一、实验背景与目标

在分布式系统部署中，企业常面临跨网络边界的安全通信需求。当通信双方处于不同网络区域（如总部与分支机构），且中间存在防火墙和NAT设备时，传统VPN方案可能因地址转换或安全策略限制而失效。IPSEC VPN通过加密隧道和身份验证机制，能够在复杂网络环境下实现安全通信。本实验旨在验证IPSEC VPN在以下场景的可行性：

1. 防火墙穿透场景：通信双方位于不同防火墙策略控制的网络中，需通过安全策略放行特定流量。
2. NAT转换场景：通信双方或一方处于私有IP地址空间，需通过NAT设备访问公网，且需解决IPSEC对NAT的不兼容问题。

实验通过模拟真实企业网络环境，验证IPSEC VPN在复杂条件下的通信稳定性，为实际部署提供参考。

二、实验环境配置

1. 网络拓扑设计

实验采用双节点拓扑：

• 节点A：私有IP（192.168.1.100），位于防火墙FW1内侧，通过NAT设备（公网IP：203.0.113.10）访问外网。
• 节点B：公有IP（203.0.113.20），位于防火墙FW2内侧，直接连接公网。
• 中间网络：模拟运营商网络，部署防火墙FW1和FW2，配置策略限制仅允许IPSEC相关协议（ESP、ISAKMP）通过。

2. 软件与协议选择

• 操作系统：Linux（Ubuntu 22.04），使用strongSwan作为IPSEC实现工具。
• 协议组合：
  • IKEv2：用于密钥交换，支持NAT-T（NAT Traversal）扩展。
  • ESP：封装加密数据，启用esp=aes256-sha256-modp2048加密套件。
  • NAT-T：通过UDP 4500端口传输IPSEC流量，解决NAT环境下的地址转换问题。

3. 防火墙规则配置

FW1（节点A侧）

# 允许ISAKMP（UDP 500）和NAT-T（UDP 4500）
iptables -A INPUT -p udp --dport 500 -j ACCEPT
iptables -A INPUT -p udp --dport 4500 -j ACCEPT
# 允许ESP协议（IP协议50）
iptables -A INPUT -p esp -j ACCEPT

FW2（节点B侧）

配置与FW1对称，确保双向通信。

三、IPSEC VPN配置详解

1. 节点A配置（NAT环境）

# /etc/ipsec.conf 核心配置
conn nat-tunnel
    left=192.168.1.100       # 私有IP
    leftsubnet=192.168.1.0/24 # 本地子网
    leftauth=pubkey          # 使用证书认证
    leftcert=nodeA.crt
    right=203.0.113.20       # 节点B公网IP
    rightsubnet=192.168.2.0/24 # 远程子网
    rightauth=pubkey
    rightcert=nodeB.crt
    auto=start
    keyexchange=ikev2
    ike=aes256-sha256-modp2048!
    esp=aes256-sha256-modp2048!
    # 启用NAT-T
    forceencaps=yes

关键参数说明

• forceencaps=yes：强制使用UDP封装，解决NAT设备对ESP协议的拦截问题。
• leftid=@nodeA.example.com：指定身份标识，需与证书主题一致。

2. 节点B配置（公网环境）

conn nat-tunnel
    left=203.0.113.20
    leftsubnet=192.168.2.0/24
    leftauth=pubkey
    leftcert=nodeB.crt
    right=203.0.113.10        # 节点A的NAT公网IP
    rightsubnet=192.168.1.0/24
    rightauth=pubkey
    rightcert=nodeA.crt
    auto=start
    keyexchange=ikev2
    ike=aes256-sha256-modp2048!
    esp=aes256-sha256-modp2048!

