6.10. 配置 IPsec VPN 以使用 TCP

Libreswan 支持 IKE 和 IPsec 数据包的 TCP 封装，如 RFC 8229 所述。有了这个功能，您可以在网络上建立 IPsec VPN，以防止通过 UDP 和封装安全负载(ESP)传输的流量。您可以将 VPN 服务器和客户端配置为使用 TCP 作为回退，或者作为主 VPN 传输协议。由于 TCP 封装的性能成本较高，因此只有在您的场景中需要永久阻止 UDP 时，才使用 TCP 作为主 VPN 协议。

先决条件

流程

  1. 在 /etc/ipsec.conf 文件的 config setup 部分中添加以下选项： 

    listen-tcp=yes

  2. 要在第一次尝试 UDP 失败时使用 TCP 封装作为回退选项，请在客户端的连接定义中添加以下两个选项： 

    enable-tcp=fallback
tcp-remoteport=4500

    另外，如果您知道 UDP 会被永久阻止，请在客户端的连接配置中使用以下选项： 

    enable-tcp=yes
tcp-remoteport=4500

其他资源