L2TP Over IPSec On Ubuntu(Debian,CentOS) With OpenSwan « Debian/ubuntu « Linux Manger

Ubuntu 10.04 LTS（Lucid）自带的OpenSwan有NAT的BUG。10.10 openswan无此问题（但是10.10的xl2tpd有问题,不分配IP,需要手动指定,解决方案见下文,本文都是指使用Ubuntu 10.04 LTS）可以从OpenSWAN下载最新版本（2.6.24+）才可以。也可以使用非官方PPA源

sudo apt-get install python-software-properties
sudo add-apt-repository ppa:openswan/ppa
sudo apt-get update

sudo apt-get install python-software-properties

sudo add-apt-repository ppa:openswan/ppa

sudo apt-get update

查查看是否是已经跟更新到最新

apt-cache policy openswan
openswan:
  已安装：(无)
  候选软件包：1:2.6.31-1xelerance1
  版本列表：
     1:2.6.31-1xelerance1 0
        500 http://ppa.launchpad.net/openswan/ppa/ubuntu/ lucid/main Packages
     1:2.6.23+dfsg-1ubuntu1 0
        500 http://cn.archive.ubuntu.com/ubuntu/ lucid/universe Packages
        100 /var/lib/dpkg/status

apt-cache policy openswan

openswan:

已安装：(无)

候选软件包：1:2.6.31-1xelerance1

版本列表：

1:2.6.31-1xelerance1 0

500 http://ppa.launchpad.net/openswan/ppa/ubuntu/ lucid/main Packages

1:2.6.23+dfsg-1ubuntu1 0

500 http://cn.archive.ubuntu.com/ubuntu/ lucid/universe Packages

100 /var/lib/dpkg/status

可见源里面已经获得2.6.31+的版本
apt-get install openswan就可以可以开始配置了
安装的时候一律回车即可

配置系统sysctl和iptables参数

for devs in /proc/sys/net/ipv4/conf/*
do
    echo 0 > $devs/accept_redirects
    echo 0 > $devs/send_redirects
done

for devs in /proc/sys/net/ipv4/conf/*

echo 0 > $devs/accept_redirects

echo 0 > $devs/send_redirects

done

可以把这个加入rc.local
我测试下来好像写道sysctrl没用。因为/proc/sys/net/ipv4/conf/有好多接口。sysctrl只能写all，其他写不了
iptables开NAT和ipV4转发不说了

配置IPSec参数
vim打开/etc/ipsec.conf，dG删除所有内容,然后insert模式写入如下配置

version 2.0
config setup
    nat_traversal=yes
    virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12
    oe=off
    protostack=netkey

conn L2TP-PSK-NAT
    rightsubnet=vhost:%no,%priv
    also=L2TP-PSK-noNAT

conn L2TP-PSK-noNAT
    authby=secret
    pfs=no
    auto=add
    keyingtries=3
    rekey=no
    ikelifetime=8h
    keylife=1h
    type=transport
    left=服务器IP
    leftprotoport=17/1701
    right=%any
    rightprotoport=17/%any

version 2.0

config setup

nat_traversal=yes

virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12

oe=off

protostack=netkey

conn L2TP-PSK-NAT

rightsubnet=vhost:%no,%priv

also=L2TP-PSK-noNAT

conn L2TP-PSK-noNAT

authby=secret

pfs=no

auto=add

keyingtries=3

rekey=no

ikelifetime=8h

keylife=1h

type=transport

left=服务器IP

leftprotoport=17/1701

right=%any

rightprotoport=17/%any

编制预共享密钥

nano  /etc/ipsec.secrets

1	nano /etc/ipsec.secrets

#
服务器IP %any: PSK "test"

这里的test就是预共享密钥
%any可以换成其他指定的IP地址达到限制拨入或者不同IP使用不同密钥的目的
目标IP地址为0.0.0.0时也表示接受任何IP地址
比如

#
服务器IP %any: PSK "test"
服务器IP 123.111.111.111: PSK "anotherKEY"

ipsec verify
service ipsec restart

1 2	ipsec verify service ipsec restart

可以使用预共享密钥进行一次尝试连接。

cat /var/log/auth.log |grep 'IPsec SA established transport mode'

1	cat /var/log/auth.log \|grep 'IPsec SA established transport mode'

