终极进化：当swanctl遇上FRR，让你的Linux加密隧道化身SD-WAN雏形

原创

衡水铁头哥
衡水铁头哥

铁军哥

2026年5月27日 07:33
北京

在小说阅读器读本章

去阅读

前言

打造SD-WAN雏形！结合swanctl与XFRM接口，教你用FRR为Route-Based IPsec插上动态路由的翅膀！从基础组网、swanctl策略下发到OSPF邻居建立，保姆级教程带你玩转现代VPN架构。告别繁琐维护，让你的加密网络实现零停机动态扩容。

经过前面的测试，我们发现使用swanctl配置基于策略的IPsec VPN（告别老旧配置！Ubuntu 26.04玩转swanctl配置IPsec全通关指南），这种方式需要明确指定了本端网段和对端网段，跟H3C配置ACL感兴趣流一样（用WireShark抓包解决StrongSwan和H3C对接失败的问题）。

在实际使用中，如果我们要调整业务网段，配置会非常麻烦，这个时候就可以考虑改用基于路由的IPsec VPN（零停机、性能小升！手把手教你甩掉策略包袱，玩转路由模式IPsec），所有的局域网流量都可以仅仅通过写简单的ip route系统路由，就能决定是否走加密隧道，停机时间为零。此外，我们还发现，因为实现机制问题，使用基于路由的IPsec VPN时，CPU负载会低于基于策略的配置方式，转发效率自然更胜一筹。经过简单调整（榨干算力！从700M到近3G，Linux原生IPsec极限调优实战），即可实现1 Gbps以上的转发性能，最高可达2.97 Gbps。

静态配置虽好，但要是能用上FRR之类的工具（为SRv6实验铺路：手把手教你将Ubuntu中的FRR升级至最新v10.5稳定版），配置OSPF/BGP等动态路由协议让网络自动收敛，那岂不是锦上添花？那我们今天就来小测一下。

首先，我们准备5台Ubuntu 26.04虚拟机（拒绝手搓系统！Ubuntu 26.04自动安装实战：让电脑自己“卷”起来），其中Ubuntu1和Ubuntu5充当两端的内网主机，Ubuntu3充当中间转发设备，我们在Ubuntu2和Ubuntu4上配置基于XFRM接口的IPsec VPN，并通过FRR运行OSPF协议以实现两端私网互通的完整过程。

首先，我们配置基础网络环境。

Ubuntu1上需要配置互联接口IP地址，并添加静态路由。

ip addr add 10.12.1.1/24 dev ens6ip route add 10.0.0.0/8 via 10.12.1.2

Ubuntu5上需要配置互联接口IP地址，并添加静态路由。

ip addr add 10.45.1.5/24 dev ens6ip route add 10.0.0.0/8 via 10.45.1.4

Ubuntu3需要配置互联接口IP地址，并使能IPv4转发。

ip addr add 10.23.1.3/24 dev ens6ip addr add 10.34.1.3/24 dev ens7sysctl -w net.ipv4.ip_forward=1

Ubuntu2需要配置互联接口IP地址，使能IPv4转发，并添加去往Ubuntu4的明细路由。

ip addr add 10.23.1.2/24 dev ens6ip addr add 10.12.1.2/24 dev ens7ip route add 10.34.1.0/24 via 10.23.1.3sysctl -w net.ipv4.ip_forward=1

同样的，Ubuntu4需要配置互联接口IP地址，使能IPv4转发，并添加去往Ubuntu2的明细路由。

ip addr add 10.34.1.4/24 dev ens6ip addr add 10.45.1.4/24 dev ens7ip route add 10.23.1.0/24 via 10.34.1.3sysctl -w net.ipv4.ip_forward=1

基础网络配置完成后，需要检查Ubuntu2和Ubuntu4之间的公网互通性。

ping -c 5 10.23.1.2traceroute 10.23.1.2

接下来，我们开始配置strongswan-swanctl。首先，我们在IPsec隧道的两端安装核心组件以及额外的加密插件，避免执行swanctl命令时出现插件缺失报错。

apt-get updateapt-get install -y strongswan strongswan-swanctl libstrongswan-extra-plugins libcharon-extra-pluginsapt list strongswan strongswan-swanctl libstrongswan-extra-plugins libcharon-extra-plugins

同时，我们也不使用基于SSH-Agent的认证，在配置文件/etc/strongswan.conf的末尾追加封印配置，直接禁用agent插件，规避报错，缓解强迫症。

cat << 'EOF' >> /etc/strongswan.confswanctl {  plugins {    agent {      load = no    }  }}charon {  plugins {    agent {      load = no    }  }}EOF

与此同时，我们把FRR也安装一下。