OpenSwan和华为AR2240对接IPSec隧道
拓扑如上图所示，AWS端建立一个VPC(CIDR:10.101.0.0/16),包含两个子网，一个可以上互联网的Public子网10.101.1.0/24以及私有子网Private 10.101.3.0/24,在公有子网上会配置一台OpenSwan实例与公司的华为AR2240设备做VPN对接。
OpenSwan的EIP地址为:54.223.26.123 子网：10.101.1.0/24
华为设备的公网地址为:xx.xx.xx.xx 子网：172.16.100.0/24
目标：实现AWS上私有子网10.101.3.0/24和数据中心172.16.100.0/24双向互通
配置步骤:
一、创建VPC
创建公有子网(10.101.1.0/24)和私有子网(10.101.3.0/24)
创建路由表并关联相关的路由表
创建Internet网关，关联到相应的VPC
创建安全组：
二、启动并配置VPN实例
建立一个EC2实例，并将其与EIP关联，新建的EC2如下所示:
关闭源/目标地址检查
创建一个私有子网内的EC2实例，实例私有IP地址为：10.101.3.250/24
修改 VPC 私有子网路由表
找到VPC Console页面，在左侧点路由表，找到10.101.3.0/24关联的路由表， 在页面下方点击路由，编辑
添加其他路由，
目标： 172.16.100.0/24
目标：OpenSwan实例ID (i-xxxxx)
三、安装OpenSwan
yum -y install openswan
修改/etc/ipsec.conf去掉最后一行include /etc/ipsec.d/*.conf 的注释
vim /etc/ipsec.conf
include /etc/ipsec.d/*.conf
vi /etc/ipsec.d/huawei.conf
conn huawei
type=tunnel
authby=secret
left=%defaultroute
leftsubnet=10.101.0.0/16 #letftsubnet为本地子网
leftid=54.223.26.123 #leftid 标明本地对应公网IP
leftnexthop=%defaultroute
right=xx.xx.xx.xx #right为对端公网地址
rightsubnet=172.16.0.0/16 #rightsubnet为对端子网
auto=start
ike=aes128-sha1;modp1024 #ike为第一阶段参数
ikelifetime=28800s #ikelifetime为第一阶段的生存时间
phase2=esp
Phase2alg=aes128-sha1;modp1024 #phase2alg为第二阶段参数
salifetime=3600s #salifetime为第二阶段生存时间
pfs=yes
dpdaction=restart_by_peer
dpddelay=10
dpdtimeout=30
keyingtries=%forever
配置预共享密钥
vi /etc/ipsec.d/huawei.secrets
54.223.26.123 xx.xx.xx.xx : PSK “1234567890”
启动openswan服务并做配置检查
systemctl start ipsec
ipsec verify
修改系统参数:
vim /etc/sysctl.conf
net.ipv4.ip_forward = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
net.ipv4.conf.eth0.send_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.eth0.accept_redirects = 0
配置完成以后，启用新的配置
sysctl –p
四、AR2240配置
acl number 3001 #ipsec VPN 感兴趣流
description OpenSwan
rule 5 permit ip source 172.16.0.0 0.0.255.255 destination 10.101.0.0 0.0.255.255
ipsec proposal map110 #创建一个IPSec安全提议为map110
esp authentication-algorithm sha1 #设置ESP协议采用的认证算法为sha1
esp encryption-algorithm aes-128 #ESP协议采用的加密算法位aes-128
ike proposal 5 #配置IKE对等体引用的IKE安全提议
encryption-algorithm aes-cbc-128 #采用的加密算法为aes-cbc-128
dh group2 #指定IKE密钥协商时采用1024-bit的Diffie-Hellman组
authentication-algorithm sha1 #认证算法为sha1
sa duration 28800 #配置IKE SA的生存周期
prf hmac-sha1 #配置产生随机函数的算法为HMAC-SHA-1算法
ike peer map110 v1 # 创建ike peer
pre-shared-key cipher 123456789 #共享秘钥为 ptmind890iop
ike-proposal 5 #关联ike安全提议
local-address xx.xx.xx.xx #本端公网地址
dpd idle-time 10 #配置对等体存活检测空闲时间、DPD报文重传间隔和重传次数
remote-address 54.223.26.123 #对端公网地址
ipsec policy map1 10 isakmp #创建ipsec 策略
security acl 3001 #关联acl 3001
pfs dh-group2 #配置IPSec隧道本端发起协商时使用完美的前向安全PFS
ike-peer map110
proposal map110
interface GigabitEthernet0/0/5
nat outbound 3999
ipsec policy map1
静态路由:
54.223.26.123/32 Static 60 0 RD xx.xx.xx.xx的网关
10.101.0.0/16 Static 60 0 RD xx.xx.xx.xx的网关
ipsec auto --up huawei 连接VPN
测试连通性：
