Fanzhh's Blog
0%

L2TP VPN服务器与Hysteria2代理整合实践

Posted on Edited on In

本文详细介绍基于strongSwan starter套件搭建支持自动代理转发的IPsec/L2TP VPN服务器。

1. 架构概述

本方案实现了一个支持自动代理转发的IPsec/L2TP VPN服务器，VPN客户端连接后所有流量自动通过Hysteria2代理访问互联网。

网络架构

1
2
3
4
5
6
7
8
9
VPN客户端 (10.10.10.100) 
       ↓ (IPsec/L2TP over ppp0)
VPN服务器 (ppp0: 10.10.10.1, eth0: [server_private_ip])
       ↓ (路由规则 + iptables NAT)
Hysteria2代理 (hytun设备: 100.100.100.101/30)
       ↓ (Hysteria2协议 + TLS加密)
远程代理服务器 ([proxy_server]:[proxy_port])
       ↓
互联网

核心组件

  • IPsec/L2TP VPN: 提供安全的VPN连接
  • Hysteria2: 高性能代理服务，通过TUN设备工作
  • 路由策略: 将VPN客户端流量重定向到代理
  • iptables NAT: 确保流量正确转发和返回

提示: 部署时请将 [占位符] 替换为您的实际配置信息。

2. 环境准备

系统要求

  • Ubuntu 20.04+ / CentOS 8+
  • 内核支持TUN/TAP设备
  • 公网IP地址（已配置端口转发）

安装必要工具

1
2
3
4
5
6
# Ubuntu/Debian
sudo apt update
sudo apt install net-tools iptables-persistent tcpdump

# CentOS/RHEL
sudo yum install net-tools iptables-services tcpdump

3. IPsec/L2TP VPN服务器配置

3.1 安装VPN组件

1
2
3
4
5
6
7
# Ubuntu/Debian
sudo apt update
sudo apt install strongswan xl2tpd ppp

# CentOS/RHEL
sudo yum install epel-release
sudo yum install strongswan xl2tpd ppp

3.2 配置IPsec (/etc/ipsec.conf)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
sudo tee /etc/ipsec.conf > /dev/null << 'EOF'
config setup
    charondebug="ike 1"                     # IKE协议调试级别(1=基础，2=详细)
    uniqueids=no                           # 允许多个客户端使用相同ID连接
    strictcrlpolicy=no                     # 不严格要求证书吊销列表检查

conn l2tp-psk                              # L2TP over IPsec连接配置
    authby=secret                         # 使用预共享密钥(PSK)认证方式
    auto=add                              # 启动时自动添加此连接配置
    type=transport                         # 传输模式(非隧道模式)，适用于L2TP
    
    # 服务器端配置
    left=%defaultroute                     # 服务器使用默认路由出口
    leftprotoport=17/1701                  # 服务器监听UDP端口1701(L2TP标准端口)
    
    # 客户端配置
    right=%any                             # 允许任意客户端IP连接
    rightprotoport=17/%any                 # 允许客户端使用任意UDP端口
    
    # iPhone兼容的加密算法套件
    ike=3des-sha1-modp1024,aes256-sha1-modp2048,aes128-sha1-modp2048!  # IKE阶段1加密算法
    esp=3des-sha1,aes256-sha1,aes128-sha1!                               # ESP(IPsec)加密算法
    
    # 连接生命周期参数
    rekey=yes                              # 启用密钥重协商
    keylife=1h                             # IPSec SA密钥生命周期1小时
    ikelifetime=8h                         # IKE SA密钥生命周期8小时
    
    # NAT穿透支持(关键配置)
    forceencaps=yes                        # 强制封装NAT-ESP包(解决NAT问题)
    
    # 连接稳定性参数
    keyingtries=3                          # 密钥协商重试次数
    dpddelay=30                            # DPD(Dead Peer Detection)检测间隔30秒
    dpdtimeout=120                         # DPD超时时间120秒
    dpdaction=clear                        # DPD超时后清除连接