3. 证书与密钥生成

使用openssl生成自签名证书：

# 生成CA证书
openssl req -new -x509 -keyout ca.key -out ca.crt -days 3650
# 生成节点A证书
openssl req -newkey rsa:2048 -keyout nodeA.key -out nodeA.csr
openssl x509 -req -in nodeA.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out nodeA.crt -days 3650
# 节点B证书生成步骤类似

四、实验过程与结果分析

1. 隧道建立阶段

• IKEv2协商：节点A通过UDP 500端口发起IKE_SA_INIT交换，NAT设备将源IP转换为公网IP（203.0.113.10）。
• NAT-T检测：双方通过NAT-D负载（包含原始IP和端口）确认存在NAT，自动切换至UDP 4500端口传输。
• CHILD_SA建立：协商ESP加密参数，生成会话密钥。

日志验证：

# 查看strongSwan日志
journalctl -u strongswan -f
# 输出示例：
# "NAT-Traversal: Received NAT-OA (old style)"
# "selected protocol: ESP with UDP encapsulation"

2. 数据传输测试

• Ping测试：从节点A（192.168.1.100）ping节点B子网主机（192.168.2.100）。

  ping -I 192.168.1.100 192.168.2.100
  # 预期结果：ICMP包通过ESP隧道封装，成功率100%

• TCP传输测试：使用iperf3测试带宽。

  # 节点A（客户端）
  iperf3 -c 192.168.2.100 -i 1 -t 30
  # 节点B（服务端）
  iperf3 -s -D
  # 预期结果：吞吐量达到网络基准值的90%以上

3. 防火墙阻断测试

• 模拟防火墙误配置：在FW1上阻断UDP 4500端口。

  iptables -A INPUT -p udp --dport 4500 -j DROP

• 现象：隧道在30秒内重协商失败，日志显示"UDP_ENCAPSULATION receive error"。
• 恢复测试：放行端口后，隧道自动恢复。

五、常见问题与解决方案

1. NAT-T不生效

• 现象：日志显示"no NAT-T support detected"。
• 原因：
  • 一方未启用forceencaps=yes。
  • 防火墙阻断UDP 4500端口。
• 解决：
  • 确认双方配置包含forceencaps=yes。
  • 检查防火墙规则，放行UDP 4500。

2. 证书认证失败

• 现象：日志显示"authentication of '...' with pre-shared key failed"。
• 原因：
  • 证书主题（Subject）与配置的leftid/rightid不匹配。
  • 证书过期或未正确部署。
• 解决：
  • 重新生成证书，确保主题包含域名（如CN=nodeA.example.com）。
  • 检查证书路径权限（/etc/ipsec.d/certs/需可读）。

3. 隧道频繁断开

• 现象：日志显示"IKE_SA lifetime expired"。
• 原因：
  • IKE_SA或CHILD_SA生命周期设置过短。
  • 网络抖动导致心跳包丢失。
• 解决：
  • 修改/etc/ipsec.conf，增加生命周期：

    ikelifetime=24h
    salifetime=1h
    rekey=yes

  • 调整DPD（Dead Peer Detection）参数：

    dpdaction=restart
    dpddelay=30s
    dpdtimeout=120s

六、实验结论与建议

1. 实验结论

• 防火墙穿透：通过精确配置防火墙规则放行IPSEC关键协议（ESP、ISAKMP、NAT-T），可实现安全通信。
• NAT兼容性：启用NAT-T后，IPSEC VPN能正确处理地址转换，但需确保中间设备支持UDP 4500封装。
• 稳定性：在合理配置生命周期和DPD参数后，隧道可长期稳定运行。

2. 实际部署建议

• 防火墙策略优化：仅放行必要的IPSEC端口（UDP 500/4500、IP协议50），减少攻击面。
• 证书管理：使用企业级CA签发证书，避免自签名证书的信任问题。
• 监控告警：部署strongSwan的charon-systemd监控，实时捕获隧道状态变化。
• 高可用设计：对于关键业务，可配置双活VPN网关，通过BGP动态路由实现故障切换。

3. 扩展场景

• 多NAT环境：当通信双方均处于NAT后时，需确保至少一方支持NAT-T，且中间网络允许UDP 4500转发。
• IPv6过渡：在IPv4/IPv6混合网络中，可使用IPSEC over IPv6隧道，配置类似，但需替换地址族参数。

通过本实验，开发者可深入理解IPSEC VPN在复杂网络环境下的工作原理，为实际项目中的安全通信设计提供可靠方案。