就表示IPSec部分OK了

配置L2TP 部分

apt-get install xl2tpd ppp
vim /etc/xl2tpd/xl2tpd.conf
#dG删除所有内容，粘贴如下配置
[global]
ipsec saref = yes

[lns default]
ip range = 10.1.2.2-10.1.2.255
local ip = 10.1.2.1
;require chap = yes
refuse chap = yes
refuse pap = yes
require authentication = yes
ppp debug = yes
pppoptfile = /etc/ppp/options.xl2tpd
length bit = yes

apt-get install xl2tpd ppp

vim /etc/xl2tpd/xl2tpd.conf

#dG删除所有内容，粘贴如下配置

[global]

ipsec saref = yes

[lns default]

ip range = 10.1.2.2-10.1.2.255

local ip = 10.1.2.1

;require chap = yes

refuse chap = yes

refuse pap = yes

require authentication = yes

ppp debug = yes

pppoptfile = /etc/ppp/options.xl2tpd

length bit = yes

vim /etc/ppp/options.xl2tpd（不存在则创建） dG删除所有内容

require-mschap-v2
ms-dns 8.8.8.8
asyncmap 0
auth
crtscts
lock
hide-password
modem
debug
name l2tpd
proxyarp
lcp-echo-interval 30
lcp-echo-failure 4

require-mschap-v2

ms-dns 8.8.8.8

asyncmap 0

auth

crtscts

lock

hide-password

modem

debug

name l2tpd

proxyarp

lcp-echo-interval 30

lcp-echo-failure 4

然后

sudo /etc/init.d/xl2tpd restart

1	sudo /etc/init.d/xl2tpd restart

编辑/etc/ppp/chap-secrets进行帐户创建
例如

test l2tpd tesd *

格式和pptp一样，参见http://ihipop.info/2010/06/1265.html#chap-secrets

使用预共享密钥进行连接测试试试

参考：http://riobard.com/blog/2010-04-30-l2tp-over-ipsec-ubuntu/

补遗:

1.Maverick中xl2tpd的问题

如果你使用最新的发行版本 Ubuntu 10.10 Maverick Meerkat，openswan的BUG被修复了，但是使用xl2tpd又会有问题了
一开始我用我的Android拨号。没有详细的错误代码，后来在XP上面测试下才发现问题原因，因为不分配IP.
我在ppp认证的/etc/ppp/chap-secrets里面指定一个IP就OK了。起初怀疑是ppp和openswan的问题折腾半天搞不好,后来看
看log是这样的提示:

tail -200 /var/log/daemon.log |grep l2tp

1	tail -200 /var/log/daemon.log \|grep l2tp

[text]Dec 7 21:05:33 ihipop-Lenovo xl2tpd[2577]: control_finish: Peer requested tunnel 50272 twice, ignoring second one.
Dec 7 21:05:34 ihipop-Lenovo xl2tpd[2577]: Connection established to 172.16.156.238, 51492. Local: 23884, Remote: 50272 (ref=0/0). LNS session is 'default'
Dec 7 21:05:34 ihipop-Lenovo xl2tpd[2577]: start_pppd: I'm running:
Dec 7 21:05:34 ihipop-Lenovo xl2tpd[2577]: "/usr/sbin/pppd"
Dec 7 21:05:34 ihipop-Lenovo xl2tpd[2577]: "passive"
Dec 7 21:05:34 ihipop-Lenovo xl2tpd[2577]: "nodetach"
Dec 7 21:05:34 ihipop-Lenovo xl2tpd[2577]: "10.1.2.1:0.0.0.0"
Dec 7 21:05:34 ihipop-Lenovo xl2tpd[2577]: "refuse-pap"
Dec 7 21:05:34 ihipop-Lenovo xl2tpd[2577]: "refuse-chap"
Dec 7 21:05:34 ihipop-Lenovo xl2tpd[2577]: "auth"
Dec 7 21:05:34 ihipop-Lenovo xl2tpd[2577]: "debug"
Dec 7 21:05:34 ihipop-Lenovo xl2tpd[2577]: "file"
Dec 7 21:05:34 ihipop-Lenovo xl2tpd[2577]: "/etc/ppp/options.xl2tpd"
Dec 7 21:05:34 ihipop-Lenovo xl2tpd[2577]: "/dev/pts/1"
Dec 7 21:05:34 ihipop-Lenovo xl2tpd[2577]: Call established with 172.16.156.238, Local: 16744, Remote: 38184, Serial: -2060201465
Dec 7 21:05:44 ihipop-Lenovo xl2tpd[2577]: result_code_avp: avp is incorrect size. 8 < 10
Dec 7 21:05:44 ihipop-Lenovo xl2tpd[2577]: handle_avps: Bad exit status handling attribute 1 (Result Code) on mandatory packet.
Dec 7 21:05:44 ihipop-Lenovo xl2tpd[2577]: Terminating pppd: sending TERM signal to pid 2629
Dec 7 21:05:44 ihipop-Lenovo xl2tpd[2577]: pppd 2629 successfully terminated
Dec 7 21:05:44 ihipop-Lenovo xl2tpd[2577]: Connection 50272 closed to 172.16.156.238, port 51492 (Result Code: expected at least 10, got
Dec 7 21:05:49 ihipop-Lenovo xl2tpd[2577]: Unable to deliver closing message for tunnel 23884. Destroying anyway.[/text]

