拯救上班族：Ubuntu下IKEv2连接VPN完全指南

VPN连接示意图

被公司VPN折磨得死去活来？校园网连接总是出问题？别担心，这篇文章将彻底解决你的痛点！

还记得那个深夜，我盯着Terminal上不断闪烁的错误提示，只为了连上公司VPN提交那份已经延期的报告…如果你和我一样，经常需要通过VPN连接到校园网或公司内网，那这篇教程绝对值得收藏！

在众多VPN协议中，IKEv2以其出色的稳定性和安全性脱颖而出，特别适合在移动环境下使用。而在Linux系统中，StrongSwan则是实现IKEv2协议的最佳选择。下面，我将手把手教你如何在Ubuntu中配置它。

1. 什么是IKEv2？为什么选择它？

老实说，当初我对各种VPN协议一头雾水，PPTP、L2TP、OpenVPN、IKEv2…名词一大堆，到底选哪个？

经过无数次痛苦的尝试后，我发现IKEv2（Internet Key Exchange第二版）是最适合日常使用的协议之一。它不仅加密安全，而且在网络切换时表现出色——这意味着当你从咖啡厅WiFi切换到手机热点时，你的VPN连接不会断开！对于像我这样经常在各种网络环境下工作的人来说，简直是福音。

IKEv2作为IPsec的一部分，提供了建立安全通信通道的方法，让你可以安全地访问远程网络资源。无论是查看公司内部文档，还是访问校园网限制的学术资源，都不在话下。

2. 安装StrongSwan：第一步总是简单的

首先，打开你的Terminal（快捷键Ctrl+Alt+T），输入以下命令：

1
2
sudo apt update
sudo apt install strongswan strongswan-plugin-eap-gtc

这里我们安装了两个包：strongswan是核心程序，而strongswan-plugin-eap-gtc是一个用于支持EAP-GTC认证方式的插件。

小贴士：如果你的VPN使用其他认证方式，可能需要安装不同的插件。常见的还有strongswan-plugin-eap-mschapv2。

安装过程很快，通常不会有任何问题。不像我第一次配置OpenVPN时那样，编译了半天还报错…

3. 配置文件：魔鬼藏在细节里

这一步是最关键的，也是我之前踩过最多坑的地方。需要编辑两个主要文件：

3.1 配置/etc/ipsec.conf

使用你喜欢的编辑器（我习惯用vim，你也可以用nano或gedit）打开配置文件：

1
sudo vim /etc/ipsec.conf

将以下内容添加到文件中（注意替换相关信息）：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
# ipsec.conf - strongSwan IPsec configuration file

config setup
    charondebug="ike 1, knl 1, cfg 0"  # 调试级别，出问题时很有用

conn %default
    ikelifetime=60m
    keylife=20m
    rekeymargin=3m
    keyingtries=1
    keyexchange=ikev2
    authby=secret

conn my-vpn  # 可以改成有意义的名称，比如"company-vpn"或"campus-vpn"
    left=%any
    leftsourceip=%config
    leftauth=eap-gtc
    leftid=%any
    right=your-vpn-server.com  # 替换为你的VPN服务器地址
    rightsubnet=0.0.0.0/0
    rightid=@your-vpn-server.com  # 服务器标识，通常是域名前加@
    rightauth=pubkey
    rightpubkey=%any
    eap_identity=your-username  # 替换为你的用户名
    auto=start  # 设置为"add"则不会自动连接，需手动启动

这些参数看起来很多，但其实并不复杂：

  • left部分定义了客户端（也就是你的电脑）的配置
  • right部分定义了服务器端的配置
  • rightsubnet=0.0.0.0/0表示所有流量都通过VPN
  • auto=start表示系统启动时自动连接VPN

警告：第一次配置时，我建议将auto设置为add而不是start，这样可以手动控制连接，避免配置错误导致无法登录系统的尴尬情况。

3.2 配置/etc/ipsec.secrets

接下来，我们需要设置认证信息：

1
sudo vim /etc/ipsec.secrets

添加以下内容：

1
your-username : EAP "your-password"

