CentOS6.3下使用OpenSWAN做IPSecVPN的RoadWarrior模式

OpenSWan有两种连接方式：

1) Network-To-Network方式

顾名思义，Network-To-Network方式是把两个网络连接成一个虚拟专用网络。当连接建立后，每个子网的主机都可透明地访问远程子网的主机。

要实现此种连接方式，要满足以下两个条件：

I. 每个子网各自拥有一台安装有OpenSWan的主机作为其子网的出口网关;

II.每个子网的IP段不能有叠加

2) Road Warrior方式

当使用Network-To-Network方式时，作为每个子网网关的主机不能像子网内部主机那样透明访问远程子网的主机，也就是说：

如果你是一个使用Laptop的移动用户，经常出差或是在不同的地点办公，你的Laptop将不能用Network-To-Network方式与公司网络进行连接。

Road Warrior方式正是为这种情况而设计的，连接建立后，你的Laptop就可以连接到远程的网络了。

OpenSWan主要配置文件
/etc/ipsec.secrets 用来保存private RSA keys 和 preshared secrets (PSKs)
/etc/ipsec.conf 配置文件(settings, options, defaults, connections)
OpenSWan主要配置目录
/etc/ipsec.d/cacerts 存放X.509认证证书（根证书－"root certificates"）
/etc/ipsec.d/certs 存放X.509客户端证书（X.509 client Certificates）
/etc/ipsec.d/private 存放X.509认证私钥（X.509 Certificate private keys）
/etc/ipsec.d/crls 存放X.509证书撤消列表（X.509 Certificate Revocation Lists）
/etc/ipsec.d/ocspcerts 存放X.500 OCSP证书（Online Certificate Status Protocol certificates）
/etc/ipsec.d/passwd XAUTH密码文件（XAUTH password file）
/etc/ipsec.d/policies 存放Opportunistic Encryption策略组（The Opportunistic Encryption policy groups）

在本例中我实现了Road Warrior 模式，环境描述如下：

VPN client（192.168.136.93） <---> VPN server（双网卡：192.168.136.197 10.1.5.254） <---> 子网客户机（10.1.5.110）

Openswan支持许多不同的认证方式，包括RSA keys、pre-shared keys、XAUTH、x.509证书方式。

在本例中我实现了RSAsig认证和x.509证书认证。下面分别描述如何配置：

RSAsig认证方式配置

生成一个新的RSA密钥对

#ipsec newhostkey --output /etc/ipsec.secert

按left或right格式生成RSA Sig

#ipsec showhostkey --left（或--right）

分别记录好left和right的RSA Sig

分别编辑 client和server的/etc/ipsec.conf文件。

VPN client 的ipsec.conf文件内容：

conn block        auto=ignoreconn private        auto=ignoreconn private-or-clear        auto=ignoreconn clear-or-private        auto=ignoreconn clear        auto=ignoreconn packetdefault        auto=ignore

遗留的问题

在Road Warrior模式下由于服务端不知道是那个客户端来接入，所以需要right=%any。但在证书认证方式时如果这么配置会出错：no suitable connection for peer '192.168.136.93'。因此必须指定right的IP地址和证书。这样感觉好像不太对，但目前还没找到具体原因。