看PPP的日志

tail -120 /var/log/messages |grep ppp

1	tail -120 /var/log/messages \|grep ppp

[text]Dec 7 21:06:35 ihipop-Lenovo pppd[2758]: pppd 2.4.5 started by root, uid 0
Dec 7 21:06:35 ihipop-Lenovo pppd[2758]: Using interface ppp0
Dec 7 21:06:35 ihipop-Lenovo pppd[2758]: Connect: ppp0 <--> /dev/pts/1
Dec 7 21:06:37 ihipop-Lenovo pppd[2758]: Deflate (15) compression enabled
Dec 7 21:06:42 ihipop-Lenovo pppd[2758]: Could not determine remote IP address: defaulting to 10.64.64.64
Dec 7 21:06:42 ihipop-Lenovo pppd[2758]: local IP address 10.1.2.1
Dec 7 21:06:42 ihipop-Lenovo pppd[2758]: remote IP address 10.64.64.64
Dec 7 21:06:43 ihipop-Lenovo pppd[2758]: IPCP terminated by peer (Could not determine local IP address)
Dec 7 21:06:43 ihipop-Lenovo pppd[2758]: Connect time 0.1 minutes.
Dec 7 21:06:43 ihipop-Lenovo pppd[2758]: Sent 0 bytes, received 40 bytes.
Dec 7 21:06:44 ihipop-Lenovo pppd[2758]: LCP terminated by peer (No network protocols running)
Dec 7 21:06:45 ihipop-Lenovo pppd[2758]: Terminating on signal 15
Dec 7 21:06:45 ihipop-Lenovo pppd[2758]: Modem hangup
Dec 7 21:06:45 ihipop-Lenovo pppd[2758]: Connection terminated.
Dec 7 21:06:45 ihipop-Lenovo pppd[2758]: Connect time 0.1 minutes.
Dec 7 21:06:45 ihipop-Lenovo pppd[2758]: Sent 4 bytes, received 40 bytes.
Dec 7 21:06:46 ihipop-Lenovo pppd[2758]: Exit.[/text]

看，是0.0.0.0，IP没了，而PPP日志里面是remote IP address 10.64.64.64。怀疑是xl2tp的问题。果断降级到10.04 lucid源里面的xl2tpd。问题立马解决。

这个教训告诉我们，软件不是越新越好。偶数版本不一定比奇数版本好。

当然也有可能是新版地址池配置语法变了。这个下次再研究。

2.完美安全传送（PFS：Perfect Forward Secrecy）

“完美安全传送”提供特佳的安全。当你启用了PFS，你的敌人（黑客、竞争者等）就不能破解通过IPsec连接传送的数据包，就是他们可以监听加密后的连接并且他们拥有你的密钥（通过黑客、法院指令、第三者等）也不可以。PFS的这个属性就是著名的“阻止第三者”（escrow- foilage）。

