本文某个不可描述词由于不可描述原因用WePN代替。
转载自：http://vinqon.coding.me/2017/02/23/strongswan_ikev2/

之前根据CentOS/Ubuntu一键安装IPSEC/IKEV2 WePN服务器（https://quericy.me/blog/699/） 搭建一个WePN服务器，这套方案里面提供了两种方式连接IPSec（即IKEv1）和IKEv2，前者可以通过帐号、密码以及密钥PSK 即可连接，比较方便。后者需要证书，比较麻烦。所以我使用了IPsec作为iOS客户端产品的最终方案。

最近突然想起这件事情，加上之前调研的实践让我记得IKEv2方案其实更加安全并且稳定。『稳定』的表现是，可以在切换网络依然保持WePN不断开，这是一种不错的体验。所以，打算把目前方案迁移为IKEv2，所以做了一下调研。

首先是『无证书』问题。对于IKEv2，之前有了解到是可以实现无证书连接，这点很重要，不然得引导用户安装证书才能连接，体验会很差。今天用了一些时间调研，大概有下面这些方案：

服务器使用自签发证书，客户端需要提前安装配套证书
服务器使用CA证书，则客户端则可免证书
服务器使用PSK密钥验证，客户端添加带PSK的WePN配置描述文件
服务器使用PSK密钥验证，客户端通过程序添加带PSK的WePN配置
1和2这两个方案都不是真正的免证书，它们出现在很多文章里，但这里的『无证书』并不是指完全不用证书，而是是指客户端连接之前不需要配置证书，但服务器端依然需要。根据用 strongSwan 搭建免证书的 IKEv2 WePN 一文描述，确实可以通过PSK密钥代替证书实现服务器和客户端都无证书的方案（方案3），但是这个方案在设置GUI中无法配置，只能通过添加描述文件来配置，挺扯蛋的。但是，我发现这个办法在通过程序配置也是可以的，也就是第4个方案，网上没有找到任何人提出这个方案，我后面会详细介绍。

因为只有2和4方案是无需用户做额外配置，所以下面只讨论这两种方案。另外，需要说明的是，这些方案只有iOS客户端验证成功，其他客户端理论可行，欢迎反馈。

方案一/服务器使用CA证书
首先，弄个CA证书，CA证书很多免费的，这边查到了比较多人使用的是Let’s Encrypt SSL，但是有一个缺点就是需要定时续期。以下是配置步骤：

1.安装Let’s Encrypt SSL的客户端
git clone https://github.com/letsencrypt/letsencrypt cd letsencrypt ./letsencrypt-auto --help

1)、如果提示Git命令无效的话，需要安装一下git，直接执行命令 yum install git-all 完成安装
2)、如果是RedHat/CentOs6系统的话，需要提前安装EPEL（Extra Packages for Enterprise Linux），执行命令 yum install epel-release

2.执行客户端申请证书，按照提示输入邮箱和域名就完成了

./letsencrypt-auto certonly --server https://acme-v01.api.letsencrypt.org/directory --agree-dev-preview

3.证书三个月后就过期，可以设定一个定时器，执行以下续期脚本

sudo ~/.local/share/letsencrypt/bin/letsencrypt renew
4.把证书全部复制到strongswan一键安装脚本目录
cp chain.pem /root/ca.cert.pem # 包括根证书的链证书 cp cert.pem /root/server.cert.pem # 服务器证书 cp privkey.pem /root/server.pem # 服务器私钥
5.然后就是安装Strongswan了，注意两点：
1) 证书选择自己导入证书，否则脚本会自己生成自签发证书；

2) 安装完之后，需要去/usr/local/etc/ipsec.conf修改leftid，leftid需要和证书的域名保持一致，域名可以不指向本机IP，就是说一个有效证书可以用在多个Strongswan WePN的服务器上；

6. 启动Strongswan之后，就用手机连接了。下面是系统WePN设置页面的配置Demo；

用户名和密码修改路径：/usr/local/etc/ipsec.secrets

重新加载用户名密码文件：ipsec rereadsecrets