# ipsec showhostkey --right
rightrsasigkey=0sAQPCb+Wdc7......
3,配置客户端和VPN服务器的ipsec.conf主配置文件
先在出差用户的笔记本上(192.168.100.6)配置
# vim /etc/ipsec.d/roadwarrior.conf --手动增加这个子配置文件
conn zhangsan
left=%defaultroute --因为在外出差,酒店的公网IP不固定,所以这里直接指向你的网关就行
leftid=@zhangsan --对你的笔记本做一个标识ID,只要和vpn服务器不一样就行,名字随意
leftrsasigkey=0sAQO8q6mzHW...... --这里的leftkey就是在员工笔记本上得到的key(你在笔
记本上--left和--right显示的key是一样的)
right=192.168.72.129 --VPN服务器公网IP,要求IP是固定的
rightid=@vpnserver --vpn服务器的标识ID,名字随意
rightsubnet=192.168.101.0/24 --公司的内网网段(再次提一下,192.168.101.0实际上是公
网网段,我这里是实验环境而已)
rightrsasigkey=0sAQPCb+Wdc7..... --这里是rightkey就是在VPN服务器上得到的key(使用-
-left和--right也是一样的,同一台服务器左和右显示的key是一样的)
auto=start --表示启动服务时,自动连接.如果笔记本chkconfig ipsec on,那么开机就会自动vpn
连上公司
再在vpn服务器(192.168.72.129)上配置
# rm /etc/ipsec.d/sz-to-bj.conf -rf --先删除前面实验的配置文件
# vim /etc/ipsec.d/roadwarrior.conf --加上下面一段
conn zhangsan
left=192.168.72.129 --这里VPN服务器公网IP(注意这里left和right换了角色了,在这里
vpnserver为left,出差客户端为right)
leftid=@vpnserver
leftsubnet=192.168.101.0/24
leftrsasigkey=0sAQPCb+Wdc7...... --这是vpn服务器上--left得到的key,和--right是一
样的key(只是前面的前缀不一样而已)
right=%any --因为不知道客户端的公网IP(动态的),所以用%any
rightsubnet=vhost:%priv,%no --这句话很重要,如果出差用户是在一个NAT后面(在路由器后
面).也就是说出差用户用的是私网IP,那么这句话就是支持这种情况用的
rightid=@zhangsan
rightrsasigkey=0sAQO8q6mzH...... --这是出差用户--right得到的key,和--left是一样
auto=start
4,vpn服务器和用户客户端都启动服务
# systemctl start ipsec.service
5,测试
vpn服务器还是随便指一个网关(这个问题在上例中有解释)
客户端(192.168.100.6)就可以ping通192.168.101.5这个公司内网了