networkmanager-strongswan vpn - 透過 VPN 路由特定 IP

Question

史壯斯萬使用策略路由，透過策略配置xfrm：

此dir out策略規定如何處理來自172.26.199.18/32至的資料包0.0.0.0/0：它們需要加密並透過 VPN 隧道傳送。
dir in和策略dir fwd規定當加密資料包進入時要做什麼0.0.0.0/0。172.26.199.18/32明文資料包不受此限制。

為了限制 VPN 網路的使用，您有以下三種解決方案：

這些規則中出現的網路是您的 IKE 伺服器與遠端伺服器之間協商的。 NetworkManager 外掛程式始終建議在your_ip/32和之間建立一條隧道0.0.0.0/0。如果遠端伺服器提出建議0.0.0.0/0，則10.0.0.0/8產生的連線將是：your_ip/32和之間10.0.0.0/8。因此，您需要要求遠端端點的管理員正確配置他的 IKE 守護程式。

您可以放棄使用 NetworkManager 作為 VPN 隧道，安裝卡戎系統d並建立一個簡單的設定檔（例如/etc/swanctl/conf.d/my_vpn.conf）：

connections {
    my_vpn {
        version = 2
        local_addrs=%any
        remote_addrs=vpn********.it
        local {
            auth = eap
            eap_id = your_username
        }
        remote {
            auth = pubkey
            id = server_name
        }
        children {
            my_tunnel {
                #local_ts = dynamic
                remote_ts = remote_network
            }
        }
    }
}

重新載入守護程序 ( systemctl reload strongswan-swanctl) 並執行：

swanctl --initiate --ike my_vpn --child my_tunnel

新增您自己的策略，其priority值小於自動安裝的值，這將允許未加密的流量，例如：

ip xfrm policy add src your_ip/32 dst 192.0.2.0/24 \
    dir out priority 1000
ip xfrm policy add src 192.0.2.0/24 dst your_ip/32 \
    dir in priority 1000

這將允許明文流量到達192.0.2.0/24.

Answer 1