虽然Openswan默认是启用PFS的，但是我们在配置文件里面把它关闭了。因为配置文件里面有这样一行

pfs=no

因为苹果和微软的L2TP/IPsec客户没有启用PFS，需要编辑注册表。至于为什么没有启用。有人说是因为要为将来国家特工考虑。因为太安全了。国家害怕不受自己控制的东西(老美原话)。
幸运的是，如果客户端支持并且在连接时候启用了PFS,即使在openswan中禁用了PFS，连接的时候也会使用PFS连接。

3.关于L2TP认证和ACL

IPsec支持通过“预共享密钥”和证书方式进行认证。PPP也提供了认证，比如通过口令。生产出来的L2TP也支持认证。问题是，在 Windows/Mac的L2TP客户中，你不能在任何地方指定这些口令。可能没有哪个厂商认为L2TP认证是必要的。并且正因为如此，它看起不是那么有用。对于任何人来说，IPsec和PPP认证应该足够了。
在l2tpd.conf中，require authentication参数容易引起误会。这个参数在启用L2TP认证后没有任何作用。它实际上PPP认证（也就是PAP/CHAP）。Windows客户端会默认这样使用，因此你需要在l2tpd.conf配置文件中包含 require authentication来启用PPP认证。
在另一方面，指定参数auth file和challenge后，可以启用L2TP认证。但就像上边说的那样，一般情况不需要L2TP认证。

L2TP也可以根据IP地址进行访问控制
例如：
l2tpd访问限制为一个IP地址为1.1.1.1的客户连接，conf中设定

[global]
access control = yes
[lns default]
lac = 1.1.1.1

4.PPP认证、压缩和加密

PPP有几种认证方法。最常用的是PAP（不加密口令）和CHAP（基于认证的挑战/回应）。你可以自由地选择两者，最好是CHAP。如果你用PAP，Windows客户会提示口令没有加密。(可以在设置里面去掉要求数据加密的选项)

使用不同加密方式，口令文件相应指定为/etc/ppp/chap-secrets或者 /etc/ppp/pap-secrets（分别对应于PAP Or CHAP/MS-CHAP）

5.proxyarp参数

这个参数将在内网接口（示例中的eth1）为远程用户打开一个代理ARP入口。如果这个关键字没有指定，Windows客户端发出的数据包将到达内网服务器，但这些服务器不知道向哪儿发出回应，因为没有人回答它的ARP请求。用 proxyarp参数，内网机器被到远程Windows客户到网关发送进来的数据包欺骗。网关让IP继续向前，因此它知道如何发送数据到Windows客户端。

6.手动编译OpenSwan

由于部分debian上面的OpenSwan有各种问题,比如有的人反应OpenSwan的2.6.26和xl2tpd存在严重兼容性 bug,有人反应Debian lenny自带的OpenSwan版本有Bug会导致用户连接不上等。有人建议在Debian5.0上就使用2.6.24版本。我觉得没有必要墨守成规，于是就使用最新版好了。
到OpenSwan的网站上面看了一下，最新版本是2.6.32(测试下来与debian lenny里面的xl2tpd-1.2.0工作良好)
安装依赖和工具:
deb系列

apt-get install libgmp3-dev bison flex

1	apt-get install libgmp3-dev bison flex

RPM系列

yum install gmp-devel bison flex

1	yum install gmp-devel bison flex

编译

cd /usr/src
wget http://www.openswan.org/download/openswan-2.6.32.tar.gz
tar zxvf openswan-*
cd openswan-*
make programs install

cd /usr/src

wget http://www.openswan.org/download/openswan-2.6.32.tar.gz

tar zxvf openswan-*

cd openswan-*

make programs install

后面的事情不说了，非常简单，配置文件和方法是一样的。

Author Info :

From:L2TP Over IPSec On Ubuntu(Debian,CentOS) With OpenSwan

URL:https://blog.ihipop.info/2010/12/1906.html

Please Reserve This Link,Thanks!

本作品采用知识共享署名-非商业性使用 3.0 Unported许可协议进行许可。

《L2TP Over IPSec On Ubuntu(Debian,CentOS) With OpenSwan》上有11条评论

andrewyoung说道：

2013年01月23日 12:50 下午

真是笑死人,误人子弟，测试下mac os 就知道为什么叫你不要用openswan2.6.25+了。

回复
1. ihipop说道：
  
  2013年01月25日 3:06 下午
  
  啥意思？谁叫我不要用?
  
