IPsec VPN/手機端設置方法
本文的設置基於pfsense2.34，已經過測試並在各種Android和iOS設備上正常工作。
IPsec服務器設置
在pfSense防火墻端進行設置
Mobile Clients
· 導航到 VPN > IPsec, Mobile Clients選項卡
· 設置 Enable IPsec Mobile Client Support（啟用IPsec移動客戶端支持）
· 選中 Provide a virtual IP address to clients（為客戶端提供虛擬IP地址）
· 在框中輸入未使用的子網，選擇子網掩碼
· 設置任何其他所需的選項
· 單擊Save（保存）
· 單擊Apply Changes（應用更改）
· 單擊Create Phase1 (如果出現)
Phase 1 設置
· 導航到 VPN > IPsec
· 在列表中找到移動Phase 1
· 單擊 
編輯移動Phase 1
· 輸入以下設置：
· Authentication method：Mutual PSK + Xauth
· Negotiation mode：aggressive
· My identifier
· Peer identfier： User Distinguished Name, [email protected]
· Pre-Shared Key： aaabbbccc (使用更長並且隨意的密碼)
· Policy Generation： Unique
· Proposal Checking： Strict
· Encryption Algorithm：AES 128
· Hash Algorithm： SHA1
· DH Key Group： 2
· Lifetime： 86400
· NAT Traversal： Force
· 單擊Save
Phase 2 設置
· 單擊 顯示Phase 2記錄
· 單擊 添加Phase 2
· 輸入以下設置：
· Mode： Tunnel
· Local Network： (本地網絡，例如：LAN或0.0.0.0/0通過VPN發送所有類容)
· Protocol： ESP
· Encryption Algorithms： AES 128 *only*
· Hash Algorithms： SHA1 *only*
· PFS key group： off
· Lifetime： 28800
· 如果有必要，為其他本地網絡添加其他phase 2條目
· 單擊 Save
· 單擊Apply Changes
用戶設置
· 導航到System > User Manager
· 添加用戶，給用戶授予User – VPN：– IPsec Xauth Dialin權限，或將其添加到具有此權限的組中。
· 請註意，對於認證用戶，使用的密碼是用戶的密碼，而不是“IPsec預共享密鑰”字段。 這用於非認證的IPsec。
防火墻規則
不要忘了添加防火墻規則以允許客戶端傳入的流量
· 導航到Firewall > Rules, IPsec選項卡
· 添加與許的流量相匹配的規則，或添加規則以通過任何協議/任何源/任何目的地並允許所有內容。
IPsec SA 偏好
· 導航到System > Advanced, Miscellaneous 選項卡
· 取消選中 Prefer Old IPsec SA
手機設置 (安卓Android)
註意：這些設置不存在於所有Android設備上。 有關更多信息，請參閱Android VPN連接。
· 進入設置, 網絡 & 無線，VPN 設置，高級IPsec VPNs
· 點菜單按鈕，然後添加。
· 連接模版： PSK v1 (AES, xauth, aggressive)
· VPN名稱：pfSense VPN (或其他描述)
· VPN 服務器：IP地址或服務器
· 預授權密鑰類型： text
· 預預授權密鑰： Phase 1上設置的PSK
· 標示符類型：User FQDN
· 標示符： [email protected]
· 用戶名： xauth username
· 密碼： xauth password
· 內部子網IP：在Phase 2上設置的子網
· 完成
手機設置 (蘋果iOS)
· 進入手機>設置 > VPN
· 添加VPN配置
· 選擇IPsec
· 描述： pfSense VPN (或其他描述)
· 服務器：IP地址或服務器名稱
· 帳戶： 認證的用戶名
· 密碼：認證密碼 (或留空白以供每次提示)
· 群組名稱：[email protected]
· 密鑰：Phase 1上設置的PSK
故障排查
默認情況下，iOS將通過VPN隧道傳送所有流量，包括到互聯網的流量。 如果互聯網站點連接無法訪問，那就必須將DNS服務器推送到客戶端。
上述原因是4G提供商可能會給移動設備只能從其網絡訪問的DNS服務器。 一旦連接到VPN，DNS服務器將通過VPN而不是3G網絡訪問，造成DNS查詢被丟棄。 必須提供本地/公共DNS服務器才能解決這個問題。
2017-11-29
IPsec VPN/手機端設置方法