在VPS上部署VPN有一段时间了,但用SSH较多,偶尔用手机连连VPN。最近用的时候遇到一些小问题:“断开VPN连接后再次连接的时候就连不上了”, 重启IPsec后才能恢复。当时安装的时候图省心,直接用的一键脚本,虽然过程中也遇到些小问题,但后来都谷歌解决了,之后也没有记录安装过程。今天连带解决这个问题转发一帖就当复习了。
考虑到很多网络环境的不确定已经一些移动通信网络对pptp的不支持,早晚要用得上L2tp,所以这次就顺便搭一下。
第二层隧道协议L2TP(Layer 2 Tunneling Protocol)是一种工业标准的Internet隧道协议,它使用UDP的1701端口进行通信。L2TP本身并没有任何加密,但是我们可以使用IPSec对L2TP包进行加密。
仅搭建L2tp即可实现大部分功能,但一般情况下L2tp都与IPSec配合使用,MacOS与iOS的设备貌似对L2tp的支持都必须使用IPSec,所以有必要部署IPSec。
部署IPSec
首先安装必备依赖包
yum install make gcc gmp-devel bison flex lsof
其次安装Openswan
wget http://www.openswan.org/download/openswan-2.6.38.tar.gz tar -zxvf openswan-2.6.38.tar.gz cd openswan-2.6.38 make programs install
编辑配置文件/etc/ipsec.conf:
vim /etc/ipsec.conf
查找protostack=auto,修改为:
protostack=netkey
在最后加入:
conn L2TP-PSK-NAT rightsubnet=vhost:%priv also=L2TP-PSK-noNAT conn L2TP-PSK-noNAT authby=secret pfs=no auto=add keyingtries=3 rekey=no ikelifetime=8h keylife=1h type=transport left=YOUR.SERVER.IP.ADDRESS leftprotoport=17/1701 right=%any rightprotoport=17/%any
“YOUR.SERVER.IP.ADDRESS”为外网IP,下同。 设置共享密钥PSK 编辑配置文件/etc/ipsec.secrets:
vim /etc/ipsec.secrets
输入:
YOUR.SERVER.IP.ADDRESS %any: PSK "YourSharedSecret"
修改包转发设置
for each in /proc/sys/net/ipv4/conf/* do echo 0 > $each/accept_redirects echo 0 > $each/send_redirects done echo 1 >/proc/sys/net/core/xfrm_larval_drop
修改内核设置,使其支持转发,编辑/etc/sysctl.conf文件:
vim /etc/sysctl.conf
将“net.ipv4.ip_forward”的值改为1。
使修改生效:
sysctl -p
重启IPSec:
service ipsec restart
查看系统IPSec安装和启动的正确性:
ipsec verify
一般情况下没有报[FAILED]就可以了。但是如果转发已经确认配置了,但仍检测checking IP Forwarding 失败,可以先忽略此项错误,虽然我此项FAIL,但不影响使用,根据邮件列表的内容来看很可能是一个未解决的判断BUG, 查看日志中出现 IPSec connection established此类字样基本没有问题。
部署L2TP(使用xl2tpd和rp-l2tp)
xl2tpd是由Xelerance Corporation维护的l2tpd应用。但是xl2tpd没有l2tp-control,需要从rp-l2tp这个里面提取。所以要装这两个软件包。
虽然根据编译结果来看,目前最新版的xl2tpd已经含有l2tp-control了,但加上rp-l2tp也没什么问题。因为默认情况下可能会少创建一个目录导致启动不成功。
首先安装依赖软件:
yum install libpcap-devel ppp policycoreutils
安装xl2tpd和rp-l2tp:
wget http://sourceforge.net/projects/rp-l2tp/files/rp-l2tp/0.4/rp-l2tp-0.4.tar.gz tar -zxvf rp-l2tp-0.4.tar.gz cd rp-l2tp-0.4 ./configure make cp handlers/l2tp-control /usr/local/sbin/ mkdir /var/run/xl2tpd/ ln -s /usr/local/sbin/l2tp-control /var/run/xl2tpd/l2tp-control
