StrongSwan IPSec IKEv2配置中的常见错误及解决方案：从NO_PROPOSAL_CHOSEN到证书问题

StrongSwan IPSec IKEv2配置实战：从零到一构建企业级安全隧道

在构建现代远程办公或跨地域网络互联方案时，一个稳定、安全且高效的虚拟专用网络（VPN）是基石。IPSec IKEv2协议因其出色的安全性、连接稳定性和广泛的平台原生支持，成为许多技术决策者的首选。而StrongSwan作为Linux平台上功能最全面的开源IPSec实现之一，结合OpenWrt的灵活性，为我们提供了一个极具性价比的部署方案。然而，从理论到实践，从配置文件到稳定运行的隧道，中间往往横亘着无数个“坑”。这篇文章不是一份简单的操作手册，而是我结合多次在OpenWrt上部署和调试StrongSwan IKEv2的经验，为你梳理的一份实战指南。我们将深入配置细节，剖析常见错误背后的逻辑，并提供清晰的排错思路，目标是让你不仅能“配通”，更能“配懂”。

1. 环境准备与核心概念澄清

在动手敲下任何命令之前，理解几个核心概念能帮你避开至少一半的配置陷阱。IPSec IKEv2的配置涉及两个阶段：IKE_SA_INIT（建立安全关联）和IKE_AUTH（身份认证）。第一阶段协商加密套件、交换密钥材料；第二阶段验证对端身份，建立最终的IPSec安全关联（CHILD_SA）。StrongSwan的配置，无论是传统的ipsec.conf还是新一代的swanctl.conf，其核心逻辑都是围绕这两个阶段展开的。

对于OpenWrt环境，你需要明确几个前提：

• 系统版本：强烈建议使用OpenWrt 22.03或更高版本。这些版本对StrongSwan 5.9.x+和swanctl工具链的支持更完善，社区资源也更丰富。
• 软件包选择：不要安装strongswan基础包，它可能缺少关键模块。直接安装strongswan-full，它包含了绝大多数你可能需要的插件。
• 网络角色：明确你的OpenWrt设备是作为网关（服务端） 为远程客户端（如手机、笔记本）提供接入，还是作为站点（客户端） 与另一个站点建立点对点隧道。这两种场景的配置侧重点不同。

注意：从OpenWrt 21.02开始，官方更推荐使用基于swanctl的配置方式（对应UCI配置文件/etc/config/ipsec），而非传统的ipsec命令和ipsec.conf。前者与OpenWrt的配置管理系统集成更好，管理起来更直观。本文后续的配置示例将主要基于swanctl（UCI）方式。

一个容易被忽略但至关重要的准备工作是检查并安装必要的内核模块和工具：

# 更新软件源并安装完整版StrongSwan
opkg update
opkg install strongswan-full

# 安装ip-full工具，ip-tiny可能缺少xfrm相关命令
opkg install ip-full

# 安装xfrm支持，这对于创建虚拟隧道接口至关重要
opkg install kmod-xfrm-interface

安装完成后，建议先禁用旧的ipsec服务，启用新的strongswan服务：

/etc/init.d/ipsec disable
/etc/init.d/ipsec stop
/etc/init.d/strongswan enable
/etc/init.d/strongswan start

2. 证书体系构建：安全连接的信任基石

使用证书进行双向或服务端认证，是比预共享密钥（PSK）更安全、更易于管理的方案。虽然步骤稍多，但一劳永逸。整个过程可以概括为：生成自签名CA -> 用CA签发服务器证书 -> （可选）用CA签发客户端证书。

2.1 生成私有CA证书

CA证书是整个信任链的根。我们将它生成在/etc/ipsec.d/cacerts/目录下。

# 切换到证书目录
cd /etc/ipsec.d/

# 生成CA私钥（4096位RSA，足够安全）
ipsec pki --gen --type rsa --size 4096 --outform pem > private/ca.key.pem

# 用私钥自签名生成CA证书，有效期10年
ipsec pki --self --ca --lifetime 3650 \
  --in private/ca.key.pem \
  --type rsa \
  --dn "C=CN, O=MyOrg, CN=My VPN Root CA" \
  --outform pem > cacerts/ca.cert.pem

这里--dn（可识别名称）的参数可以根据你的组织修改。C是国家代码，O是组织名，CN是通用名称。

2.2 生成服务器证书

服务器证书需要由刚才创建的CA签发，并且必须包含服务器的公网IP或域名作为主题备用名称（SAN），这是很多连接失败问题的根源。

# 生成服务器私钥
ipsec pki --gen --type rsa --size 4096 --outform pem &g