Technical 技术专栏

前言 很久很久以前(其实也没多久)在笔记本上装了个arch,玩够了就没管了,最近突然想拿里面的配置文件出来给虚拟机用,但是在Windows上用ext文件驱动又太麻烦了,懒得搞,于是想用虚拟机启动这个系统,直接ssh登进去取。随手一记。 查看系统所在磁盘序号与分区位置 在diskgenues里看到arch所处的盘位为hd1-part8 在操作系统所在的分区前新建一个1G的分区， 然后把引导分区（一般为磁盘第一个分区，名字是ESP，FAT32的文件系统）克隆过来 在VMware中创建虚拟机 使用管理员权限打开VMware-workstation 新建一个虚拟机，选自定义 稍后安装系统 其他Linux 使用物理磁盘 选择第一步查看到的磁盘序号，我这里是磁盘1，选择使用单个分区 将操作系统和引导盘所在的分区选中 如图操作 选一个PE镜像 开机,进入Linux-PE中 lsblk -f # 挂载根分区到 /mnt mount /dev/sda9 /mnt # 挂载 EFI 引导分区到 /mnt/boot mount /dev/sda8 /mnt/boot # 进入系统 chroot 环境 arch-chroot /mnt #安装Linux内核 pacman -S linux # 安装 GRUB 到 EFI 分区 grub-install --target=x86_64-efi --efi-directory=/boot --bootloader-id=GRUB # 生成新的 GRUB 配置文件 grub-mkconfig -o /boot/grub/grub.cfg # 退出 chroot 环境 exit # 卸载挂载的分区 umount /mnt/boot umount /mnt # 重启系统 reboot 完成 ...

AI生成 适用场景：跨城市双内网环境（无公网IP），ESXi网段172.31.88.0/24，Windows网段192.168.1.0/24，通过公网域名happy.com（Ubuntu服务器）实现P2P IPsec加密互通与内网共享 前置约定：所有操作涉及的用户名/密码统一为 happy/Huawei@123，IPsec预置共享密钥为 Huawei123；操作前确保公网Ubuntu服务器可正常访问，ESXi主机已开启虚拟化功能，Windows主机具备管理员权限。 一、操作前核心网络技术原理摘要 本次搭建的核心是“P2P NAT穿透+IPsec NAT-T加密+隧道模式网段转发”，核心逻辑如下，理解后可更精准排查操作问题： 1. 核心痛点与解决方案 跨城市内网无法直连的核心是NAT地址隐藏，ESXi原生不支持通用IPsec，因此通过“公网STUN/TURN辅助穿透+ESXi侧虚拟化VPN网关+IPsec加密”解决： 公网Ubuntu（happy.com）：部署coturn服务，提供STUN（NAT映射地址发现）和TURN（P2P失败中继兜底）功能； ESXi侧：创建Ubuntu虚拟机作为VPN网关，部署StrongSwan（IPsec服务端），替代ESXi主机实现IPsec协商与流量转发； Windows侧：部署StrongSwan客户端，通过ICE框架与ESXi网关完成P2P打洞，建立IPsec隧道。 2. 关键技术核心 IPsec NAT-T：将无端口的ESP加密包封装到UDP 4500端口，解决IPsec穿越NAT的核心问题，是跨内网通信的关键； IKEv2协议：通过4次握手快速建立安全关联（SA），协商加密算法（AES-256）和密钥，支持自动重连，适配动态网络环境； 隧道模式：用新IP头封装原始内网数据包，实现172.31.88.0/24与192.168.1.0/24网段的透明互通，而非仅单点通信。 3. 数据传输路径 正常场景（P2P打洞成功）：Windows业务流量 → ESP加密 → UDP 4500封装 → 本地NAT映射 → 公网P2P直连 → ESXi侧NAT解映射 → 网关VM解封装解密 → ESXi内网； 兜底场景（P2P失败）：流量经公网happy.com的TURN服务中继，全程密文传输，仅增加少量延迟。 二、操作步骤全流程 模块1：公网Ubuntu服务器（happy.com）配置（STUN/TURN服务部署） 作用：为双内网节点提供NAT穿透辅助，P2P失败时作为流量中继，核心部署coturn服务。 步骤1.1 登录公网Ubuntu服务器 通过SSH登录（若本地可直连则直接操作）： ssh happy@happy.com # 输入密码：Huawei@123 步骤1.2 安装coturn服务 更新源并安装，Ubuntu默认源已包含coturn： sudo apt update && sudo apt install coturn -y 步骤1.3 配置coturn服务（核心） 编辑配置文件 /etc/turnserver.conf，替换为以下内容（适配happy.com域名和统一账号）： # 基础配置 listening-port=3478 # STUN/TURN默认端口（UDP/TCP） tls-listening-port=5349 # 可选，TLS加密端口，本次暂不启用 external-ip=公网服务器实际IP # 替换为happy.com对应的公网IP（如47.xxx.xxx.3） realm=happy.com # 域名标识，与后续IPsec协商一致 server-name=happy.com # 认证配置（统一账号密码） user=happy:Huawei@123 # 格式：用户名:密码 lt-cred-mech # 启用用户名密码认证 # 中继配置 relay-port-min=49152 # 中继端口范围 relay-port-max=65535 min-port=49152 max-port=65535 # 其他优化 fingerprint # 启用指纹验证 log-file=/var/log/turnserver.log # 日志路径，便于排查问题 verbose # 详细日志模式 步骤1.4 启动并验证coturn服务 # 启动服务并设置开机自启 sudo systemctl start coturn sudo systemctl enable coturn # 验证服务状态 sudo systemctl status coturn # 显示active(running)即为正常 # 验证端口监听 sudo netstat -tulnp | grep turnserver # 应看到3478端口监听 模块2：ESXi侧VPN网关VM配置（IPsec服务端部署） 核心逻辑：ESXi主机不直接部署IPsec，通过创建Ubuntu虚拟机作为网关，承载StrongSwan服务端功能，网关IP规划为172.31.88.10/24（网关为172.31.88.1）。 ...