xl2tpd用的是目前最新的xl2tpd-1.3.0(更新得不是很快)
wget http://www.xelerance.com/wp-content/uploads/software/xl2tpd/xl2tpd-1.3.0.tar.gz tar -zxvf xl2tpd-1.3.0.tar.gz cd xl2tpd-1.3.0 make make install
建立xl2tpd配置文件:
mkdir /etc/xl2tpd vim /etc/xl2tpd/xl2tpd.conf
加入:
[global] ipsec saref = yes [lns default] ip range = 10.82.88.2-10.82.88.254 local ip = 10.82.88.1 refuse chap = yes refuse pap = yes require authentication = yes ppp debug = yes pppoptfile = /etc/ppp/options.xl2tpd length bit = yes
配置ppp 建立options.xl2tpd文件:
vim /etc/ppp/options.xl2tpd
加入:
#require-mschap-v2 #此处不是必须,在非MS环境下 ms-dns 8.8.8.8 ms-dns 8.8.4.4 asyncmap 0 auth crtscts lock hide-password modem debug name l2tpd proxyarp lcp-echo-interval 30 lcp-echo-failure 4
设置拨号用户名和密码:
vim /etc/ppp/chap-secrets
此处注意的是第二列的 l2tpd 为上面配置的name,如果有改动也要修改此处。
# Secrets for authentication using CHAP # client server secret IP addresses myusername l2tpd mypassword *
最后添加iptables转发规则并保存重启
iptables --table nat --append POSTROUTING --jump MASQUERADE /etc/init.d/iptables save /etc/init.d/iptables restart
以debug方式启动l2tp,查看有无错误:
xl2tpd -D
后继问题解决
部署成功后,可以使用并连接,但每天的连接并不稳定,经常需要重启IPSec。检查日志发现大量类似结果:
Maximum retries exceeded for tunnel 50347. Closing.
经过这几天试验,终于解决,在/etc/ipsec.conf中的 conn L2TP-PSK-noNAT节 加入如下内容解决:
dpddelay=40 dpdtimeout=130 dpdaction=clear leftnexthop=%defaultroute rightnexthop=%defaultroute
至此实现了备选方案的部署。 via fish176.com
“CentOS Linux 安装配置L2tp+IPsec VPN”上的6条回复
您好,我是用CentOS V6.3照著您的指示安裝L2TP+IPSec.全部的動作我都有完成(無任何錯誤,Ipsec verify無錯誤,xl2tpd亦可正常啟動)同時我也有使用netstat指令觀察Port開啟狀況,也有看到udp450,500,1701處於Listen狀態;但Clients連線始終會出現Error678 or 809 ,在連接時使用”service ipsec status”可以看見由一開始的”No tunnels up”->”1 tunnels up” 我想ipsec部分應該是沒問題,目前我傾向於我的xl2tp功能可能有些問題卻不知該從何下手,懇請給予一些建議,感謝! (該台Server PPTP,OpenVPN均可正常使用)
?5,713,500. 全面竣工并可即刻入住,这个位于中心位置的开发项目对于投资者或任何为自己寻找永久居所的买家均是一项理想的选择。
非常感谢,按照您的配置方法设置成功,我的网站是devpn.com。
但出现一个问题是在局域网内二台电脑同时连接,后面连接的就连接不上了,而且前面连接的断开第二台电脑还是连接不上,是什么原因?
您好,请问下局域网下第二台电脑连接VPN后导致后续连接失败的情况您是怎么解决的
签到赚钱,”贵在坚持”!不像其他网赚那样需要投入很多的精力和脑力,是最简单的网赚。这样您不必纠结天天去哪找项目,相对来说收益比较稳定。
签到赚钱,”贵在坚持”!不像其他网赚那样需要投入很多的精力和脑力,是最简单的网赚。这样您不必纠结天天去哪找项目,相对来说收益比较稳定。1123213