1
goodbest 2014-09-23 22:44:08 +08:00
一直在默默关注中,既然lz搞好了,就赶紧来学学...
|
2
Perry87 2014-09-23 22:54:29 +08:00 via iPad
多谢,楼主这个方式是全局翻?AnyConnect 可以下发路由表还蛮有用的。
|
3
wzxjohn 2014-09-23 23:00:18 +08:00
楼主为啥要用英文发。。。
|
4
wzxjohn 2014-09-23 23:05:29 +08:00
顺便一说楼主的方法只适用于个人使用,不太适用于多人环境。
|
5
cattyhouse OP @Perry87 全局翻墙。我也喜欢anyconnect,但是目前为止,Anyconnect的服务器端还是一个兼容的ocserv创建的。现在我出现这种速度慢的现象无法搞定,研究了很久也搞不定。所以只有这样了。
|
6
cattyhouse OP @wzxjohn 为什么不适合多人的环境?iPhone配置文件可以下发给无数人,然后服务端可以创建无数账户。
|
7
wzxjohn 2014-09-23 23:18:23 +08:00
@cattyhouse 因为你的证书需要每人生成一份。。。你这个配置指定了那一份证书。
|
8
cattyhouse OP @wzxjohn 证书为什么需要每人一份呢?我这个证书可以用在任何不限制数量的iOS设备上的啊。你在调查调查再发言把。
|
10
cattyhouse OP @GPU 因为研究的时候看文章都是英文的,所以就写了英文的了。看不下去你也就不用弄了,直接买别人的服务把。
|
11
cattyhouse OP @wzxjohn 至少我的配置文件已经在我的Macbook和iPhone上都安装可用了,再多一台或者n台设备也无妨吧。证书跟IPSec Xauth的用户名和密码是不相关连的。Apple Configurator上用证书的时候是需要填入用户名和密码的,使用过程中是无需干扰的自动连接。
|
12
lovelinghan 2014-09-23 23:38:07 +08:00
Mark
|
13
ooxxcc 2014-09-23 23:38:49 +08:00
@cattyhouse 我确认一下,是一份证书用来验证第一层,然后第二层用xauth(PSK)对吧……我去折腾一下,之前实验后忘了出了啥问题,总之后来抛弃这个方法没用折腾APNP去了,原来要手动修改文件……
https://work.ooxxcc.com/tools/cisco-vpn-with-strongswan/ |
14
lovelinghan 2014-09-23 23:40:57 +08:00
Strongswan搭建ipsec 每天都要重启的才能用的 感觉不是很兼容
|
15
cattyhouse OP @lovelinghan 每天需要重启是因为你的ipsec.conf配置上有问题,因为iPhone经常切换网络,切换网络vpn就会断开,然后在服务器端有个死链接,需要服务器快速的结束这个死链接,所以导致你再次连接的时候就无法连接,这是一个之前困扰我的问题,在ipsec.conf设置 dpdtimeout = 5s 就解决了。你也可以设置更短的时间。
|
16
mutinux 2014-09-23 23:45:05 +08:00
您这第一句英文就有语法问题。。。
|
17
cattyhouse OP @ooxxcc openswan不是已经被抛弃了吗?现在叫libreswan吧,我没用过。对的,ondemand必须手动修改*.mobileconfig文件。
|
18
cattyhouse OP @mutinux 那里有语法问题?focus on 内容吧。。。先生。。。
|
19
goodbest 2014-09-23 23:48:07 +08:00
@cattyhouse 换个地方放code吧,那个地方把代码格式字符全毁了
|
20
cattyhouse OP @goodbest 唉。。。 不行搬到 blogspot上去。。。但没时间搞了。
|
21
ooxxcc 2014-09-23 23:52:54 +08:00
@cattyhouse 后来改成strongswan了,标题没改。。。。
|
22
ooxxcc 2014-09-23 23:55:46 +08:00
@cattyhouse 另外似乎ios不支持*.xxx.com这样的wildcard证书?每个服务器要一套证书实在太蛋疼了
|
23
cattyhouse OP @ooxxcc 恩,证书是per服务器的,这些证书不能复制到别的服务器上用的。但是可以下发给任何用户。这些用户都会连接到这个服务器。
|
24
zqqf16 2014-09-24 00:10:02 +08:00
哈哈,目前的工作和 lz 研究的是一个东西~
|
25
ooxxcc 2014-09-24 00:12:04 +08:00
@cattyhouse 恩,我需要弄5~6套这玩意,想起来就蛋疼不想弄了……
|
26
wzxjohn 2014-09-24 00:26:23 +08:00 via iPad
@cattyhouse 你果然没理解我的意思。。。如果你把同样的证书发给所有人那么如何区分这些用户呢。。。
|
27
cattyhouse OP @zqqf16 我纯粹业余爱好。。。我是做销售的。。。
|
28
cattyhouse OP @wzxjohn 区分用户用用户名和密码。。。创建iPhone的配置的时候是需要填入服务器上设置的Xauth账户的。。。
|
29
wzxjohn 2014-09-24 00:28:08 +08:00 via iPad
@cattyhouse 我为了这个东西也跟你一样折腾了好久,而且也跟你邮件交流过,所以千万不要认为我啥都没做就在这臆测哦。。。
|
30
cattyhouse OP @wzxjohn 现在折腾好了。。。你可以直接用了 :)
|
31
wzxjohn 2014-09-24 00:30:06 +08:00 via iPad
@cattyhouse 嗷,第一次看你的代码是被完全打乱的,没注意到你还开了第二重认证。那么,其实你这样就完全不需要证书了。。。为何多此一举呢。。。
|
32
cattyhouse OP @wzxjohn 不是我要开二重认证。。。是Apple Configurator在配置的时候即使你选择了证书,你依然需要输入服务器上配置的Xauth的账户,也就是 /etc/ipsecs.secrets里面的。
|
33
wzxjohn 2014-09-24 00:31:42 +08:00 via iPad
@cattyhouse 我大概4天前已经折腾好了,只是跟你的方法稍有差别,不过感觉更方便,可以zhijie省掉证书。虽然说证书似乎也没啥大影响。
|
34
wzxjohn 2014-09-24 00:32:21 +08:00 via iPad
@cattyhouse 所以你直接把证书关掉开EAP即可啦~
|
35
cattyhouse OP @wzxjohn 没有证书你可以 ondemand? 你根本无法开启这个选项。。。
|
36
cattyhouse OP @wzxjohn 只有证书模式才能开启 Ondemand,注意我这里重点是要VPN Ondemand,如果不需要这个功能我何必折腾IPSec?一个PPTP不就搞定了?
|
37
wzxjohn 2014-09-24 00:34:53 +08:00 via iPad
@cattyhouse 要不要我发我的配置文件给你试试啊~没成功的话我会乱说么~
|
38
cattyhouse OP @wzxjohn 发个mobileconfig文件给我看看,去掉敏感信息的。。。你确定没有配置可以自动连接VPN?包括切换网络包括待机恢复的时候?
|
39
wzxjohn 2014-09-24 00:47:28 +08:00
@cattyhouse 配置文件在我的Mac上,现在懒得开了,发两张iPad的截图
https://www.dropbox.com/s/u3kq6oho1b67lwe/Photo%209-24-14%2C%2000%2038%2049.png?dl=0 这张说明了我的配置文件只有一个证书也就是CA,并没有用户证书,证明我的验证中并没有开启证书 https://www.dropbox.com/s/igzmb7nh4jiucc9/Photo%209-24-14%2C%2000%2038%2057.png?dl=0 这张证明了我的配置文件成功开启了On Demand。不过我现在不用VPN所以直接关了。经过测试,打开On Demand后,只要访问了指定的URL就会自动开启VPN,完全达到要求。 |
41
cattyhouse OP @wzxjohn 你用的IKEv2啊?我这个配置方法文件用的IKEv1 ...
|
42
cattyhouse OP @wzxjohn 你有空写个IKEv2的服务器和iOS配置方法吧,谢谢了。
|
43
wzxjohn 2014-09-24 00:54:39 +08:00
@cattyhouse IKEv1。。。好吧。。。我记得你之前发帖的时候标题是:
iOS 8 支持 Always On 和 IKE2 VPN 了 。。。。。。。。。为啥换了。。。 IKEv2还是挺赞的,主要是WP用户原生支持啊!//虽然我不是WP用户。。。 @dd99iii 其实就算是不要证书还是需要Profile,这个是必须的。因为系统中没有IKEv2 VPN这个选项。倒是CA证书其实也是可以省掉的,如果直接用SSL证书来代替的话。 |
44
wzxjohn 2014-09-24 00:56:22 +08:00
@ooxxcc 我觉得可能是支持通配符证书的,不过我没有试过,明天有时间试一下吧。因为iOS 8在校验证书的时候应该也是按照标准方法来进行校验,这样的话应该是支持通配符证书的。
|
45
wzxjohn 2014-09-24 00:57:14 +08:00
@cattyhouse 肯定会写,但是恐怕要到国庆了。。。
|
47
ooxxcc 2014-09-24 01:15:25 +08:00
另外所谓黑科技加速是另外一个东西。。和你写的这些无关。。。。
|
48
Actrace 2014-09-24 07:52:10 +08:00
AC不慢啊,楼主,速度这个问题大部分是因为水管小造成的,特别是部分垃圾VPS,夜间速度很烂的.我的AC可以稳定上50M啊.
