 VPN 服务器的内网 IP。VPN_L2TP_POOL 和 VPN_XAUTH_POOL 是为 VPN 客户端自动分配的 IP 地址池。

转发端口到 VPN 客户端

在某些情况下，你可能想要将 VPN 服务器上的端口转发到一个已连接的 VPN 客户端。这可以通过在 VPN 服务器上添加 IPTables 规则来实现。

警告： 端口转发会将 VPN 客户端上的端口暴露给整个因特网，这可能会带来安全风险！不建议这样做，除非你的用例需要它。

注： 为 VPN 客户端分配的内网 IP 是动态的，而且客户端设备上的防火墙可能会阻止转发的流量。如果要将静态 IP 分配给 VPN 客户端，请参见 VPN 内网 IP 和流量。要找到为特定的客户端分配的 IP，可以查看该 VPN 客户端上的连接状态。

示例 1：将 VPN 服务器上的 TCP 端口 443 转发到位于 192.168.42.10 的 IPsec/L2TP 客户端。

# 获取默认网络接口名称
netif=$(ip -4 route list 0/0 | grep -m 1 -Po '(?<=dev )(\S+)')
iptables -I FORWARD 2 -i "$netif" -o ppp+ -p tcp --dport 443 -j ACCEPT
iptables -t nat -A PREROUTING -i "$netif" -p tcp --dport 443 -j DNAT --to 192.168.42.10

示例 2：将 VPN 服务器上的 UDP 端口 123 转发到位于 192.168.43.10 的 IKEv2（或 IPsec/XAuth）客户端。

# 获取默认网络接口名称
netif=$(ip -4 route list 0/0 | grep -m 1 -Po '(?<=dev )(\S+)')
iptables -I FORWARD 2 -i "$netif" -d 192.168.43.0/24 -p udp --dport 123 -j ACCEPT
iptables -t nat -A PREROUTING -i "$netif" ! -s 192.168.43.0/24 -p udp --dport 123 -j DNAT --to 192.168.43.10

如果你想要这些规则在重启后仍然有效，可以将这些命令添加到 /etc/rc.local。要删除添加的 IPTables 规则，请再次运行这些命令，但是将 -I FORWARD 2 替换为 -D FORWARD，并且将 -A PREROUTING 替换为 -D PREROUTING。

VPN 分流

在启用 VPN 分流 (split tunneling) 时，VPN 客户端将仅通过 VPN 隧道发送特定目标子网的流量。其他流量 不会 通过 VPN 隧道。VPN 分流有一些局限性，而且并非所有的 VPN 客户端都支持。

高级用户可以为 IPsec/XAuth ("Cisco IPsec") 和/或 IKEv2 模式启用 VPN 分流。这是可选的。IPsec/L2TP 模式 不支持 此功能。

IPsec/XAuth ("Cisco IPsec") 模式：启用 VPN 分流 (split tunneling)

下面的示例 仅适用于 IPsec/XAuth ("Cisco IPsec") 模式。这些命令必须用 root 账户运行。

1. 编辑 VPN 服务器上的 /etc/ipsec.conf。在 conn xauth-psk 小节中，将 leftsubnet=0.0.0.0/0 替换为你想要 VPN 客户端通过 VPN 隧道发送流量的子网。例如：

   leftsubnet=10.123.123.0/24
   

2. （重要） 重启 IPsec 服务：

   service ipsec restart
   

IKEv2 模式：启用 VPN 分流 (split tunneling)

下面的示例 仅适用于 IKEv2 模式。这些命令必须用 root 账户运行。

1. 编辑 VPN 服务器上的 /etc/ipsec.d/ikev2.conf。在 conn ikev2-cp 小节中，将 leftsubnet=0.0.0.0/0 替换为你想要 VPN 客户端通过 VPN 隧道发送流量的子网。例如：

   leftsubnet=10.123.123.0/24
   

2. （重要） 重启 IPsec 服务：

   service ipsec restart
   

注： 高级用户可以为特定的 IKEv2 客户端设置不同的 VPN 分流配置。请参见 VPN 内网 IP 和流量 部分并展开 "IKEv2 模式：为 VPN 客户端分配静态 IP"。在该部分中的示例的基础上，你可以将 leftsubnet=... 选项添加到特定 IKEv2 客户端的 conn 小节，然后重启 IPsec 服务。