当然，要把your-username和your-password替换成你实际的用户名和密码。

安全提示：这个文件包含明文密码，所以确保其权限正确：

1
sudo chmod 600 /etc/ipsec.secrets

4. 证书配置：建立信任

VPN连接的安全性很大程度上依赖于证书。StrongSwan默认使用/etc/ipsec.d/cacerts目录下的证书进行认证。

如果你的IT部门提供了特定的CA证书，你应该将其放在这个目录中。如果没有，我们可以使用系统自带的证书：

1
sudo cp -r /etc/ssl/certs/* /etc/ipsec.d/cacerts

这一步我曾经忽略了，结果连接时不停地出现”无法验证服务器证书”的错误，折腾了好几个小时才发现问题所在。

5. 启动VPN连接：见证奇迹的时刻

配置完成后，是时候启动VPN连接了：

1
2
sudo ipsec restart
sudo ipsec up my-vpn  # 使用你在ipsec.conf中定义的连接名称

如果一切顺利，你将看到类似以下的输出：

1
2
IKE_SA my-vpn[1] established between xx.xx.xx.xx[config]...xx.xx.xx.xx[your-vpn-server.com]
CHILD_SA my-vpn{1} established with SPIs xxxxxxxx_x xxxxxxx_x and TS xx.xx.xx.xx/32 === 0.0.0.0/0

看到这些信息时，我的心情简直无法用语言形容——那种历经千辛万苦终于成功的喜悦，只有经历过的人才能体会！

6. 验证连接：成功了吗？

连接建立后，我们需要验证VPN是否真的生效了。最简单的方法是查看你的公网IP是否已经改变：

1
curl ifconfig.me

或者访问whatismyip.com查看当前IP地址是否已切换为VPN服务器的IP地址。

另外，你也可以尝试访问只能通过VPN才能访问的内部资源，比如公司内网的网站或校园网的图书馆资源。

7. 故障排除：当事情不顺利时

VPN连接不是总能一次成功，如果你遇到了问题（就像我第一次配置时那样），以下是一些调试方法：

  1. 查看日志文件：

    1
    sudo tail -f /var/log/syslog | grep charon

    或

    1
    sudo tail -f /var/log/daemon.log

  2. 检查配置文件：确保所有参数都正确，特别是服务器地址、用户名和密码。

  3. 测试网络连接：确保你可以ping通VPN服务器：

    1
    ping your-vpn-server.com

  4. 重启服务并重新连接：

    1
    2
    sudo ipsec restart
    sudo ipsec up my-vpn

  5. 增加调试输出：在ipsec.conf的config setup部分增加更详细的调试信息：

    1
    charondebug="ike 2, knl 2, cfg 2, net 2, esp 2, dmn 2, mgr 2"

实在不行，就把日志文件发给IT支持团队吧（前提是你有这样的团队）。我曾经就是这样，把一大段日志发给公司的网络管理员，最后发现是服务器端的配置问题…

8. 进阶技巧：让生活更轻松

自动重连

如果你希望VPN在断开后自动重连，可以创建一个简单的脚本：

1
2
3
4
5
6
7
8
9
10
11
#!/bin/bash
# 保存为 /usr/local/bin/vpn-watchdog.sh

while true; do
  if ! ipsec status | grep -q "ESTABLISHED"; then
    echo "VPN连接断开，尝试重连..."
    ipsec restart
    ipsec up my-vpn
  fi
  sleep 60
done

然后设置执行权限并添加到系统启动项：

1
2
sudo chmod +x /usr/local/bin/vpn-watchdog.sh
sudo crontab -e

添加以下行：

1
@reboot /usr/local/bin/vpn-watchdog.sh &

使用NetworkManager管理VPN

如果你更喜欢图形界面，可以安装NetworkManager的StrongSwan插件：

1
sudo apt install network-manager-strongswan network-manager-strongswan-gnome

安装后，你可以在网络设置中添加新的VPN连接，选择”IPsec/IKEv2 (strongswan)”类型。

9. 总结：征服技术的喜悦

通过以上步骤，你应该已经成功在Ubuntu系统中配置并连接了IKEv2 VPN。StrongSwan虽然配置起来不像图形界面那样直观，但它提供了强大的功能和稳定的连接，非常适合需要长时间保持VPN连接的场景。

记得我第一次成功配置StrongSwan时，那种成就感让我整晚都睡不着觉。技术的魅力正在于此——通过自己的努力解决问题，然后享受胜利的喜悦。希望这篇教程能为你省去一些弯路，让你更快地享受到这种喜悦！

如果你有任何问题或特殊情况，欢迎在评论区留言交流。我们一起进步，一起成长！

参考资料