ALADOWN-阿拉下载 - STRONGSWAN
type: channel
link: https://www.aladown.com/tag/STRONGSWAN/
items: StrongSwan一键创建IKE v2的VPN后几个问题解决方法
items: 在WIN7连接IKev2+IPSEC时提示 Error 13801的解决方案

StrongSwan一键创建IKE v2的VPN后几个问题解决方法
type: item
date: 2021-09-19T23:04:09-04:00
description: 参考链接使用通过： ```csharp wget https://raw.githubusercontent.com/quericy/one-key-ikev2-vpn/master/one-key-ikev2.sh ``` 获得安装脚本，执行完毕后，ios使用ikev1会发现无论怎么连都是服务器无响应。请按照以下步骤排查问题（请保证手机使用数据网，而非wifi进行测试）： 1，关闭防火墙：/etc/init.d/iptables stop 然后看ios能否连上，如果能连上那就说明是防火墙的问题。 2，接上，此时虽然连上但是访问不了网络，原因是没有转发。执行： ```csharp iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE ``` 然后service iptables restart使之生效。之后ios应该能正常连上并访问网络了。 如果符合1，2特征的话，那说明就是防火墙的问题。杂家也是非常奇怪，同样的脚本在搬瓦工上就是ok的， 但是在vultr上就死活连不上，经过仔细对比vultr的 /etc/sysconfig/iptables文件发现了这么一句： ```csharp -A INPUT -j REJECT --reject-with icml-host-prohibited ``` （这句话的上面是： ```csharp -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT ``` ，默认ssh是22端口登陆的，所以此处的作用很明显） 把这句话删掉就ok了，大爷的，就因为这句话浪费了我两天时间。改了之后记得service iptables restart使之生效。之后就ok了！

在WIN7连接IKev2+IPSEC时提示 Error 13801的解决方案
type: item
date: 2019-04-19T01:38:08-04:00
description: 在HOSTLOC论坛上看到有人在更新StrongSwan证书后，在WIN7环境下出现13801的，其他环境都是正常的。大概问了一下情况就是Comodo的证书业务被收购了，新证书是Sectigo公司签发的。看了一下新证书的CA文件，里面包含的3个CA文件，是一个完整CA链；在一键安装包的issues那里找到了相应的说明，但是没有说的非常详细，只是说需要将CA文件拆分成独立的文件，由于在/etc/ipsec.d/cacerts目录下默认的CA文件只有一个，开始的想法就是从CA证书链文件中拆分一个出来，但是一直没有成功，后来将证书链中的3个CA都独立建立证书文件后一切都正常了，文件名也没有任何限制，不是必须的ca.cert.pem，可以按照域名来命名，只要结尾是PEM就可以了。通过这次分析，发现证书服务商给收购或者更新了证书链的文件，在StrongSWan下需要将整个证书链文件都要放进去，以保证证书链的完整，避免出现老系统不能识别到新的证书。