文章总结： 本文详细介绍了如何在Linux系统中结合swanctl配置基于路由的IPsecVPN，并通过FRR动态路由协议实现SD-WAN雏形架构。文章通过5台Ubuntu虚拟机搭建实验环境，从基础网络配置、strongswan-swanctl安装、XFRM接口创建到OSPF协议部署，完整演示了零停机动态扩容的加密隧道方案。关键发现显示路由模式IPsec比策略模式性能提升近3Gbps，并提供了具体配置命令和优化建议。 综合评分： 85 文章分类： 解决方案,网络安全,云安全,安全工具,安全建设
终极进化：当swanctl遇上FRR，让你的Linux加密隧道化身SD-WAN雏形
原创
衡水铁头哥 衡水铁头哥
铁军哥
2026年5月27日 07:33 北京
在小说阅读器读本章
去阅读
前言
打造SD-WAN雏形！结合swanctl与XFRM接口，教你用FRR为Route-Based IPsec插上动态路由的翅膀！从基础组网、swanctl策略下发到OSPF邻居建立，保姆级教程带你玩转现代VPN架构。告别繁琐维护，让你的加密网络实现零停机动态扩容。
经过前面的测试，我们发现使用swanctl配置基于策略的IPsec VPN（告别老旧配置！Ubuntu 26.04玩转swanctl配置IPsec全通关指南），这种方式需要明确指定了本端网段和对端网段，跟H3C配置ACL感兴趣流一样（用WireShark抓包解决StrongSwan和H3C对接失败的问题）。
在实际使用中，如果我们要调整业务网段，配置会非常麻烦，这个时候就可以考虑改用基于路由的IPsec VPN（零停机、性能小升！手把手教你甩掉策略包袱，玩转路由模式IPsec），所有的局域网流量都可以仅仅通过写简单的ip route系统路由，就能决定是否走加密隧道，停机时间为零。此外，我们还发现，因为实现机制问题，使用基于路由的IPsec VPN时，CPU负载会低于基于策略的配置方式，转发效率自然更胜一筹。经过简单调整（榨干算力！从700M到近3G，Linux原生IPsec极限调优实战），即可实现1 Gbps以上的转发性能，最高可达2.97 Gbps。
静态配置虽好，但要是能用上FRR之类的工具（为SRv6实验铺路：手把手教你将Ubuntu中的FRR升级至最新v10.5稳定版），配置OSPF/BGP等动态路由协议让网络自动收敛，那岂不是锦上添花？那我们今天就来小测一下。
首先，我们准备5台Ubuntu 26.04虚拟机（拒绝手搓系统！Ubuntu 26.04自动安装实战：让电脑自己“卷”起来），其中Ubuntu1和Ubuntu5充当两端的内网主机，Ubuntu3充当中间转发设备，我们在Ubuntu2和Ubuntu4上配置基于XFRM接口的IPsec VPN，并通过FRR运行OSPF协议以实现两端私网互通的完整过程。
首先，我们配置基础网络环境。
Ubuntu1上需要配置互联接口IP地址，并添加静态路由。
ip addr add 10.12.1.1/24 dev ens6ip route add 10.0.0.0/8 via 10.12.1.2
Ubuntu5上需要配置互联接口IP地址，并添加静态路由。
ip addr add 10.45.1.5/24 dev ens6ip route add 10.0.0.0/8 via 10.45.1.4
Ubuntu3需要配置互联接口IP地址，并使能IPv4转发。
ip addr add 10.23.1.3/24 dev ens6ip addr add 10.34.1.3/24 dev ens7sysctl -w net.ipv4.ip_forward=1
Ubuntu2需要配置互联接口IP地址，使能IPv4转发，并添加去往Ubuntu4的明细路由。
ip addr add 10.23.1.2/24 dev ens6ip addr add 10.12.1.2/24 dev ens7ip route add 10.34.1.0/24 via 10.23.1.3sysctl -w net.ipv4.ip_forward=1
同样的，Ubuntu4需要配置互联接口IP地址，使能IPv4转发，并添加去往Ubuntu2的明细路由。
ip addr add 10.34.1.4/24 dev ens6ip addr add 10.45.1.4/24 dev ens7ip route add 10.23.1.0/24 via 10.34.1.3sysctl -w net.ipv4.ip_forward=1
基础网络配置完成后，需要检查Ubuntu2和Ubuntu4之间的公网互通性。
ping -c 5 10.23.1.2traceroute 10.23.1.2
接下来，我们开始配置strongswan-swanctl。首先，我们在IPsec隧道的两端安装核心组件以及额外的加密插件，避免执行swanctl命令时出现插件缺失报错。
apt-get updateapt-get install -y strongswan strongswan-swanctl libstrongswan-extra-plugins libcharon-extra-pluginsapt list strongswan strongswan-swanctl libstrongswan-extra-plugins libcharon-extra-plugins
同时，我们也不使用基于SSH-Agent的认证，在配置文件/etc/strongswan.conf的末尾追加封印配置，直接禁用agent插件，规避报错，缓解强迫症。
cat << 'EOF' >> /etc/strongswan.confswanctl { plugins { agent { load = no } }}charon { plugins { agent { load = no } }}EOF
与此同时，我们把FRR也安装一下。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：铁军哥 衡水铁头哥 衡水铁头哥《终极进化：当swanctl遇上FRR，让你的Linux加密隧道化身SD-WAN雏形》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论