ipsec VPN，openswan配置记录

目的：办公室网络和亚马逊连为一个网络，可以在办公室网络连亚马逊实例的内网IP

实现：办公室网络的防火墙和亚马逊的一台实例做为通道的两端，此实例所在的VPC可以和其他VPC连成对等连接以连通其他VPC

1. 办公室网络的防火墙配置IPSEC
2. 亚马逊VPN上安装openswan，配置ipsec.conf, ipsec.secret即可

/etc/ipsec.conf:

version 2.0

#include /etc/ipsec.d/*.conf

## general configuration parameters ##

config setup

plutodebug=all

plutostderrlog=/var/log/pluto.log

protostack=netkey

nat_traversal=yes

virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12

oe=off

conn xiaohua-AWS

ike=3des-sha1

## phase 1 ##

keyexchange=ike

## phase 2 ##

phase2=esp

phase2alg=3des-sha1

compress=no

pfs=yes

authby=secret

auto=start

type=tunnel

left=%defaultroute

leftsubnet=10.28.0.0/16        //亚马逊内网IP段

leftid=xx.xx.xx.xx            //亚马逊VPN外网IP

leftnexthop=%defaultroute

right=xx.xx.xx.xx            //办公室公网出口IP

rightsubnet=10.3.0.0/16        //办公室内网IP段

rightid=xx.xx.xx.xx        //办公室公网出口IP

rightnexthop=%defaultroute

/etc/ipsec.secrets

办公室公网出口IP 亚马逊VPN公网IP: PSK "password"

3. 亚马逊VPN实例防火墙配置添加

-A INPUT -s 办公室公网出口IP -i eth0 -p tcp -m tcp --dport 4500 -j ACCEPT

-A INPUT -s 办公室公网出口IP -i eth0 -p udp -m udp --dport 4500 -j ACCEPT

-A INPUT -s 办公室公网出口IP -i eth0 -p udp -m udp --dport 500 -j ACCEPT