将strongswan从旧版迁移到swanctl的新版

Sat, 15 Aug 2026 18:49:20 +0800

需求

之前写过一篇关于strongswan配置的《StrongSwan配置笔记》，因为当时用的系统比较旧，strongswan还是5.7，用的是旧版的starter配置方式，这回是需要在一台新的Debian13上配置，用的是strongswan 6.0.1，要使用新的swanctl方式配置，所以需要迁移一下。

新版的配置方式变化其实只是表面现象，本质上的变化更大。比如后端协议由传统的Stroke协议改为使用现代的VICI协议。更关键的是官方对于旧版的支持已处于维护模式，不再添加新特性，所以还是要切换到更强大且配置灵活的新版。

迁移内容

首先是安装上的区别：

# 首先是移除旧版（如果已经安装了的话）
sudo systemctl disable --now strongswan-starter
sudo systemctl mask strongswan-starter.service
# 然后开始安装新版（注意排除掉旧版）
sudo apt-get update
sudo env DEBIAN_FRONTEND=noninteractive apt-get install -y \
  charon-systemd strongswan-swanctl libcharon-extra-plugins certbot \
  strongswan-starter- strongswan-

需要注意的是，不要同时安装两个版本，更不要同时启动两个版本，否则会有冲突。

其次就是配置文件上的区别：

旧版的配置文件是/etc/ipsec.conf和ipsec.secrets，新版改为/etc/swanctl/swanctl.conf，格式也完全不同。

配置变更

一个可供参考新版配置如下：

connections {
    ikev2-eap {
        version = 2
        local_addrs = %any
        remote_addrs = %any
        proposals = aes256gcm16-prfsha384-ecp384,aes256gcm16-prfsha256-modp2048,aes256-sha256-modp2048,aes256-sha256-ecp256,aes256-sha1-modp2048,aes128-sha1-modp2048
        fragmentation = yes
        mobike = yes
        send_cert = always
        unique = never
        pools = vpn-ipv4
        dpd_delay = 30s
        rekey_time = 0s
        reauth_time = 0s
        local {
            auth = pubkey
            certs = server.pem
            id = <your_domain_name>
        }
        remote {
            auth = eap-mschapv2
            eap_id = %any
        }
        children {
            internet {
                local_ts = 0.0.0.0/0
                remote_ts = dynamic
                esp_proposals = aes256gcm16,aes128gcm16,aes256-sha256,aes128-sha256,aes256-sha1,aes128-sha1
                rekey_time = 1h
                life_time = 90m
                dpd_action = clear
                start_action = none
            }
        }
    }
}
pools {
    vpn-ipv4 {
        addrs = 10.12.0.0/24
        dns = 1.1.1.1, 8.8.8.8
    }
}
include conf.d/*.conf

其中<your_domain_name>要换成你的服务器域名，并且提供相应的TLS证书。

Swanctl on Mental Studio

将strongswan从旧版迁移到swanctl的新版

需求

迁移内容

配置变更