Docker 上的 IPsec VPN 服务器

使用这个 Docker 镜像快速搭建 IPsec VPN 服务器。支持 IPsec/L2TP 和 Cisco IPsec 协议。

本镜像以 Debian 9 (Stretch) 为基础，并使用 Libreswan (IPsec VPN 软件) 和 xl2tpd (L2TP 服务进程)。

? 另见： IPsec VPN 服务器一键安装脚本

其他语言版本: English, 简体中文.

目录

• 安装 Docker
• 下载
• 如何使用本镜像
• 下一步
• 重要提示
• 更新 Docker 镜像
• 高级用法
• 技术细节
• 另见
• 授权协议

安装 Docker

首先，在你的 Linux 服务器上 安装并运行 Docker。

注： 本镜像不支持 Docker for Mac 或者 Windows。

下载

预构建的可信任镜像可在 Docker Hub registry 下载：

docker pull hwdsl2/ipsec-vpn-server

或者，你也可以自己从 GitHub 编译源代码。Raspberry Pi 用户请看 这里。

如何使用本镜像

环境变量

这个 Docker 镜像使用以下几个变量，可以在一个 env 文件中定义 （示例）：

VPN_IPSEC_PSK=your_ipsec_pre_shared_key
VPN_USER=your_vpn_username
VPN_PASSWORD=your_vpn_password

这将创建一个用于 VPN 登录的用户账户，它可以在你的多个设备上使用*。 IPsec PSK (预共享密钥) 由 VPN_IPSEC_PSK 环境变量指定。 VPN 用户名和密码分别在 VPN_USER 和 VPN_PASSWORD 中定义。

支持创建额外的 VPN 用户，如果需要，可以像下面这样在你的 env 文件中定义。用户名和密码必须分别使用空格进行分隔，并且用户名不能有重复。所有的 VPN 用户将共享同一个 IPsec PSK。

VPN_ADDL_USERS=additional_username_1 additional_username_2
VPN_ADDL_PASSWORDS=additional_password_1 additional_password_2

注： 在你的 env 文件中，不要为变量值添加 "" 或者 ''，或在 = 两边添加空格。不要在值中使用这些字符： \ " '。一个安全的 IPsec PSK 应该至少包含 20 个随机字符。

所有这些环境变量对于本镜像都是可选的，也就是说无需定义它们就可以搭建 IPsec VPN 服务器。详情请参见以下部分。

运行 IPsec VPN 服务器

重要： 首先，在 Docker 主机上加载 IPsec af_key 内核模块。该步骤在 Ubuntu 和 Debian 上为可选步骤。

sudo modprobe af_key

为保证这个内核模块在服务器启动时加载，请参见以下链接： Ubuntu/Debian, CentOS 6, CentOS 7, Fedora 和 CoreOS。

使用本镜像创建一个新的 Docker 容器 （将 ./vpn.env 替换为你自己的 env 文件）：

docker run \
    --name ipsec-vpn-server \
    --env-file ./vpn.env \
    --restart=always \
    -p 500:500/udp \
    -p 4500:4500/udp \
    -v /lib/modules:/lib/modules:ro \
    -d --privileged \
    hwdsl2/ipsec-vpn-server

获取 VPN 登录信息

如果你在上述 docker run 命令中没有指定 env 文件，VPN_USER 会默认为 vpnuser，并且 VPN_IPSEC_PSK 和 VPN_PASSWORD 会被自动随机生成。要获取这些登录信息，可以查看容器的日志：

docker logs ipsec-vpn-server

在命令输出中查找这些行：

Connect to your new VPN with these details:

Server IP: 你的VPN服务器IP
IPsec PSK: 你的IPsec预共享密钥
Username: 你的VPN用户名
Password: 你的VPN密码

（可选步骤）备份自动生成的 VPN 登录信息（如果有）到当前目录：

docker cp ipsec-vpn-server:/opt/src/vpn-gen.env ./

查看服务器状态

如需查看你的 IPsec VPN 服务器状态，可以在容器中运行 ipsec status 命令：

docker exec -it ipsec-vpn-server ipsec status

或者查看当前已建立的 VPN 连接：

docker exec -it ipsec-vpn-server ipsec whack --trafficstatus

下一步

配置你的计算机或其它设备使用 VPN 。请参见：

配置 IPsec/L2TP VPN 客户端

配置 IPsec/XAuth (“Cisco IPsec”) VPN 客户端

如果在连接过程中遇到错误，请参见 故障排除。

开始使用自己的专属 VPN !

重要提示

其他语言版本: English, 简体中文.

