Com configurar un servidor VPN IPSec/L2TP a Ubuntu/Debian

Roger Mata

25 de Octubre de 2026 16:29
Actualització

De vegades pots necessitar connectar el teu servidor o la teva xarxa de Clouding amb el teu equip local. En aquest article s'explica com instal·lar strongswan amb xl2tpd i fer les configuracions necessàries per configurar una VPN L2TP/IPSec PSK a Ubuntu 24.04 LTS.

Configuració del tallafoc de Clouding

Perquè la VPN funcioni, crea i assigna un perfil de tallafoc amb les regles següents per al servidor:

Passos previs

Per evitar errors de DNS, hauràs d'executar les ordres següents:

# apt remove unbound -y && systemctl stop systemd-resolved.service && systemctl disable systemd-resolved.service && rm /etc/resolv.conf

A continuació, utilitza l'ordre següent:

# nano /etc/resolv.conf

Deixa-hi únicament el contingut següent:

nameserver 8.8.8.8
nameserver 8.8.4.4

Instal·lació de Strongswan

# apt-get update && apt-get upgrade -y && apt-get install strongswan -y

Ara edita el fitxer de configuració de l'IPSec:

# nano /etc/ipsec.conf

Afegeix la connexió al final:

config setup
    charondebug="ike 2, knl 2, cfg 2, net 2, esp 3, dmn 2, mgr 2"

conn L2TP
    authby=secret
    ike=aes256-sha1-ecp384!
    keyexchange=ikev1
    left=%any
    right=%any
    auto=add
    type=transport
    leftprotoport=17/1701
    rightprotoport=17/1701
    rekey=no

A continuació, cal especificar una clau precompartida:

# nano /etc/ipsec.secrets

Afegeix el contingut següent al final (modifica la clau d'exemple):

: PSK "MiClaveSecreta"

Instal·lació de xl2tpd

# apt install xl2tpd -y && systemctl enable xl2tpd

Un cop instal·lat, edita el fitxer de configuració de l'xl2tp amb l'ordre següent:

# nano /etc/xl2tpd/xl2tpd.conf

Afegeix el contingut següent al final:

[global]
listen-addr = 0.0.0.0 ; Escucha en todas las interfaces de red
auth file = /etc/xl2tpd/l2tp-secrets ; Archivo de autenticación de usuarios
ipsec saref = yes ; Habilita la referencia de seguridad de IPsec para optimizar el tráfico
force userspace = yes ; Para que cada User utilice su propia conexión
debug tunnel = yes ; Habilita logs detallados del túnel L2TP
debug avp = yes ; Registra paquetes AVP (Attribute-Value Pair)
debug network = yes ; Logs del tráfico de red
debug state = yes ; Depuración del estado de las conexiones
[lns default]
ip range = 10.30.10.5-10.30.10.200 ; Rango de IP VPN para los clientes L2TP
local ip = 10.30.10.1 ; IP VPN del servidor
refuse chap = yes ; Rechazar autenticación CHAP
refuse pap = yes ; Rechazar autenticación PAP (menos seguro que CHAP)
require authentication = yes ; Obliga a autenticación antes de establecer la conexión
bps = 104857600 ; Límite de velocidad en bits por segundo (~100 Mbps)
ppp debug = yes ; Habilita el modo de depuración de PPP (útil para diagnóstico)
pppoptfile = /etc/ppp/options.xl2tpd ; Archivo con opciones de configuración de PPP
length bit = yes ; Indica que el bit de longitud está presente en los paquetes PPP

A continuació, copia i edita el fitxer d'opcions de l'xl2tp:

# cp /etc/ppp/options /etc/ppp/options.xl2tpd && nano /etc/ppp/options.xl2tpd

Hauràs d'afegir el contingut següent al final:

ipcp-accept-local # Acepta la dirección IP local propuesta por el servidor durante la negociación IPCP (IP Control Protocol)
ipcp-accept-remote # Acepta la dirección IP remota propuesta por el cliente durante la negociación IPCP
require-mschap-v2 # Obliga a usar MSCHAPv2 para autenticación, más seguro que PAP y CHAP
ms-dns 8.8.8.8 # Especifica un servidor DNS para los clientes VPN (en este caso, Google DNS)
proxyarp # Habilita Proxy ARP para permitir que el servidor responda a solicitudes ARP en nombre de los clientes VPN
connect-delay 5000 # Retrasa la conexión PPP en 5000 ms (5 segundos) para evitar problemas de sincronización en la autenticaciónconnect-delay 5000
nodefaultroute
mtu 1410
mru 1410
debug

Aquí pots crear tots els usuaris que necessitin accedir a la VPN:

# nano /etc/ppp/chap-secrets

Afegeix el contingut següent al final del fitxer, amb la contrasenya i el nom d'usuari de CHAP:

userVPN * passVPN *

A continuació, per afegir la contrasenya i el nom d'usuari de L2TP:

# nano /etc/xl2tpd/l2tp-secrets

Afegeix l'usuari al final:

* userVPN passVPN

NOTA: Utilitza contrasenyes segures; això és un exemple.

Instal·lació de dnsmasq

# apt install dnsmasq -y && systemctl enable dnsmasq

Crea i edita el fitxer de configuració:

# nano /etc/dnsmasq.conf

Afegeix-hi el contingut següent:

dhcp-range=10.30.10.5,10.30.10.200
dhcp-option=6,8.8.4.4,8.8.8.8
#dhcp-option=121,10.30.10.0/24,10.30.10.1
#dhcp-option=249,10.30.10.0/24,10.30.10.1

Per defecte, s'utilitza el mateix servidor VPN com a passarel·la i no cal afegir rutes, però pots descomentar les entrades i afegir les rutes actives necessàries.

A continuació, executa l'ordre següent per activar l'encaminament i aplicar el canvi de manera permanent:

# echo 'net.ipv4.ip_forward=1' | tee -a /etc/sysctl.conf && sysctl -p

Ara reinicia els serveis per aplicar-hi els canvis:

# service xl2tpd restart && service dnsmasq restart && ipsec restart

Finalment, executa les ordres següents per emmascarar el trànsit de la VPN (no cal si s'utilitzen rutes estàtiques):

# iptables -A FORWARD -i ppp0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Afegeix també l'ordre a /etc/rc.local perquè es mantingui quan es reiniciï el servidor:

# nano /etc/rc.local

Afegeix el contingut següent al final:

/sbin/iptables -A FORWARD -i ppp0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Com configurar una VPN L2TP al Windows

Al quadre de cerca del tauler de control del Windows, escriu VPN, entra a “Cambiar redes privadas virtuales” i fes clic a “Agregar una conexión VPN”. Un cop aquí, emplena els camps amb les dades de la VPN (IP, PSK, nom d'usuari i contrasenya):

Ja pots començar a utilitzar la VPN.

Com configurar una VPN L2TP a Android

Per configurar la VPN a Android, ves a Ajustes, després a más redes, entra a l'opció VPN i prem + per crear una VPN:

Recorda que, si tens consultes sobre aquesta qüestió o qualsevol altra relacionada amb els teus servidors a Clouding, ens pots escriure a soporte@clouding.io Som al teu costat per a tot el que necessitis. Consulta'ns!

Articles en aquesta secció