如果您想在 OpenWrt 上搭建 IPsec VPN 服务器，本文将为您提供详细的步骤。
步骤一：安装 strongSwan
在终端中输入以下命令：
opkg update opkg install strongswan
步骤二：配置 VPN 服务器
1. 生成证书和密钥
在终端中输入以下命令：
ipsec pki –gen –type rsa –size 4096 –outform pem > ca.key.pem ipsec pki –self –ca –lifetime 3650 –in ca.key.pem –type rsa –dn “C=CN, O=strongSwan, CN=strongSwan CA” –outform pem > ca.cert.pem ipsec pki –gen –type rsa –size 4096 –outform pem > server.key.pem ipsec pki –pub –in server.key.pem –type rsa | ipsec pki –issue –lifetime 1825 –cacert ca.cert.pem –cakey ca.key.pem –dn “C=CN, O=strongSwan, CN=strongSwan VPN Server” –san vpn.example.com –flag serverAuth –outform pem > server.cert.pem
注意：将 vpn.example.com 替换为您自己的域名。
2. 配置 strongSwan
在 /etc/ipsec.conf 中添加以下内容：
config setup charondebug=”ike 1, knl 1, cfg 0″
conn %default keyexchange=ikev2 ikelifetime=60m keylife=20m rekeymargin=3m ns-cert-type=server left=%any leftsubnet=0.0.0.0/0 leftauth=pubkey right=%any rightsourceip=10.10.10.0/24 rightauth=pubkey
conn myvpn leftcert=server.cert.pem leftid=@vpn.example.com rightid=%any auto=add
注意：将 vpn.example.com 替换为您自己的域名，将 rightsourceip 更改为您想要分配的 IP 地址范围。
3. 配置 strongSwan secrets
在 /etc/ipsec.secrets 中添加以下内容：
: RSA server.key.pem
4. 重启 strongSwan
在终端中输入以下命令：
/etc/init.d/ipsec restart
步骤三：配置防火墙规则
在终端中输入以下命令：
iptables -A forwarding_rule -i eth0 -j ACCEPT iptables -t nat -A POSTROUTING -s 10.10.10.0/24 -o eth0 -j MASQUERADE
注意：将 eth0 替换为您的 LAN 网络接口。
步骤四：开启 VPN 服务器
在终端中输入以下命令：
/etc/init.d/ipsec enable /etc/init.d/ipsec start
步骤五：连接 VPN
您可以使用任何支持 IPsec VPN 的客户端连接到您的 VPN 服务器。
现在您已经成功地在 OpenWrt 上搭建了 IPsec VPN 服务器。
以下是一些常见问题及其解答：
1. 我如何测试我的 VPN 服务器是否工作正常？
您可以使用 Shrew Soft VPN Client 进行测试。安装后，使用您生成的证书和密钥连接到您的 VPN 服务器。
2. 我可以将 IPsec VPN 服务器用于哪些用途？
IPsec VPN 服务器可以用于远程访问、跨网络连接、加密通信等方面。
3. 我可以使用 Let’s Encrypt 证书吗？
是的，您可以使用 Let’s Encrypt 证书。只需将 ipsec pki 命令中的 --cacert 参数更改为 Let’s Encrypt 的证书即可。
4. 我需要为我的 VPN 服务器配置 NAT？
是的，您需要为您的 VPN 服务器配置 NAT。请参阅步骤三中的防火墙规则配置。
5. 我可以在路由器上搭建 IPsec VPN 服务器吗？
是的，您可以在路由器上搭建 IPsec VPN 服务器。但是，由于硬件限制，您的路由器可能无法处理大量的 VPN 连接。
