Strongswan IKEv2：客户端连接VPN服务器后HTTPS无法工作

看起来你碰到的是MacOS连接Strongswan VPN后HTTPS失效的典型问题，我之前在OpenWRT环境下也遇到过类似情况，结合你的配置细节，给你几个排查方向：

HTTPS数据包通常比普通HTTP或ICMP包更大，MTU（最大传输单元）不匹配会导致包分片失败，这是MacOS VPN客户端常见的坑：

• 在Strongswan的/etc/ipsec.conf中，找到你的VPN连接配置块，添加或调整MTU参数：

  conn my-vpn
      leftsubnet=0.0.0.0/0
      mtu=1400  # 比WAN口MTU小40-60字节，适配VPN头部开销
  

• 同时在Mac端手动设置VPN接口MTU：打开「系统偏好设置」→「网络」→ 选中你的VPN连接→「高级」→「TCP/IP」，把MTU改成1400
• 重启Strongswan生效：/etc/init.d/strongswan restart

虽然证书在Synology上正常，但Strongswan对证书链的完整性要求更严格，单独的域名证书可能无法被MacOS信任：

• 登录OpenWRT，检查/etc/ipsec.d/certs/目录，确保你把Let's Encrypt的中间证书（比如Let's Encrypt Authority X3/X1）和域名证书合并成一个文件，或者把中间证书放到/etc/ipsec.d/cacerts/目录
• 用命令查看证书链状态：ipsec listcerts，输出里应该能看到根证书→中间证书→你的域名证书的完整层级
• 如果链不完整，重新下载完整的证书链替换现有文件，再重启Strongswan

Strongswan 5.3.3版本偏老，默认加密套件可能和MacOS的IPSec/TLS栈不兼容，导致HTTPS握手失败：

• 打开/etc/ipsec.conf，在连接块中明确指定兼容的加密套件：

  conn my-vpn
      esp=aes256-sha256-modp2048!
      ike=aes256-sha256-modp2048!
  

• 检查/etc/strongswan.conf的charon插件配置，确保EAP相关插件已启用：

  charon {
      plugins {
          eap_mschapv2 { load = yes }
          eap_tls { load = yes }
          pem { load = yes }
          x509 { load = yes }
      }
  }
  

基础流量正常不代表HTTPS端口的转发规则没问题：

• 检查OpenWRT防火墙配置/etc/config/firewall，确保VPN接口（通常是ipsec0）的转发规则允许TCP 443端口流量：

  config rule
      option src 'vpn'
      option dest 'wan'
      option target 'ACCEPT'
      option proto 'tcp'
      option dest_port '443'
  

• 临时关闭防火墙测试：/etc/init.d/firewall stop，如果HTTPS恢复，再逐步调整规则排除问题

如果以上方法都无效，抓包分析HTTPS握手过程：

• 在OpenWRT上执行抓包命令：tcpdump -i ipsec0 port 443 -w https_vpn.pcap
• 把pcap文件传到本地用Wireshark打开，查看是TCP三次握手失败、TLS证书验证报错，还是数据包被丢弃

内容的提问来源于stack exchange，提问作者drew1kun