Windows 用户 在首次连接之前需要修改注册表，以解决 VPN 服务器 和/或 客户端与 NAT（比如家用路由器）的兼容问题。

同一个 VPN 账户可以在你的多个设备上使用。但是由于 IPsec/L2TP 的局限性，如果需要同时连接在同一个 NAT （比如家用路由器）后面的多个设备到 VPN 服务器，你必须仅使用 IPsec/XAuth 模式。

对于有外部防火墙的服务器（比如 EC2/GCE），请为 VPN 打开 UDP 端口 500 和 4500。阿里云用户请参见 #433。

如果需要编辑 VPN 配置文件，你必须首先在正在运行的 Docker 容器中 开始一个 Bash 会话。

如需添加，修改或者删除 VPN 用户账户，首先更新你的 env 文件，然后你必须按照 下一节 的说明来删除并重新创建 Docker 容器。高级用户可以 绑定挂载 env 文件。

在 VPN 已连接时，客户端配置为使用 Google Public DNS。如果偏好其它的域名解析服务，请看这里。

更新 Docker 镜像

如需更新你的 Docker 镜像和容器，请按以下步骤进行：

docker pull hwdsl2/ipsec-vpn-server

如果 Docker 镜像已经是最新的，你会看到提示：

Status: Image is up to date for hwdsl2/ipsec-vpn-server:latest

否则，将会下载最新版本。要更新你的 Docker 容器，首先在纸上记下你所有的 VPN 登录信息（参见上面的 “获取 VPN 登录信息”）。然后删除 Docker 容器： docker rm -f ipsec-vpn-server。最后按照 “如何使用本镜像” 的说明来重新创建它。

高级用法

使用其他的 DNS 服务器

在 VPN 已连接时，客户端配置为使用 Google Public DNS。如果偏好其它的域名解析服务，你可以在 env 文件中定义 VPN_DNS_SRV1 和 VPN_DNS_SRV2（可选），然后按照上面的说明重新创建 Docker 容器。比如你想使用 Cloudflare 的 DNS 服务：

VPN_DNS_SRV1=1.1.1.1
VPN_DNS_SRV2=1.0.0.1

在 Raspberry Pi 上使用

如需在 Raspberry Pi （ARM架构）上使用，你必须首先在你的 RPi 上按照 从源代码构建 中的说明自己构建这个 Docker 镜像，而不是从 Docker Hub 下载。然后按照本文档的其它步骤操作。

从源代码构建

高级用户可以从 GitHub 下载并自行编译源代码：

git clone https://github.com/hwdsl2/docker-ipsec-vpn-server.git
cd docker-ipsec-vpn-server
docker build -t hwdsl2/ipsec-vpn-server .

若不需要改动源码，也可以这样：

docker build -t hwdsl2/ipsec-vpn-server github.com/hwdsl2/docker-ipsec-vpn-server.git

在容器中运行 Bash shell

在正在运行的 Docker 容器中开始一个 Bash 会话：

docker exec -it ipsec-vpn-server env TERM=xterm bash -l

（可选步骤） 安装 nano 编辑器：

apt-get update && apt-get -y install nano

然后在容器中运行你的命令。完成后退出并重启 Docker 容器 （如果需要）：

exit
docker restart ipsec-vpn-server

绑定挂载 env 文件

作为 --env-file 选项的替代方案，高级用户可以绑定挂载 env 文件。该方法的好处是你在更新 env 文件之后可以重启 Docker 容器以生效，而不需要重新创建它。要使用这个方法，你必须首先编辑你的 env 文件并将所有的变量值用单引号 ''括起来。然后（重新）创建 Docker 容器（将第一个 vpn.env 替换为你自己的 env 文件）：

docker run \
    --name ipsec-vpn-server \
    --restart=always \
    -p 500:500/udp \
    -p 4500:4500/udp \
    -v "$(pwd)/vpn.env:/opt/src/vpn.env:ro" \
    -v /lib/modules:/lib/modules:ro \
    -d --privileged \
    hwdsl2/ipsec-vpn-server

启用 Libreswan 日志

为了保持较小的 Docker 镜像，Libreswan (IPsec) 日志默认未开启。如果你是高级用户，并且需要启用它以便进行故障排除，首先在正在运行的 Docker 容器中开始一个 Bash 会话：

docker exec -it ipsec-vpn-server env TERM=xterm bash -l

然后运行以下命令：

apt-get update && apt-get -y install rsyslog
service rsyslog restart
service ipsec restart
sed -i '/modprobe/a service rsyslog restart' /opt/src/run.sh
exit

完成后你可以这样查看 Libreswan 日志：

docker exec -it ipsec-vpn-server grep pluto /var/log/auth.log

如需查看 xl2tpd 日志，请运行 docker logs ipsec-vpn-server。

技术细节

需要运行以下两个服务： Libreswan (pluto) 提供 IPsec VPN， xl2tpd 提供 L2TP 支持。

默认的 IPsec 配置支持以下协议：

• IKEv1 with PSK and XAuth (“Cisco IPsec”)
• IPsec/L2TP with PSK

为使 VPN 服务器正常工作，将会打开以下端口：

• 4500/udp and 500/udp for IPsec

另见

• IPsec VPN Server on Ubuntu, Debian and CentOS
• IKEv2 VPN Server on Docker

授权协议

版权所有 (C) 2016-2019 Lin Song 
基于 Thomas Sarlandie 的工作 (Copyright 2012) (版权所有 2012)

这个项目是以 知识共享署名-相同方式共享3.0 许可协议授权。
必须署名： 请包括我的名字在任何衍生产品，并且让我知道你是如何改善它的！