# 专门为安卓IKEv2/IPSec PSK优化的配置
conn android-ikev2-psk                     # IKEv2连接配置名
    # 基本连接配置
    authby=secret                         # 使用预共享密钥认证
    auto=add                              # 启动时自动添加配置
    keyexchange=ikev2                     # 使用IKEv2协议
    type=transport                         # 传输模式
    
    # 服务器端配置
    left=%defaultroute                     # 服务器使用默认路由
    leftid=%any                            # 服务器标识符(任意)
    leftprotoport=17/1701                  # 服务器监听UDP 1701端口
    
    # 客户端配置
    right=%any                             # 允许任意客户端IP
    rightid=%any                           # 客户端标识符(任意)
    rightprotoport=17/%any                 # 客户端可使用任意端口
    
    # IKEv2专用加密算法套件(更安全)
    ike=aes256-sha256-modp2048,aes128-sha256-modp2048!                 # IKEv2加密算法
    esp=aes256-sha256,aes128-sha256!                                   # ESP加密算法
    
    # IKEv2连接参数
    rekey=yes                              # 启用密钥重协商
    keylife=1h                             # IPSec SA生命周期1小时
    ikelifetime=8h                         # IKE SA生命周期8小时
    forceencaps=yes                        # 强制NAT封装
    keyingtries=3                          # 密钥协商重试3次
    dpddelay=30                            # DPD检测间隔30秒
    dpdtimeout=120                         # DPD超时120秒
    dpdaction=clear                        # DPD超时清除连接
    
    # 移动设备专用优化
    mobike=no                              # 禁用MOBIKE(移动性优化)
    fragmentation=yes                      # 启用IKE分片支持(解决MTU问题)
EOF

3.3 配置IPsec预共享密钥 (/etc/ipsec.secrets)

1
2
3
4
5
6
sudo tee /etc/ipsec.secrets > /dev/null << 'EOF'
%any %any : PSK "[your_psk_key_here]"
EOF

# 设置权限
sudo chmod 600 /etc/ipsec.secrets

注意: [your_psk_key_here] 应替换为强随机密码，建议长度16位以上。

3.4 配置L2TP (/etc/xl2tpd/xl2tpd.conf)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
sudo tee /etc/xl2tpd/xl2tpd.conf > /dev/null << 'EOF'
[global]                                    # 全局配置段
ipsec saref = yes                           # 启用IPsec SA参考(与IPsec协同工作)
listen-addr = 0.0.0.0                       # 监听所有网络接口

[lns default]                               # L2TP网络服务器默认配置
ip range = 10.10.10.100-10.10.10.200        # 分配给VPN客户端的IP地址池
local ip = 10.10.10.1                       # L2TP服务器本地IP地址
require chap = yes                          # 要求CHAP认证
refuse pap = yes                            # 拒绝PAP认证(不安全)
require authentication = yes                # 要求客户端认证
name = l2tpd                                # L2TP服务器名称
pppoptfile = /etc/ppp/options.xl2tpd        # PPP选项配置文件路径
length bit = yes                            # 启用长度比特(兼容性设置)
EOF

3.5 配置PPP认证 (/etc/ppp/options.xl2tpd)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
sudo tee /etc/ppp/options.xl2tpd > /dev/null << 'EOF'
ipcp-accept-local                           # 接受本地IP地址协商
ipcp-accept-remote                          # 接受远程IP地址协商
ms-dns 8.8.8.8                             # 主DNS服务器(Google DNS)
ms-dns 8.8.4.4                             # 备用DNS服务器(Google DNS)
noccp                                      # 禁用压缩控制协议
auth                                       # 要求客户端认证
crtscts                                    # 启用硬件流控(RTS/CTS)
idle 1800                                  # 空闲超时1800秒(30分钟)
mtu 1280                                   # 最大传输单元1280字节(VPN优化)
mru 1280                                   # 最大接收单元1280字节
lock                                       # 锁定串行设备
lcp-echo-failure 10                        # LCP回声失败10次后断开
lcp-echo-interval 60                       # LCP回声检测间隔60秒
connect-delay 5000                         # 连接延迟5秒
ms-wins 10.10.10.1                         # WINS服务器地址(VPN网关)
EOF

3.6 配置VPN用户 (/etc/ppp/chap-secrets)

1
2
3
4
5
6
7
8
sudo tee /etc/ppp/chap-secrets > /dev/null << 'EOF'
# Secrets for authentication using CHAP
# client        server  secret                  IP addresses
"[your_username]" l2tpd   "[your_password]"       *
EOF

# 设置权限(仅root可读写)
sudo chmod 600 /etc/ppp/chap-secrets

配置说明:

  • [your_username]: VPN客户端用户名
  • l2tpd: 服务器名称(必须与xl2tpd.conf中的name一致)
  • [your_password]: VPN用户密码
  • *: 允许从任意IP地址连接

注意: [your_username] 和 [your_password] 应替换为实际的VPN用户凭据。

4. Hysteria2代理服务配置

4.1 安装Hysteria2

1
2
3
4
# 下载最新版本
wget https://github.com/apernet/hysteria/releases/latest/download/hysteria-linux-amd64
sudo mv hysteria-linux-amd64 /usr/local/bin/hysteria
sudo chmod +x /usr/local/bin/hysteria

4.2 创建配置文件 (/etc/hysteria2/current.json)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
{
  "server": "[proxy_server]:[proxy_port]",        // Hysteria2服务器地址和端口
  "auth": "[your_auth_token]",                     // 认证令牌(由代理服务商提供)
  "tls": {                                         // TLS配置
    "sni": "www.google.com",                      // 服务器名称指示(伪装域名)
    "insecure": true                              // 跳过证书验证(某些环境需要)
  },
  "fastOpen": true,                                // 启用TCP Fast Open(减少延迟)
  "socks5": {                                      // SOCKS5代理配置
    "listen": "127.0.0.1:10809",                  // SOCKS5监听地址(仅本地)
    "user": "",                                    // SOCKS5用户名(留空为无认证)
    "password": ""                                 // SOCKS5密码(留空为无认证)
  },
  "http": {                                        // HTTP代理配置
    "listen": "127.0.0.1:10806",                  // HTTP代理监听地址(仅本地)
    "user": "",                                    // HTTP代理用户名(留空为无认证)
    "password": ""                                 // HTTP代理密码(留空为无认证)
  },
  "tun": {                                         // TUN设备配置(透明代理核心)
    "name": "hytun",                              // TUN设备名称
    "mtu": 1500,                                  // 最大传输单元1500字节
    "timeout": "5m",                              // 连接超时5分钟
    "address": {                                  // TUN设备IP配置
      "ipv4": "100.100.100.101/30"               // TUN设备IPv4地址/子网掩码
    },
    "route": {                                    // 路由配置(关键设置)
      "ipv4": ["0.0.0.0/0"],                     // 全路由表(所有流量通过代理)
      "ipv4Exclude": [                            // 排除路由(避免循环)
        "[proxy_server_ip]/32",                   // 排除代理服务器IP
        "10.10.10.0/24"                           // 排除VPN网段
      ]
    }
  }
}

4.3 实际的Hysteria2配置

配置文件位置：/etc/hysteria2/current.json

关键特点：

  • SOCKS5和HTTP代理监听在本地127.0.0.1上，不对外开放端口
  • 使用TUN设备hytun实现透明代理
  • 排除代理服务器IP和VPN网段，避免路由循环
  • TLS加密使用Google SNI伪装

4.4 创建Systemd服务 (/etc/systemd/system/hysteria-config2.service)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
sudo tee /etc/systemd/system/hysteria-config2.service > /dev/null << 'EOF'
[Unit]                                      # Unit段(服务定义)
Description=Hysteria2 Client - config2     # 服务描述信息
After=network.target                       # 网络服务启动后运行

[Service]                                   # Service段(服务配置)
Type=simple                                 # 简单服务类型(前台运行)
User=root                                  # 以root用户运行
ExecStart=/usr/local/bin/hysteria -c /etc/hysteria2/current.json client  # 启动命令
Restart=always                             # 总是自动重启服务
RestartSec=3                               # 重启间隔3秒
CapabilityBoundingSet=CAP_NET_ADMIN CAP_NET_RAW  # 限制网络相关权限

[Install]                                   # Install段(安装配置)
WantedBy=multi-user.target                 # 多用户模式下启动
EOF

服务配置说明:

  • Type=simple: 前台运行模式，适合长时间运行的服务
  • Restart=always: 服务异常退出时自动重启
  • CAP_NET_ADMIN: 网络管理权限(创建TUN设备)
  • CAP_NET_RAW: 原始套接字权限(网络操作)

注意： Hysteria2作为客户端运行，连接到远程代理服务器。

5. 路由与防火墙整合配置

5.1 运行环境配置分析

服务状态

1
2
3
4
5
6
7
8
9
10
# IPsec服务
● strongswan-starter.service - strongSwan IPsec IKEv1/IKEv2 daemon
   Active: active (running) since Thu 2025-10-02 15:15:44 CST

# L2TP服务
● xl2tpd.service - LSB: layer 2 tunelling protocol daemon
   Active: active (running) since Thu 2025-10-02 15:15:45 CST

# Hysteria2客户端
/usr/local/bin/hysteria -c /etc/hysteria2/current.json client

实际路由配置

1
2
3
4
5
6
7
# TUN设备路由
100.100.100.100/30 dev hytun proto kernel scope link src 100.100.100.101

# TUN设备状态
53: hytun: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UNKNOWN
    inet 100.100.100.101/30 brd 100.100.100.103 scope global hytun
    inet6 2001::ffff:ffff:ffff:fff1/126 scope global

实际iptables规则

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
# NAT规则（POSTROUTING链）
Chain POSTROUTING (policy ACCEPT)
5609 1529K MASQUERADE  all  --  *      hytun   10.10.10.0/24        0.0.0.0/0
# 规则解释：
# 5609: 匹配包数量(5609个数据包)
# 1529K: 处理流量大小(1529KB)
# MASQUERADE: 动态源地址转换动作
# -- * hytun: 从任意接口进入，从hytun接口出去
# 10.10.10.0/24: 源地址为VPN网段的流量
# 0.0.0.0/0: 目标地址为任意地址

# 转发规则（FORWARD链）
Chain FORWARD (policy ACCEPT)
706K  321M ACCEPT     all  --  *      *       10.10.10.0/24        0.0.0.0/0           
# 出站流量规则：允许VPN网段访问任意地址
# 706K: 处理数据包数量(706000个)
# 321M: 出站流量大小(321MB)

687K  624M ACCEPT     all  --  *      *       0.0.0.0/0            10.10.10.0/24
# 入站流量规则：允许返回流量到达VPN网段
# 687K: 处理数据包数量(687000个)  
# 624M: 入站流量大小(624MB)

# 流量分析：
# - 出站流量 < 入站流量：符合代理访问模式(下载多于上传)
# - NAT转换流量相对较小：仅处理源地址转换
# - 大量数据包转发：说明代理工作正常

5.2 流量分析

根据实际运行数据分析：

  • VPN流量处理: 已处理321MB出站流量，624MB入站流量
  • NAT转换: 已处理1529KB流量的源地址转换
  • 连接稳定性: 服务已稳定运行超过2天
  • 活跃连接: 系统日志显示多个VPN客户端保持连接

6. 自动代理实现原理详解

6.1 流量路径分析

  1. VPN连接建立

    • 客户端通过IPsec/L2TP连接到服务器
    • 建立ppp0接口，分配IP 10.10.10.100

  2. 路由重定向

    • 路由规则 10.10.10.100 dev hytun 生效
    • VPN客户端的所有流量被重定向到hytun设备

  3. 代理处理

    • Hysteria2通过hytun设备接收流量
    • 通过远程代理服务器([proxy_server]:[proxy_port])转发
    • 使用TLS加密，SNI伪装为www.google.com

  4. 返回路径

    • 响应数据通过相同路径返回
    • iptables NAT确保源地址转换正确

6.2 关键配置说明

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
# 核心路由规则：将VPN客户端流量重定向到TUN设备
ip route add 10.10.10.100 dev hytun
# 10.10.10.100: VPN客户端IP地址
# dev hytun: 指定流量从hytun设备出去(进入Hysteria2代理)

# 核心NAT规则：源地址转换(使返回流量能正确路由)
iptables -t nat -A POSTROUTING -s 10.10.10.100 -o hytun -j MASQUERADE
# -t nat: 操作NAT表
# -A POSTROUTING: 添加到POSTROUTING链(路由后处理)
# -s 10.10.10.100: 匹配源地址为VPN客户端的流量
# -o hytun: 从hytun设备出去的流量
# -j MASQUERADE: 动态源地址转换(使用出接口IP)

# 完整的iptables规则集(参考配置):
# 1. 允许VPN客户端流量转发
iptables -A FORWARD -s 10.10.10.0/24 -j ACCEPT     # 允许VPN网段出站
iptables -A FORWARD -d 10.10.10.0/24 -j ACCEPT     # 允许VPN网段入站

# 2. 开放VPN相关端口(服务器防火墙)
iptables -A INPUT -p udp --dport 500 -j ACCEPT     # IPsec IKE端口
iptables -A INPUT -p udp --dport 4500 -j ACCEPT    # IPsec NAT-T端口  
iptables -A INPUT -p udp --dport 1701 -j ACCEPT    # L2TP端口

# 3. 启用IP转发(系统内核参数)
echo 1 > /proc/sys/net/ipv4/ip_forward             # 临时启用
echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf # 永久启用

6.3 生产环境验证

基于生产服务器的实际运行状态：

服务器基本信息：

  • 服务器IP：[your_server_ip] (云服务商)
  • 内网IP：[server_private_ip]
  • 操作系统：Ubuntu (内核支持TUN/TAP)

实际运行效果验证：

  • ✅ IPsec服务正常，处理多个VPN连接
  • ✅ L2TP服务稳定，PPP连接正常建立
  • ✅ Hysteria2客户端持续运行，连接远程代理
  • ✅ TUN设备hytun正常工作，IP配置正确
  • ✅ 路由规则生效，流量转发正常
  • ✅ iptables NAT规则工作，处理大量流量

7. 客户端连接指南

7.1 Windows客户端配置

  1. 进入”网络和共享中心” → “设置新的连接”
  2. 选择”连接到工作区” → “使用我的Internet连接(VPN)”
  3. 服务器地址: [您的服务器公网IP]
  4. 目的地名称: MyVPN
  5. 安全类型: 使用IPsec/L2TP
  6. 预共享密钥: [your_psk_key_here]
  7. 用户名: [your_username]
  8. 密码: [your_password]

7.2 macOS/iOS客户端配置

  1. 设置 → 通用 → VPN → 添加VPN配置
  2. 类型: L2TP
  3. 服务器: [您的服务器公网IP]
  4. 账户: [your_username]
  5. 密码: [your_password]
  6. 密钥: [your_psk_key_here]

8. 故障排查与维护

8.1 常用诊断命令

1
2
3
4
5
6
7
8
9
10
11
12
13
# 检查服务状态
systemctl status strongswan xl2tpd hysteria2

# 检查路由表
ip route show

# 监控流量
tcpdump -i ppp0 -n
tcpdump -i hytun -n

# 查看连接日志
journalctl -u strongswan -f
journalctl -u hysteria2 -f

8.2 创建诊断脚本 (/root/check_vpn_status.sh)

