如何使用IPSecVPN实现多端接入家庭网络

通过互联网快速接入家庭网络，实现文件存取，远程控制，是家庭网络日常使用中的典型场景。HomeLede推荐使用IPSec VPN来实现远程接入。不同于OpenVPN、PPTP，softethervpn、ZeroTier等方案，IPSec VPN 被目前主流操作系统原生支持，也就是说在IOS、Android、Windows、Mac OS上，均可以直接接入，而不需要额外安装软件，极大地简化了接入家庭网络的过程。

本方案实施前提：

具有公网IP地址（支持IOS、Android、MacOS接入）
具有公网IP地址，具备域名（通常是DDNS），具备证书。（支持Windows接入）

OpenWrt原生的IPSecVPN应用只支持IOS、Android设备接入，并不支持Windows10接入，HomeLede为此对现有应用进行了增强，于HomeLede v2020.06.20 上线了两款应用：

IPSec VPN 服务器增强版。修改自Lienol的IPSec VPN Server多用户版。增强了如下功能：
- 支持IKEv2协议与Mschapv2认证，装备证书后实现Windows10接入。
- 支持自定义VPN客户端IP地址
- 支持自定义VPN客户端DNS
- 支持VPN客户端直接使用家庭网络IP（直接使用家庭网络DHCP）
IPSec VPN 服务器Docker版。HomeLede原创，功能与第一款类似，不过VPN Server运行在Docker中。
- 支持IKEv2协议与Mschapv2认证，装备证书后实现Windows10接入。
- 支持自定义VPN客户端IP地址
- 支持自定义VPN客户端DNS
  
  不支持使用家庭网络IP（此模式下无意义）

看到这里，相信大家会有疑惑，类似的功能，为什么要制作两款应用？

如果您的需求仅仅是接入家庭网络，访问家庭内网的NAS、服务器、打印机，控制家庭设备等等，两款应用完全胜任。如果您仅仅是刚才这些需求，直接使用——IPSec VPN 服务器增强版——即可。

但还有不少用户除了上面需求之外，还希望通过接入家庭网络，使用家庭网络中各种分流软件（PSW、Clash）等访问互联网。经测试，分流软件并不能很好的处理来自VPN客户端的访问流量，很大概率会造成路由器内核崩溃导致重启。因此如果您除了接入家庭之外，还想利用家庭网络的分流软件访问互联网，则需要使用——IPSec VPN 服务器Docker版。

HomeLede v2020.06.20版本内置了两款VPN应用。默认情况下，IPSec VPN 服务器Docker版处于隐藏状态，如果您想使用Docker版本，请在登录路由管理界面后，在浏览器中输入http://192.168.1.1/cgi-bin/luci/admin/vpn/strongswanInDocker/show，则Docker版本就会显示到菜单中（连接中HomeLede路由器的地址，请根据你实际情况调整）。如下：

IPSec VPN的Docker镜像并没有装载到固件中，需要进行下载。IPSecVPN Server Docker 版本内置了下载器。下载器默认会从GitHub上进行下载（大约66M）。也可以尝试使用docker pull xiaoqingfeng999/strongswan:5.8.4命令，从DockerHub中央仓库下载。

如果网络情况不佳，可以使用码云，访问：https://gitee.com/xiaoqingfeng999/luci-app-strongswanInDocker/tree/dockerImages/dockerImage 下载xiaoqingfeng999-strongswan-5.8.4.7z，使用7z解压后，得到xiaoqingfeng999-strongswan-5.8.4.tar。上传到路由后，使用 docker load < xiaoqingfeng999-strongswan-5.8.4.tar 加载到路由Docker镜像库，最后执行 docker tag 481894b7280b xiaoqingfeng999/strongswan:5.8.4命令完成对镜像标记。

注意：操作前，请设置好Docker根目录，保证Docker根目录有足够空间。Docker根目录不应使用固件内置空间。确认空间方法，请参考下图。

现在演示使用IPSec VPN 服务器Docker版镜像下载器下载镜像的过程。

点击“启动下载”等候几秒，确认下载器提示“正在下载”，下方的日志窗内开始滚动下载进度。

如果顺利，镜像会自动加到Docker镜像库，此时IPSec VPN 服务器Docker版状态不再提示“IPSec VPN Docker镜像不存在”，而是“未运行”，镜像下载器会自动隐藏。

接下来介绍开启IKEv2连接，实现Windows10接入方法。

Windows10 要求VPN服务端具备证书，证书需要关联在域名上。因此请确认正确设置了DDNS服务（保证域名指向家庭路由公网地址），另外已经具备了由可信证书颁发机构签发的证书（目前免费签发证书的有：TrustAsia的单域名证书，有效期1年，Let's Encrypt 的多域名，有效期三个月，可使用 https://keymanager.org/ 站点统一申请）。

导入证书

目前免费证书均会按照服务器类型提供证书文件，通常选择Apache格式即可。

打开Apache证书目录，其中ca_bundle.crt是证书签发机构的证书，此外还会根据你申请的域名，有两个文件，类似下图中的home开头的两个文件。其中。“域名-数字.crt”是你的域名证书，“域名-数字_key.key”是你域名证书的私钥。

将你的域名证书改名为SERVER.crt（注意大小写），证书私钥改名为KEY.key。

将证书上传到路由。其中ca_bundle.crt上传到/etc/strongswanInDocker/ipsec.d/cacerts，SERVER.crt上传到/etc/strongswanInDocker/ipsec.d/certs，KEY.key上传到/etc/strongswanInDocker/ipsec.d/private。目录不存在请创建。