基于IPsec的虚拟专用网在Linux上的实现--安装配置篇

1. VPN的类型

  关于如何组建VPN, 有的公司付费购买专门的软件, 而有的公司用自己的路由器来实

现, 因为很多路由器内嵌VPN功能. 这些VPN可以像SSH隧道一样简单, 也可以做的很复杂. 所有的方案都有一个共同点, 那就是必须在不安全的互连网创建一个虚拟的安全的隧道. VPN主要有以下类型:

* IPsec

* VPND

* SSH

* 诸如一些CISCO路由器(内嵌VPN功能)

2. 我推荐的选择 FreeS/WAN

上面如此多的选择, 为什么我要选择Linux上的FreeS/WAN(基于IPsec)来实现VPN呢?

因为从目前的应用情况看, FreeS/WAN是目前最安全的在Linux上的实现方案. 它基于 3DES等加密算法. 另外, 试验表明SSH和VPND方案缺少FreeS/WAN的某些功能, 而且IPsec被越来越多的其他软件所支持, 以后的兼容性更好. 例如, NAI的PGPnet就和FreeS/WAN一起工作得很好. 但是, 我认为真正重要的一点是, 它是免费的(Linux也是免费的), 这对于我们国内用户来说, 不用花大价钱去买专门的软件, 您只需要向ISP支付一点上网费, 就可以组建自己的廉价的VPN.

3. 它的用途

* 通过Internet连接2个甚至更多的办公室(当然是两地分居的那种);

* 允许公司的某个职员在千里之外远程登录到公司内部网络;

* 在Internet上, 数据是在一个虚拟的安全通道内传播;

4. 安装和配置IPsec和FreeS/WAN1.5

(1)安装;

如果你的内核版本低于2.2.14, 那么我强烈建议你升级到2.2.14; 可以从http://www.kernel.org/下载. 按照你自己的要求编译内核, 开始最好不要IPsec支持(以后再做).

然后到http://www.freeswan.org/ 上下载freeswan-1.5.tar.gz(七月二号出的最新版), 把这个文件放到/usr/src/目录下, 运行tar zxvf freeswan-1.5.tar.gz解开, 这时候会出现一个新的目录/usr/src/freeswan-1.5/, 所有的freeswan的源代码和各种文件都在这个目录下.

这时候切记当前目录是/usr/src/freeswan-1.5/, 运行make menugo; 在网络部分, 确定所有IPsec的部分都被选上. 退出菜单, 保存新内核的设置, 注意!!!即使你什么也没改, 也必须save, 否则IPsec不会启动.

现在你需要用新的内核启动, 运行

cp /usr/src/linux-2.2.14/arch/i386/boot/bzImage /boot/vmlinuz-2.2.14 将bzImage移到

     /boot目录下. 然后运行cp /usr/src/linux-2.2.14/System.map /boot/System.map-2.2.14来创

     建新的System.map文件. 最后在/usr/src/linux-2.2.14/下运行make modules; make

     modules_install. 编辑/etc/lilo.conf, 将新的内核放到最前面, 运行lilo使之生效.

           重新启动, 你将会看到

          IPSec running under FreeS/WAN 1.5 will start up

          ipsec0 start up

等字样, 如果没有的话, 说明安装不正确, 需要重新安装.

 (2). VPN的配置

l ipsec.conf 文件 (/etc/ipsec.conf)

现在IPsec已经装好了, 我们需要用它来配置VPN. 典型的, 我们需要两个网关, 不必

关心那个是左边的, 那个是右边的, 只要记住它们是一对, 就好像两个克隆人. 让我们看看下面的例子:

Left Net ===== Left Gate --------------------------- Right Gate ===== Right Net
                                Internet

有关信息如下: