openwrt ipsec 连接配置

openwrt开启vpn服务端的目的是能够远程管理家庭各个设备，同时家庭网络如果连接了其他私网，那么家庭网络也构成了通向这个私网的桥梁。

openwrt的vpn服务端有很多种，有思科专有协议的anyconnect，一般企业部署的较多，还有老牌的PPTP，还有openvpn，然而我们建立隧道是要面向各个终端提供服务的，openvpn在各大系统中都没有默认客户端，所以最常用的还是L2TP/IPSEC协议，无论是L2TP还是IPSEC协议，ios,android,mac,windows,linux基本都有系统内置的客户端，不需要安装软件。

openwrt开启L2TP/IPSEC服务后，在多出一个vpn接口，如果你的openwrt是当作交换机作为桥接或者作为拨号路由，那么端口映射就不需要了，如果是作为二级路由，需要映射相应端口号。

当你用手机连接openwrt vpn后，你会发现无法上网，最关键的是在防火墙中配置以下三条规则：

tables -t nat -I POSTROUTING -s (vpn网段,例如10.10.2.0)/24 -j MASQUERADE
tables -I FORWARD -i vpn -s (vpn网段,例如10.10.2.0)/24 -j ACCEPT
ptables -I INPUT -i vpn -s (vpn网段,例如10.10.2.0)/24 -j ACCEPT

配置完成后就可以使用网络了。

iptables语法详见：https://www.cnblogs.com/kevingrace/p/6265113.html