IKEv2-клиент на Linux: strongSwan + NetworkManager

MAATRIX

На iPhone и Windows IKEv2 подключается парой кликов через системные настройки, а на Linux многие по привычке лезут прямо в ipsec.conf — хотя для клиентской машины это лишняя работа. Плагин network-manager-strongswan даёт тот же результат, что и на других платформах: профиль в списке сетевых подключений, значок в трее, автоподключение при загрузке. Разберём установку плагина, импорт готового профиля и ручную настройку на случай, если файла профиля у вас нет.

Зачем NetworkManager, если есть штатный ipsec

Полноценный пакет strongswan с демоном charon и утилитой ipsec — это, по сути, серверный инструмент: он рассчитан на управление через конфиг-файлы и подходит, когда машина сама выступает VPN-сервером или шлюзом. Настраивать так рабочий ноутбук неудобно: каждое переключение сети требует ручных правок, а само подключение не привязано к GUI, который использует остальная система.

Плагин network-manager-strongswan устроен иначе — это отдельный сервис nm-strongswan-service, который сам линкуется с библиотекой libcharon из состава strongSwan и не нуждается в запущенном системном strongswan/ipsec демоне. NetworkManager просто передаёт ему параметры подключения через D-Bus, а дальше плагин сам поднимает и держит туннель. Практическое следствие: ставить полный strongswan с демонами и systemd-юнитами на клиентскую машину не нужно — только пакет плагина и его зависимости.

Второй плюс — интеграция с остальной сетевой инфраструктурой. NetworkManager сам умеет переключать VPN при смене сети, показывать статус в апплете, применять маршруты и DNS так же, как для Wi-Fi и Ethernet. Если сравнивали IKEv2 с другими протоколами и выбор пал именно на него — например, по описанным в статье «IKEv2 или L2TP: что выбрать» причинам, — связка с NetworkManager на Linux-десктопе логичное продолжение выбора.

Установка network-manager-strongswan

Пакет называется одинаково в духе своей экосистемы, но имя чуть отличается по дистрибутивам. На Ubuntu и Debian:

sudo apt update
sudo apt install network-manager-strongswan

В части версий Ubuntu до недавнего времени GUI-часть шла отдельным пакетом network-manager-strongswan-gnome — на актуальных релизах (24.04 и новее) он обычно уже входит в основной пакет, но если после установки в списке типов VPN нет strongSwan, поищите отдельно:

apt search strongswan | grep -i network-manager

На Fedora пакет называется с заглавной буквы:

sudo dnf install NetworkManager-strongswan NetworkManager-strongswan-gnome

На Arch Linux и производных плагин лежит в AUR:

yay -S networkmanager-strongswan

После установки перезапустите NetworkManager, чтобы он подхватил новый VPN-плагин:

sudo systemctl restart NetworkManager

Если используете KDE, а не GNOME, интерфейс подключения будет через plasma-nm, но сам плагин и его логика — те же самые, отличается только оформление окна.

Что нужно получить от сервера перед подключением

Прежде чем что-то импортировать или вбивать руками, соберите четыре вещи со стороны сервера:

• Адрес или домен сервера — то, что стоит в leftid/--san при выпуске сертификата.
• Корневой сертификат CA (ca-cert.pem) — файл, которым клиент проверяет подлинность сервера. Без него подключение либо не установится, либо (если отключить проверку) будет уязвимо к подмене сервера.
• Метод авторизации — чаще всего EAP-MSCHAPv2 по логину и паролю, реже клиентский сертификат. Схема генерации сертификатов и добавления EAP-пользователей на стороне сервера разобрана в статье про установку strongSwan на Ubuntu 24.04 — если сервер настраивали по ней, у вас уже всё это есть.
• Логин и пароль (для EAP) либо пара «клиентский сертификат + ключ» (для сертификатной схемы).

Если на сервере несколько учётных записей выданы через сертификаты, а не пароли — это отдельная многопользовательская схема, она описана в статье про multi-user сертификаты strongSwan; для неё на клиенте потребуется importировать не только CA, но и личный сертификат с ключом.

Импорт готового профиля (.sswan)

Самый быстрый путь — если у вас уже есть файл профиля в формате .sswan. Это JSON-файл, который strongSwan использует как переносимый формат конфигурации: тот же файл можно скормить приложению strongSwan на Android, клиенту на Windows и плагину NetworkManager на Linux. Обычно такой файл делает администратор сервера или инструмент вроде strongSwan VICI-скрипта, экспортирующего профиль сразу для всех платформ. Условно он выглядит так:

{
  "uuid": "5f2c1a10-9e3b-4a55-8b21-1234567890ab",
  "name": "Office VPN",
  "type": "ikev2-eap",
  "remote": {
    "addr": "vpn.example.com"
  },
  "local": {
    "eap_id": "ivan"
  }
}

Импорт делается через сам менеджер соединений, а не через файловый менеджер:

1. Откройте Настройки сети → VPN → «+» (или через апплет NetworkManager — «Изменить соединения»).
2. В списке типов выберите не «IPsec/IKEv2 (strongswan)» напрямую, а пункт «Импортировать сохранённую конфигурацию VPN».
3. Укажите путь к .sswan-файлу.
4. NetworkManager создаст новое подключение с уже заполненными адресом сервера и типом авторизации — останется только ввести пароль, если он не был встроен в файл (обычно пароли в .sswan не хранят из соображений безопасности).