访问 VPN 服务器的网段

连接到 VPN 后，VPN 客户端通常可以访问与 VPN 服务器位于同一本地子网内的其他设备上运行的服务，而无需进行其他配置。例如，如果 VPN 服务器的本地子网为 192.168.0.0/24，并且一个 Nginx 服务器在 IP 192.168.0.2 上运行，则 VPN 客户端可以使用 IP 192.168.0.2来访问 Nginx 服务器。

请注意，如果 VPN 服务器具有多个网络接口（例如 eth0 和 eth1），并且你想要 VPN 客户端访问服务器上 不用于 Internet 访问的网络接口后面的本地子网，则需要进行额外的配置。在此情形下，你必须运行以下命令来添加 IPTables 规则。为了在重启后仍然有效，你可以将这些命令添加到 /etc/rc.local。

# 将 eth1 替换为 VPN 服务器上你想要客户端访问的网络接口名称
netif=eth1
iptables -I FORWARD 2 -i "$netif" -o ppp+ -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD 2 -i ppp+ -o "$netif" -j ACCEPT
iptables -I FORWARD 2 -i "$netif" -d 192.168.43.0/24 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD 2 -s 192.168.43.0/24 -o "$netif" -j ACCEPT
iptables -t nat -I POSTROUTING -s 192.168.43.0/24 -o "$netif" -m policy --dir out --pol none -j MASQUERADE
iptables -t nat -I POSTROUTING -s 192.168.42.0/24 -o "$netif" -j MASQUERADE

VPN 服务器网段访问 VPN 客户端

在某些情况下，你可能需要从 VPN 服务器位于同一本地子网内的其他设备访问 VPN 客户端上的服务。这可以通过以下几个步骤实现。

假设 VPN 服务器 IP 是 10.1.0.2，你想要访问 VPN 客户端的设备的 IP 是 10.1.0.3。

1. 在 VPN 服务器上添加 IPTables 规则以允许该流量。例如：

   # 获取默认网络接口名称
   netif=$(ip -4 route list 0/0 | grep -m 1 -Po '(?<=dev )(\S+)')
   iptables -I FORWARD 2 -i "$netif" -o ppp+ -s 10.1.0.3 -j ACCEPT
   iptables -I FORWARD 2 -i "$netif" -d 192.168.43.0/24 -s 10.1.0.3 -j ACCEPT
   

2. 在你想要访问 VPN 客户端的设备上添加路由规则。例如：

   # 将 eth0 替换为设备的本地子网的网络接口名称
   route add -net 192.168.42.0 netmask 255.255.255.0 gw 10.1.0.2 dev eth0
   route add -net 192.168.43.0 netmask 255.255.255.0 gw 10.1.0.2 dev eth0
   

在 VPN 内网 IP 和流量 小节了解 VPN 内网 IP 的更多信息。

更改 IPTables 规则

如果你想要在安装后更改 IPTables 规则，请编辑 /etc/iptables.rules 和/或 /etc/iptables/rules.v4 (Ubuntu/Debian)，或者 /etc/sysconfig/iptables (CentOS/RHEL)。然后重启服务器。

注： 如果使用 Rocky Linux, AlmaLinux, Oracle Linux 8 或者 CentOS/RHEL 8 并且在安装 VPN 时 firewalld 正在运行，则可能已配置 nftables。在这种情况下，编辑 /etc/sysconfig/nftables.conf 而不是 /etc/sysconfig/iptables。

部署 Google BBR 拥塞控制

VPN 服务器搭建完成后，可以通过部署 Google BBR 拥塞控制算法提升性能。

这通常只需要在配置文件 /etc/sysctl.conf 中插入设定即可完成。但是部分 Linux 发行版可能需要额外更新 Linux 内核。

详细的部署方法，可以参考这篇文档。

授权协议

版权所有 (C) 2021-2024 Lin Song

这个项目是以 知识共享署名-相同方式共享3.0 许可协议授权。
必须署名： 请包括我的名字在任何衍生产品，并且让我知道你是如何改善它的！