实践是检验真理的唯一标准

    最近某集团公司想将物理机房内某些非关键业务迁移部署至共有云上，以实现混合云部署。

    大致拓扑如下：

    物理机房服务器私网段 192.168.0.0/24 出口设备配置了华为USG系列做NAT转换及防火墙部署。云端采用国内某知名公有云提供商，已购置云主机并配置了专有网络（云端私网10.10.10.0/24）

    云提供商已有成熟的VPN产品，云市场上亦有相关配置好的VPN系统镜像。但使用别人的产品心里总感觉不踏实，且相关开源产品都能支持这种架构没必要再去购买相关商业产品。于是决定自己配置基础网络架构。

    大致思路如下：

    在云端专有网络配置一台CentOS作为NAT转发，并配置使用IPsec与物理机房连接做业务迁移。云端业务主机不购置公有IP所有访问请求均通过123.56.17.X转发。

    云端主机如下： 

    注意：用于NAT及IPsec的云主机实际仅有1片虚拟网卡并通过NAT转发到123.56.17.X这个公网IP

一、业务主机server-OA配置很简单，将网关配置为10.10.10.67即可。同时打开测试物理主机的ping测试窗口，以便后面观察IPsec的连接

二、主要的网络配置在CentOS上，下面逐步分解：

1.选用的操作系统为RHEL的开源版本CentOS6.8是目前6系列比较靠后的一个版本，采用的IPsec软件为OpenSwan由著名的开源项目FreeS/WAN停止开发后的后继分支项目。相关介绍不再赘述，有兴趣自己百度。启动操作系统后安装OpenSwan 我采用的是yum安装

使用root登录执行命令： yum install openswan  回车

运行后会出现软件大小及版本和需要安装的依赖包，输入Y回车。程序会自动安装

2.OpenSwan安装完成后，输入： vi /etc/ipsec.conf 回车 配置ipsec.conf主配置文件。如果你安装的版本与我一致，则仅在protostack=netkey项下增加  nat_traversal=yes 和oe=off   如图所示：

以上2项的意思是开启nat-t和 关闭随机加密 有教程说还要增加virtual_private=项，实际在这个版本中默认已经配置。