  回复
ihipop说道：

2011年07月9日 6:57 上午

@liva
客户端是Linux还是Windows？以前是不是打过关闭IPsec的注册表补丁？

回复
liva说道：

2011年07月9日 4:48 上午

我把openswan降级到2.6.24后仍然PSK无法使用，提示
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_register_enc(): WARNING: enc alg=0 not found in constants.c:oakley_enc_names
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_register_enc(): Activating : Ok (ret=0)
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_register_enc(): WARNING: enc alg=0 not found in constants.c:oakley_enc_names
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_add(): ERROR: Algorithm already exists
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_register_enc(): Activating : FAILED (ret=-17)
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_register_enc(): WARNING: enc alg=0 not found in constants.c:oakley_enc_names
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_add(): ERROR: Algorithm already exists
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_register_enc(): Activating : FAILED (ret=-17)
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_register_enc(): WARNING: enc alg=0 not found in constants.c:oakley_enc_names
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_add(): ERROR: Algorithm already exists
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_register_enc(): Activating : FAILED (ret=-17)
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_register_enc(): WARNING: enc alg=0 not found in constants.c:oakley_enc_names
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_add(): ERROR: Algorithm already exists
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_register_enc(): Activating : FAILED (ret=-17)
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_register_enc(): WARNING: enc alg=0 not found in constants.c:oakley_enc_names
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_add(): ERROR: Algorithm already exists
Jul 8 16:34:48 s2 pluto[17844]: ike_alg_register_enc(): Activating : FAILED (ret=-17)

回复
liva说道：

2011年07月8日 11:40 下午

博主,您好，我现在遇到一个问题，就是在连接的时候PSK无论输入什么都可以连接成功，不输也可以的，不知道哪里有问题，配置应该是没问题的，我看到日志里面有下面两条提示，我觉得是在PSK进行加密或者解密的模块没有安装，不知道该如何下手了，请给些提示。
Jul 8 11:24:02 s2 pluto[5380]: ike_alg_add(): ERROR: Algorithm already exists
Jul 8 11:24:02 s2 pluto[5380]: ike_alg_register_enc(): Activating aes_gcm_16: FAILED (ret=-17)

回复
Pingback： Enjoy Diy » Blog Archive » 在Debian/Ubuntu服务器上架设PPTP/L2TP/IPSec VPN
Pingback：设置PPTP VPN优先使用远程DNS | Startend.Blog's
ihipop说道：

2011年05月20日 4:51 下午

@RuGao.biz 最笨的办法卸载源里面的l2tp,然后到package.Ubuntu.com搜索到
10.04的l2tp程序手动按装之，最后用dpk设置xl2tp的包状态为hold,不升级即可

回复
RuGao.biz说道：

2011年05月12日 9:19 上午

降级到10.04 lucid源里面的xl2tpd
大哥，这个如何降，我现在的问题是第一次连没问题，断了，第二次就连不上去了，重启又可以了，我用的方法是您说得那个，指定了一个ip。

回复
Pingback：轻松架设vpn服务器（佐拉网志） | 我想和自己谈谈
Pingback：如何在 Debian / Ubuntu 服务器上架设PPTP / L2TP / IPSec VPN « 懒得折腾

L2TP Over IPSec On Ubuntu(Debian,CentOS) With OpenSwan

1.Maverick中xl2tpd的问题

2.完美安全传送（PFS：Perfect Forward Secrecy）

3.关于L2TP认证和ACL

4.PPP认证、压缩和加密

5.proxyarp参数

6.手动编译OpenSwan

相关阅读

《L2TP Over IPSec On Ubuntu(Debian,CentOS) With OpenSwan》上有11条评论

发表评论取消回复

2020年二月
一	二	三	四	五	六	日
« 9月
					1	2
3	4	5	6	7	8	9
10	11	12	13	14	15	16
17	18	19	20	21	22	23
24	25	26	27	28	29

1.Maverick中xl2tpd的问题

2.完美安全传送（PFS：Perfect Forward Secrecy）

3.关于L2TP认证和ACL

4.PPP认证、压缩和加密

5.proxyarp参数

6.手动编译OpenSwan

相关阅读

《L2TP Over IPSec On Ubuntu(Debian,CentOS) With OpenSwan》上有11条评论

发表评论 取消回复

发表评论取消回复