延迟高的线路最好就别用UDP模式传输数据了,线路利用率很低的. |
49
cattyhouse OP @Actrace 小水管?我企业30M上下对等的电信宽带,日本linode服务器,还是只能跑2Mbps也就是250KBps。
你是iOS8吗?我的Mac上Anyconnect没问题的。 |
50
agassi_yzh 2014-09-24 08:22:52 +08:00
|
51
lovelinghan 2014-09-24 08:31:15 +08:00
@cattyhouse dpdtimeout =3s 我的 还是照样没人要ipsec restart
|
52
wzxjohn 2014-09-24 09:22:11 +08:00
@ooxxcc
@cattyhouse 实验成功!事实证明通配符证书是可以使用的,同时你给网站申请的SSL证书是可以直接作为服务器证书使用的!比如说我现在下发给iPhone的配置文件里面就没有证书,只有账号信息! |
54
Perry87 2014-09-24 10:29:28 +08:00
|
58
ooxxcc 2014-09-24 11:39:48 +08:00
|
59
wzxjohn 2014-09-24 11:53:11 +08:00
@ooxxcc
1. 不需要任何CA,因为SSL证书的CA默认是被iOS信任的,之所以之前要装证书是因为自签名的证书默认不会被信任 2. 不可用。IKEv2是iOS 8才有的新特性。但是IKEv1(Cisco IPSec) iOS 7可用。 3. 如2,IKEv2 |
62
wzxjohn 2014-09-24 18:43:32 +08:00
|
63
wzxjohn 2014-09-24 22:44:31 +08:00
@cattyhouse 我发现我的证书有点小问题,在WIFI下随便切换VPN会重连没问题,但是如果从WIFI断开连到移动数据VPN就不会自动重连了。你有这个问题么?
|
64
cattyhouse OP @wzxjohn 我没有这个问题啊。你是IKEv2还是v1?
|
65
wzxjohn 2014-09-25 08:29:47 +08:00
@cattyhouse 可以发一份你的Profile给我看看么?我觉得是Profile的问题。。。我的是IKEv2
|
66
cattyhouse OP @wzxjohn 我的profile是ikev2,我就加了 action connect,其余都是按照我教程上写的做的。
|
67
cattyhouse OP @wzxjohn sorry,ikev1
|
71
cattyhouse OP @GPU CentoOS就会这样。。。 我也不知道为什么。 据说是/var/random的数据不够。所以我说了,debian makes it easier。
|
72
cattyhouse OP @GPU debian 7不至于的,你可以一条一条的执行,估计你卡在第一条上了。
|
73
GPU 2014-09-25 21:48:40 +08:00
@cattyhouse 我是一条一条的执行也是不行。
|
74
GPU 2014-09-25 21:49:27 +08:00
@cattyhouse 就是第一次不行。
|
77
1nt 2014-09-25 22:58:01 +08:00
在 MAS 里面下的 Apple Configurator 1.6,打开没反应,
过了很久弹出这个: 点击确认以后 Apple Configurator 就自动退出啦 求教是为什么 |
78
gissimo 2014-10-12 20:51:53 +08:00
请教楼主,我已经搭建好ipsec了。现在是不是要在配置文件中加入dpdtimeout = 5s
然后请教手机端能不能直接用默认的Cisco,再改个文件? |
79
cattyhouse OP @1nt 卸载重装
|
80
cattyhouse OP @gissimo 不需要加。手机客户端直接可以用。
|
81
gissimo 2014-10-12 21:06:57 +08:00
@cattyhouse 手机端我是在系统的vpn里添加的。是不是就不能断线重连了?一定要在配置文件改?
|
82
gissimo 2014-10-12 21:13:39 +08:00
@cattyhouse 还有啊,Windows的版本下,找不到导入证书那两栏诶
|
83
cattyhouse OP |
84
gissimo 2014-10-12 21:34:40 +08:00
@cattyhouse 恩,导入了证书。请问Windows下能用txt编辑配置文件吗?我改好后导入,点安装没反应啊
|
85
cattyhouse OP @gissimo 导出的时候不要给配置文件签名;最好不要用txt编辑,用notepad++也好。。。 没反应那一定是你的配置文件有问题。
|
86
gissimo 2014-10-12 21:52:52 +08:00
|
87
cattyhouse OP @gissimo 手机待机vpn自动断开。只要试图联网,它就拨号。
|
88
gissimo 2014-10-13 00:08:22 +08:00 via iPhone
@cattyhouse 可是我这上面完全没这个效果啊?按照你的制作配置文件的步骤制作出来导入的诶
|
89
emptyzone 2014-10-14 11:51:52 +08:00
|
90
emptyzone 2014-10-14 11:53:29 +08:00
IKEv1 也是支持 SplitTunnel 的。在配合上自己的抗污染DNS。连接速度也不错。
@cattyhouse 看看我写的这个能满足你的需求吗。 http://emptyzone.github.io/tech/2014/10/13/cross-fire-wall-on-ios8/ |
91
wangqj 2014-10-17 15:40:41 +08:00
|
93
debiansid 2014-11-22 20:03:58 +08:00 via iPhone
Any connect 没有自动重连。怎么破
|
94
cattyhouse OP @debiansid who told you?
|
95
debiansid 2014-11-23 01:56:19 +08:00
@cattyhouse 自己的手机看到的情况啊
|
96
debiansid 2014-11-23 20:53:31 +08:00
@cattyhouse ipsec 配置折腾好几天了,发现是openwrt的默认规则好像阻止进来的udp,用3G上网可以连
|
97
debiansid 2014-11-24 21:24:37 +08:00 via iPhone
能否配置为连到特定的ssid 不拨vpn?
|
99
debiansid 2014-11-24 21:41:32 +08:00 via iPhone
@cattyhouse 多人用同一证书但是必须用不同账户才可以,对么?
|