三步实现免费PHP空间搭建GoAgent翻墙

之前嘗試過 PPTP 和 OpenVPN ，但 PPTP 太弱，而 OpenVPN 太依賴第三方軟體，因此想說來試試看 L2TP/IPsec 

架設的軟體使用 epel 上的 strongSwan 和 xl2tpd ，不用 openSwan 是因 OSX 在連線的時候會遇到伺服器端錯誤，據說是 openSwan 本身的問題 

安裝前先把必要套件補完 

yum install strongswan xl2tpd 
strongSwan 裝完之後可以在 /etc/strongswan 設定，裏頭的 strongswan.conf 沒特別設定不需要去動，預設是所有 plugin 都載入 

在這之前，記得先調整 kernel 和 iptables 

sed -i 's/net.ipv4.ip_forward[ ]*=[ ]*0/net.ipv4.ip_forward = 1/g' /etc/sysctl.conf && sysctl -p # 啟動 ip_forward 
# 防火牆規則僅供參考 
iptables -A INPUT -p udp --dport 500 -j ACCEPT # IKE 
iptables -A INPUT -p udp --dport 4500 -j ACCEPT # NAT-T 
iptables -A INPUT -p udp -m policy --dir in --pol ipsec -m udp --dport 1701 -j ACCEPT # 強制 l2tp 透過 ipsec 存取 
iptables -t nat -A POSTROUTING -s 172.16.1.0/24 -o eth0 -j MASQUERADE # 轉送 VPN 流量 
/etc/init.d/iptables save 
接著開始設定 IPsec 連線部分，我這邊使用 PSK ，其他驗證方法可以上官網文件查 

/etc/strongswan/ipsec.conf 

config setup 

conn %default 
ikelifetime=60m 
keylife=20m 
rekeymargin=3m 
keyingtries=1 

conn l2tp 
keyexchange=ikev1 # IKE 版本 
left=>>>>{對外 IP}<<<<<< 
leftsubnet=0.0.0.0/0 
leftprotoport=17/1701 # l2tp udp 流量 
authby=secret # PSK 驗證 
leftfirewall=no # 不要讓 strongswan 更改防火牆 
right=%any # 任意 IP 
rightprotoport=17/%any # 任意 port udp 流量 
type=transport # ipsec transport mode 
auto=add 
/etc/strongswan/ipsec.secrets 

# ipsec.secrets - strongSwan IPsec secrets file 
: PSK "A long preshared key for ipsec" 
IPsec 這邊設定和網路上的不一樣是因為新的 strongswan 使用 charon 來處理 IKEv1 ，而不是以往的 pluto 

而且有時候設定太多反而會有一些奇怪的錯誤，於是就留預設值 

如此一來 IPsec 的部分就完成了，再來是 L2TP 

/etc/xl2tpd/xl2tpd.conf 

[global] 
listen-addr = >>>>{對外 IP}<<<< 

[lns default] 
ip range = 172.16.1.100-172.16.1.200; VPN 使用者配發的 IP 段 
local ip = 172.16.1.1; VPN Server 本身的聯絡 IP 
assign ip = yes 
;refuse chap = yes 
;refuse pap = yes <<<我個人覺得有 ipsec 使用 pap 沒關係，而且某些情況下(例如 pam)，必須使用 
require authentication = yes 
unix authentication = yes; 使用 pam 驗證，用密碼檔記得刪掉這行 
name = NyanVPNServer; 這個名字等一下會用到，可以任意取名 
ppp debug = yes 
pppoptfile = /etc/ppp/options.xl2tpd 
length bit = yes 
如果上面的 xl2tpd.conf 使用了 pam 驗證，要修改下面這個 

/etc/pam.d/ppp 

#%PAM-1.0 
auth required pam_nologin.so 
auth required pam_unix.so 
account required pam_unix.so 
session required pam_unix.so 
PPP 的部分 

/etc/ppp/options.xl2tpd 

ipcp-accept-local 
ipcp-accept-remote 
ms-dns 8.8.8.8 # 推送的 DNS 資訊 
ms-dns 8.8.4.4 
# ms-dns 192.168.1.1 
# ms-dns 192.168.1.3 
# ms-wins 192.168.1.2 
# ms-wins 192.168.1.4 
noccp 
auth 
crtscts 
idle 1800 
#mtu 1410 
#mru 1410 
mtu 1200 # 我也不知道 mtu/mru 怎麼設，不過這個會動 
mru 1200 
nodefaultroute 
debug 
lock 
proxyarp 
connect-delay 5000 
login # 透過 PAP 使用系統密碼驗證，這也是為什麼前面不能拒絕 PAP 的原因 
#require-mschap-v2 強迫使用 MS-CHAP-V2 
最後是連線密碼， CHAP 和 PAP 的密碼檔是分開的，依照前面設定的內容和使用者的選擇而定 

/etc/ppp/*-secrets 

# Secrets for authentication using PAP 
# client(帳號) server(前面提到的 name) secret(密碼) IP addresses(配發的 IP) 
alice NyanVPNServer "AliceIsCute" * 
# 下面這個是 PAM 的用法 
* NyanVPNServer "" * 
設定就到這邊為止，接著就可以啟動 VPN 了 

service strongswan start 
service xl2tpd start 
成功連上 VPN 之後，如果無法連外，檢查看看 iptables 的 FORWARD chain 是不是有阻擋連線的行為

rpm -ivh http://download.fedoraproject.org/pub/epel/6/x86_64/epel-release-6-8.noarch.rpm
yum -y  update
yum -y install strongswan
yum -y install xl2tpd
sed -i 's/net.ipv4.ip_forward = 0/net.ipv4.ip_forward = 1/g' /etc/sysctl.conf
sysctl -p
iptables -A INPUT -p udp --dport 500 -j ACCEPT # IKE
iptables -A INPUT -p udp --dport 4500 -j ACCEPT # NAT-T
iptables -A INPUT -p udp -m policy --dir in --pol ipsec -m udp --dport 1701 -j ACCEPT # 強制l2tp透過ipsec存取
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
ip_addr=` ifconfig  | grep 'inet addr:'| grep -v '127.0.0.1' |cut -d: -f2 | awk '{ print $1}'`
echo "conn %default
        ikelifetime=24h
        keylife=24h
        rekeymargin=30m 
        keyingtries=1
        rekey=no
 
 
conn l2tp
        keyexchange=ikev1 # IKE版本
        left=$ip_addr
        leftsubnet=0.0.0.0/0
        leftprotoport=17/1701 # l2tp udp流量
        authby=secret # PSK驗證
        leftfirewall=no # 不要讓strongswan更改防火牆
        right=%any # 任意IP
        rightprotoport=17/%any # 任意port udp流量
        type=transport # ipsec transport mode 
        auto=add">>/etc/strongswan/ipsec.conf
echo ': PSK "fuck_great_firewall"'>>/etc/strongswan/ipsec.secrets
sed 's/\[global\].*$/&\nlisten-addr ='$ip_addr'/g' /etc/xl2tpd/xl2tpd.conf
sed -i 's/^mtu.*/mtu 1200/g' /etc/ppp/options.xl2tpd
sed -i 's/^mru.*/mru 1200/g' /etc/ppp/options.xl2tpd
echo 'login'>>/etc/ppp/options.xl2tpd
echo 'test * test123 *'>>/etc/ppp/chap-secrets
service strongswan start
service xl2tpd start
chkconfig strongswan on
chkconfig xl2tpd on