1
2
3
4
5
6
7
8
9
10
11
12
#!/bin/bash
echo "=== VPN服务状态 ==="
systemctl status strongswan xl2tpd hysteria2 --no-pager -l

echo "=== 网络接口 ==="
ip addr show | grep -E "ppp|hytun|eth0"

echo "=== 路由表 ==="
ip route show | grep -E "10.10.10|hytun"

echo "=== 连接状态 ==="
ipsec status

8.3 备份配置脚本 (/root/backup_vpn_config.sh)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
#!/bin/bash
BACKUP_DIR="/root/vpn_backup_$(date +%Y%m%d)"
mkdir -p $BACKUP_DIR

cp /etc/ipsec.conf $BACKUP_DIR/
cp /etc/ipsec.secrets $BACKUP_DIR/
cp /etc/xl2tpd/xl2tpd.conf $BACKUP_DIR/
cp /etc/ppp/options.xl2tpd $BACKUP_DIR/
cp /etc/ppp/chap-secrets $BACKUP_DIR/
cp /etc/hysteria2/config2.json $BACKUP_DIR/
iptables-save > $BACKUP_DIR/iptables.rules
ip route show > $BACKUP_DIR/ip_route.txt

echo "配置已备份到: $BACKUP_DIR"

9. 安全配置总结

9.1 需要替换的敏感信息

在部署此方案时，请务必替换以下占位符：

占位符 说明 建议配置
[your_psk_key_here] IPsec预共享密钥 16位以上随机字符串
[your_username] VPN用户名 自定义用户名
[your_password] VPN用户密码 12位以上强密码
[proxy_server]:[proxy_port] Hysteria2代理服务器 代理服务商提供
[your_auth_token] Hysteria2认证令牌 代理服务商提供
[your_server_ip] VPN服务器公网IP 您的服务器IP
[server_private_ip] VPN服务器内网IP 云服务商分配
[proxy_server_ip] 代理服务器IP 代理服务商提供

9.2 安全最佳实践

  1. 密钥管理

    • 使用强随机密码生成器创建所有密钥
    • 定期更换PSK和用户密码
    • 不要在代码或日志中暴露凭据

  2. 网络配置

    • 确保防火墙只开放必要端口
    • 使用fail2ban防止暴力破解
    • 定期检查VPN连接日志

  3. 服务器安全

    • 及时更新系统补丁
    • 禁用不必要的服务
    • 配置SSH密钥认证

10.1 定期更换密码和密钥

  • 每月更换VPN用户密码
  • 每季度更换IPsec预共享密钥
  • 定期更新Hysteria2代理密码

10.2 监控和日志

1
2
3
4
5
# 启用详细日志
sed -i 's/charondebug="ike 1"/charondebug="ike 2, cfg 2"/' /etc/ipsec.conf

# 定期检查异常连接
grep "failed to authenticate" /var/log/auth.log

11. 性能优化

11.1 网络参数调优

1
2
3
4
# 增加网络缓冲区
echo 'net.core.rmem_max = 67108864' >> /etc/sysctl.conf
echo 'net.core.wmem_max = 67108864' >> /etc/sysctl.conf
sysctl -p

11.2 Hysteria2参数优化

根据网络状况调整MTU和缓冲区大小，提升代理性能。

总结

本方案成功实现了IPsec/L2TP VPN与Hysteria2代理的无缝整合，具有以下特点：

  1. 自动代理: VPN客户端连接后无需额外配置即可使用代理
  2. 安全性: 多层加密（IPsec + TLS）
  3. 访问控制: 代理服务仅对VPN用户开放
  4. 易维护: 提供完整的配置备份和诊断工具
  5. 高性能: 基于TUN设备的流量转发，性能损失小

通过合理的路由和iptables配置，实现了VPN流量的自动代理转发，为用户提供了安全、便捷的网络访问体验。

使用提示: 定期执行备份脚本，监控系统日志，及时更新安全配置。

声明：本文内容仅供技术研究和学习交流使用，作者倡导合法合规的网络使用。读者应确保在使用相关技术时遵守当地法律法规，不得将本文所述技术用于任何违法或不当用途。任何因使用本文技术而产生的法律风险和责任，均由使用者自行承担。技术本身是中立的，但其应用必须符合道德和法律的规范要求