5 设置windows2003 ipsec/l2tp psk 的接入服务器. 及一些看到的问题.

这部分看完之后. 我又被 ipsec相关的复杂程度折磨到了. 结论还是相当痛苦的.... 不过还是先写一下可能通的设置.最后说一下感觉到的问题.

------------------------

最简单的. 没有NAT 存在只有路由的网络结构.  先写一下配置.

# cat /etc/racoon/racoon.conf

log notify;

path pre_shared_key "/etc/racoon/psk.txt";

path certificate "/etc/racoon/certs";

listen {

        adminsock disabled;

}

timer

{

        natt_keepalive 10 sec;

}

remote anonymous {

        exchange_mode main ;

        generate_policy on;

        nat_traversal off; 

        dpd_delay 20;

        proposal {

                encryption_algorithm 3des;

                hash_algorithm md5;

                authentication_method pre_shared_key;

                dh_group 19; #modp1024;

        }

}

sainfo anonymous {

        encryption_algorithm aes, blowfish, twofish, 3des, des;

        authentication_algorithm hmac_sha1, hmac_md5;

        compression_algorithm deflate;

}

# cat /home/responder 

spdadd 192.168.125.10[l2tp] 0.0.0.0/0 udp -P out ipsec esp/transport//require;

spdadd 0.0.0.0/0 192.168.125.10[l2tp] udp -P in ipsec esp/transport//require;

#  cat /home/responder |setkey -c 

# cat /etc/racoon/psk.txt 

* jqka12345

#racoon -F -d -v -L

------------------------

# cat /etc/xl2tpd/xl2tpd.conf

[global]

access control = no

[lns default]

ip range = 192.168.200.100-192.168.200.110

local ip = 192.168.200.10

require authentication = yes

require chap = yes

refuse pap = yes

length bit = yes

name = l2tpd

pppoptfile = /etc/ppp/xl2tpd-options

# cat /etc/ppp/xl2tpd-options

auth

nodefaultroute

proxyarp

require-chap

ms-dns 8.8.8.8

ms-dns 8.8.4.4

require-mschap-v2

require-mschap

# xl2tpd -c /etc/xl2tpd/xl2tpd.conf -s /etc/ppp/xl2tpd-options -D

-----------------------

感觉有些没有前途. 问题还是出现在ipsec的复杂性. nat-t ,客户端使用的参数...

第一次设置最简单的. windows2003 ipsec/l2tp , 无nat-t , exchange_mode main , pre_shared_key , ph1 3des, ph2 3des,dh_group 2 . 

这是可能连接通的. 其实最开始我想使用更高级的加密算法. 没能实现. 因为racoon说 加密方式和对端是对不上的. 最后用上面的参数连通了.

第二次. 想试一下 nat-t 没有连接上. 出错有点儿神奇. 先停下来继续看别的设置地.

第三次. 试了一下 windows 8.1 ipsec/l2tp, 无nat-t. 可是...在ph1时. 我得到了这几行 error 

 invalid DH group 20.

 invalid DH group 19.

 no suitable proposal found.

我当前使用的 racoon只支持到了 dh_group 18. 应该是没有办法继续.

最后我的想法.

不只是windows有不同时期的版本. 应该还要看 android, ios,mac os 的各个版本(这里先不说网络设置,因为我对这些没有了解.). ipsec中可以调整的参数也太复杂.

想支持各个操作系统是不可能的. 想想这样的接入有点儿没有前途...至少是会折磨死人.

这段看的东西有点儿受打击. 这也是 ipsec协议复杂性的一个问题.

我不是太确实,但过 nat我感觉还是不太容易.

下面我再看看 linux之间的 roadwarrior ? 迷糊地.