1.准备阶段

最近对VPN很感兴趣（虽然我不用）于是乎想利用虚拟机的虚拟网络来，搭建一个site to site 的VPN通信环境来连接两个内网（先用虚拟机来试验试验），我对虚拟机的虚拟网段的IP进行了更改（为了方便记忆），vmnet1为192.168.10网段、vmnet2为192.168.20网段······以此类推。

其网络的拓扑图如下（vmnet8为虚拟机里net模式的虚拟网络，具体在虚拟网络编辑器里设置）

如图，两个内网网段分别是

left：192.168.10.0/24

right：192.168.20.0/24

左右两个VPN服务器都有两个网卡，一个为内网的，另一个为外网的（vmnet8），其地址在图中已表示。图中用一个路由器来表示两个服务器在外网网段内的连接（其实简化了许多）。

PS：在vmware虚拟机上添加网卡（默认只有一个）

打开虚拟机后，在开启的下面，点击编辑虚拟机设置，在弹出的对话框中点击添加，选择网络适配器即可，之后在编辑虚拟机的对话框内，设置两个网卡一个为vmnet8，一个为vmnet1(另一个vmnet2)。

接下来开启虚拟机，打开之后先用ifconfig看一下有没有地址配上，如果发现网卡（我的是ens33与ens37）下面没有IP地址相匹配，则需要修改一下配置

#vi /etc/sysconfig/network-scripts/ifcfg-ens33

将里面的ONBOOT=no改为ONBOOT=yes

之后再重启一下network就行了

#systemctl restart network

再ifconfig就正常了，记住两个网卡的IP地址之后要用。

接下来开启数据转发：

# vim /etc/sysctl.conf

对这个文件进行改动添加：

net.ipv4.ip_forward = 1
net.ipv4.conf.default.rp_filter = 0

net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.default.send_redirects = 0

添加这些就可以了（有些情况下不添加好像也行，还是保险些吧>>_>>）,接下来是关闭icmp重定向

# sysctl -a | egrep "ipv4.*(accept|send)_redirects" | awk -F "=" '{print$1"= 0"}' >> /etc/sysctl.conf

之后再运行

# sysctl -p

运行完这个后会发现/etc/sysctl.conf中又会多出一些多东西那些是系统自动生成的关于自身网卡的

最后我们关闭SELinux，准备工作就结束了！

#setenforce 0

2.下载openswan（libreswan）与xl2tpd

在centos上我是直接用yum 下载的，首先安装epel源，要不你下载openswan与xl2tpd是会显示没有这个包

yum install https://dl.fedoraproject.org/pub/epel/epel-release-latest-7.noarch.rpm

安装完后直接yum正常下载就行了

#yum install openswan -y

#yum install xl2tpd

安装往后细心的会发现我们安装是libreswan，其实与openswan 都差不多，这个不用细究。

我们可以先启动一下ipsec与xl2tpd 看看有没有什么问题（这个阶段一般不会有问题，不过还是启动一下看一看）

#systemctl start ipsec

#systemctl start xl2tpd

#ipsec verify 来验证一下是这个样子的：

如果不能正常启动那就卸了重装。

接下来通过netstat -anp可以看到openswan 监视再500与4500端口：

#netstat -anp

3.服务端配置相关文件

在这里我们采用基于RSA的数字签名算法的认证方式，首先我们初始化NSS数据库：/etc/ipsec.d中，

#ipsec initnss --nssdir /etc/ipsec.d

之后再生成新的本机密钥

#ipsec newhostkey --output /etc/ipsec.secrets

这里的ckaid 后面的一大串字符要记录下来之后有用

之后再生成本机的公钥，这里为right的服务器上：

#ipsec showhostkey --right --ckaid "上面CKAID后面的字符串"

当在左边的服务器是把上面的 --right 改为 --left，在这里的rightrsasigkey(leftrsasigkey)要记录下来之后的配置文件里都要用到。

接下来在/etc/ipsec.d/文件下创建自己的连接配置文件mytunnel.conf，这个是两个服务器VPN通信的配置文件

#touch /etc/ipsec.d/mytunnel.conf

接着开始编写这个配置文件:

上面的rightrsasigkey(leftrsasigkey)为刚刚生成的服务器的公钥，到时候传输过程中会利用这个公钥进行加密以保证安全

left与right分别为两个服务器位于80（vmnet8）网段的网卡的地址（之前记录过），leftsubnet(rightsubnet)为服务器另两个网卡所属的想要利用VPN进行通信的两个内网的地址（本例中为10网段与20网段）。leftnexthop(rightnexthop)设置为默认路由就行了，auto设置为start，到时候启动ipsec时就会自动引入mytunnel配置文件。

接下来修改/etc/ipsec.conf文件

#vi /etc/ipsec.conf

在virtual下面加上这三个就行了：(virtual的值不要改动！！)