Отдельно нужно положить корневой сертификат CA в системное хранилище, если он не был указан прямой ссылкой внутри .sswan:

sudo mkdir -p /etc/ipsec.d/cacerts
sudo cp ca-cert.pem /etc/ipsec.d/cacerts/

Из своего опыта: формат .sswan не всегда полностью совместим между версиями плагина — часть полей (например, специфичные наборы шифров) может игнорироваться NM-плагином, даже если корректно читается Android-клиентом. Если после импорта подключение не поднимается, проще перепроверить и при необходимости донастроить профиль вручную, чем гадать, какое поле не подхватилось.

Ручная настройка через GUI, если профиля нет

Без .sswan-файла профиль собирается вручную — тоже не долго, но потребуются все четыре пункта из раздела выше под рукой.

1. Настройки сети → VPN → «+» → IPsec/IKEv2 (strongswan).
2. Address — домен или IP сервера.
3. Certificate — путь к ca-cert.pem на диске (кнопка выбора файла рядом с полем).
4. Authentication → Method: выбрать EAP (Username/Password) для схемы логин-пароль или Certificate/Smartcard для сертификатной. Для EAP ниже появятся поля Username и User password — впишите выданные сервером значения.
5. Во вкладке Advanced можно задать конкретный набор шифров (Proposal), если сервер требует нестандартный ike=/esp= — по умолчанию плагин пробует согласовать параметры автоматически, и в большинстве случаев этого достаточно.

После сохранения подключение появится в списке сетей — активировать его можно кликом в апплете или через терминал (следующий раздел).

Отдельная деталь, о которой стоит знать заранее: за IPv6-туннелирование и часть NAT-траверсал настроек в GUI-плагине отвечают не всегда очевидные чекбоксы вроде «Enforce UDP encapsulation» — если сервер стоит за NAT провайдера или в докер-сети, включение этой опции иногда решает проблему «подключение установлено, трафика нет», которую иначе пришлось бы диагностировать по логам.

Подключение и управление через nmcli

Для headless-машин (сервер без GUI, WSL, минимальный дистрибутив) профиль можно и создать, и активировать из терминала. Через nmcli подключение типа VPN добавляется так:

nmcli connection add type vpn ifname '*' con-name "ikev2-office" \
  vpn-type strongswan \
  vpn.data "address=vpn.example.com, certificate=/etc/ipsec.d/cacerts/ca-cert.pem, method=eap, user=ivan"

Пароль в открытом виде в vpn.data лучше не хранить — задайте его отдельно как секрет соединения:

nmcli connection modify "ikev2-office" +vpn.secrets "password=СложныйПароль123!"

Названия ключей в vpn.data у плагина strongSwan негласно совпадают с полями GUI-редактора (address, certificate, method, user, usercert, userkey, virtual, encap), но могут слегка отличаться между версиями плагина. Надёжный способ узнать точные имена для вашей версии — один раз собрать профиль через GUI, а потом посмотреть его содержимое:

nmcli connection show "ikev2-office" | grep vpn

Дальше подключение и отключение — обычные команды NetworkManager:

nmcli connection up "ikev2-office"
nmcli connection down "ikev2-office"

Проверить, что маршрут действительно ушёл через туннель, а не просто установился:

nmcli connection show --active
curl ifconfig.me

Если внешний IP не сменился на адрес сервера при активном соединении — вероятно, туннель поднялся, но не стал маршрутом по умолчанию (это к вопросу о kill switch и о том, что «зелёная галочка» подключения ещё не значит, что весь трафик реально идёт через VPN — подробнее в статье про kill switch для VPN).

Диагностика и типичные проблемы

Основной источник информации при сбоях — журнал NetworkManager, а не системный journalctl -u strongswan, потому что туннель поднимает встроенный сервис плагина:

journalctl -u NetworkManager -f

Во время попытки подключения там будет видно и вывод самого charon, который использует плагин — ищите строки AUTHENTICATION_FAILED, NO_PROPOSAL_CHOSEN или TS_UNACCEPTABLE.

Частые причины сбоя и что они обычно значат:

Отдельно проверяйте DNS после успешного подключения — IKEv2-плагин иногда прописывает DNS-серверы туннеля в резолвер не так, как ожидает systemd-resolved, и часть запросов может продолжать уходить мимо VPN. Как это диагностировать и закрыть, подробно разобрано в статье про проверку и устранение DNS-утечек — те же приёмы применимы и к клиенту на strongSwan/NetworkManager, а не только к коммерческим VPN-приложениям.

Частые вопросы