strongswan：完全虚拟的子网

Question

我最近设置了一个 strongswan IPSec VPN 来从我的 android 智能手机访问我的家庭服务器的一些非公共服务。我在其他一些设备上使用 OpenVPN 执行相同的任务，但为电话选择了 strongswan，因为 IKEv2 被认为（如果我错了，请纠正我）在移动设备上对资源非常友好。

当前 (openvpn) 设置由一台服务器（虚拟 IP：10.0.0.2）和多个客户端（都在 10.0.0.0/24 子网中）组成。所有各方的路由都设置为仅通过专用于此子网的 vpn 路由数据包。（我不想从客户端访问我的服务器的本地子网，我也不想通过服务器路由我的客户端的所有流量）

现在我设法使用 strongswan（服务器：5.0.4，客户端：官方 strongswan android 应用程序 1.3.0）让事情顺利进行，但我还没有完全到位。首先是服务器配置：

config setup

conn %default
  keyexchange=ikev2

conn android
  left=%any
  leftauth=pubkey
  leftcert=serverCert.pem
  leftid=vpn.mydomain.com
  leftsourceip=10.10.10.128
  leftfirewall=yes
  right=%any
  rightsourceip=10.10.10.0/24
  rightauth=pubkey
  rightcert=clientCert_mymobilephone.pem
  rightauth2=eap-mschapv2
  auto=start

这将 IP 10.10.10.1 分配给我的电话，但没有任何接口上的服务器的 IP，这正是我想要的。我仍然可以使用我的本地 IP (192.168.1.2) 通过 VPN 访问我的服务器，这不是我真正想要的 ;)

我想将所有客户端（主要是笔记本）从 OpenVPN 迁移到 strongswan，但上述问题阻止我进行切换。我尝试了许多不同的 strongswan 配置，但没有一个可以匹配我的 OpenVPN 配置。这甚至可能吗，如果有的话怎么办？

Answer 1

请注意，与 OpenVPN 不同，StrongSWAN 不打算以这种方式使用 - 它不创建虚拟接口，也不向隧道两端分配虚拟 IP 地址。您绝对可以做的是将地址 10.0.0.2 添加到服务器端的接口之一

ip addr add 10.0.0.2/32 dev eth0

并将适当的“leftsubnet”指令添加到您的配置中，使其成为 IPSEC Phase 2 交换的一部分。不用说，在这种情况下，您需要将 ESP 与隧道一起使用。