Openwrt 上部署 strongswan 5.9.14 + free radius 3.2 打造了一个小机场

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

OpenWrt 是一个专门面向嵌入式设备的 Linux 发行版。你可以将 OpenWrt 支持的型号的嵌入式设备，比如各种路由器上的系统，换成一个有更多可能性可以折腾的 Linux 系统。

前提：路由器可以通过大机场正常上网
在 Openwrt 上部署 strongswan + freeradius + letsencrypt 证书 , 实现手机在外面通过 Android/iOS 通过内置的 IKEv2 VPN 拨号回家科学上网，这样每台路由器可以分出十个账号也毫无压力。

strongswan 相关配置：

connections {
  xyzvpn {
    local_addrs = %any
    remote_addrs = %any
    vips = 0.0.0.0
    fragmentation = yes
    pools = ipv4addr
    send_cert = always
    unique = never
    local {
      auth = pubkey
      id = "xyz.yourdomain.cn"
      certs = xyz.yourdomain.cn.cer
    }
    remote {
      #auth = eap-mschapv2
      auth = eap-radius
      eap_id=%any
    }
    children {
      sstun {
        local_ts = 0.0.0.0/0
        remote_ts = dynamic,224.0.0.1,224.0.0.22,224.0.0.251,224.0.0.252,239.255.255.250
        if_id_in = 666
        if_id_out = 666
        esp_proposals = aes256-sha1
        mode = tunnel
        life_time = 66m
        rekey_time = 1h
        dpd_action = clear
        hw_offload = auto
        updown = sh /etc/config/updown.sh 
      }
    }
    version = 2
    mobike = yes
    rekey_time = 6h
    over_time = 36m
    proposals = aes256gcm16-sha256-modp1024
    keyingtries = 3
  }
}

pools {
  ipv4addr {
    addrs = 192.168.8.32/27
    dns = 192.168.88.1
  }
}

freeradius 上可以配置用户及密码，还可以按需进行流量统计

第 1 条附言 · 29 天前

需要调整 ike 和 esp proposals 的时候，大家只要把 log 中接收到 proposals 组合字符串给 AI ，他们很快会给你最优的选择，这个对配置很有帮助

Strongswan

freeradius

letsencrypt

14 条回复 • 2025-04-17 04:30:17 +08:00