为什么使用强than而不是本地vpn支持？

Question

据我所知，FreeBSD附带了建立vpn连接的本地能力。

这是一个软件包，它位于freebsd ipsec堆栈之上，还是一个替代程序？

Answer 1

FreeBSD的网络栈支持IPsec，但这只是基于IPsec的VPN连接的较低层。

如果您不想手动配置安全关联(SAs) (使用加密/身份验证密钥，您需要安全地放置在两端并必须定期替换)，则需要使用实现因特网密钥交换(IKE)协议的键控守护进程来实现这一点。strongSwan实现了该协议的两个版本，允许自动设置和替换SAs，从而安全地对主机进行身份验证(例如使用X.509证书)，并且使用Diffie-Hellman密钥交换动态生成密钥。

strongSwan作为一个userland守护进程运行，它使用FreeBSD内核使用PF_KEYv2协议进行通信，以便在网络堆栈中配置协商好的IPsec SAs和策略(该策略定义由哪个SA保护哪些通信)。

浣熊是一种替代的键控守护程序，但它只实现了IKEv1协议，并且不再积极开发(除非您考虑它在iOS/OS和Android中的分支)。提供浣熊的ipsec-tools包还附带setkey，它可以用于手动键控，但也允许查询内核状态。因此，即使使用其他键控守护进程(如strongSwan )来检查已安装的SAs和策略是否符合它们的要求，该实用程序也可能很有用。