1. Anforderungen

1. Asus-Router mit AsusWRT-Merlin-Firmware (z. B. Version 384.19 oder höher).
2. SSH-/Kommandozeilenzugriff am Router aktiviert.
   • Merlin-Web-GUI:
     • Administration → System öffnen.
     • SSH aktivieren und Zugangsdaten festlegen.
3. Zugangsdaten für ApexGuard IKEv2 (Serveradresse, Pre-Shared Key, Anmeldedaten oder Zertifikate).
4. Entware auf Ihrem Router installiert (zur strongSwan-Installation).

Falls Sie Entware noch nicht installiert haben, finden Sie Anweisungen im AsusWRT-Merlin-Entware-Wiki.

2. strongSwan mit Entware einrichten

Per SSH über eine Terminal-App am Router anmelden (PuTTY, Terminal):

ssh admin@192.168.1.1

1. Falls abweichend, admin und 192.168.1.1 durch Benutzername und IP ersetzen.

Entware-Paketliste aktualisieren:

opkg update

strongSwan aufsetzen:

opkg install strongswan

1. Installiert die Kernbinärdateien für strongSwan IKEv2/IPsec.

(Optional) Zusätzliche Plugins installieren, falls von ApexGuard benötigt (z. B. strongswan-mod-eap-mschapv2, strongswan-mod-eap-tls oder andere):

opkg install strongswan-mod-eap-mschapv2
opkg install strongswan-mod-eap-identity
...

3. Daten für ApexGuard IKEv2 ermitteln

1. In Ihrem ApexGuard-Konto anmelden.
2. Gehen Sie zu Erweiterte Einstellungen → ApexGuard manuell einrichten → Dienstzugangsdaten/IPsec-Zugangsdaten.
3. Notieren Sie:
   • Serveradresse (z. B. ikev2.apexguard.com oder IP).
   • Pre-Shared Key (PSK) bei PSK-basiertem IKEv2.
   • Benutzername/Passwort (bei EAP).
   • Zertifikatsdateien (bei Zertifikaten).

In diesem Beispiel gilt Folgendes:

• Server: ikev2.apexguard.com
• PSK: YOUR_PSK_HERE
• Lokaler Nutzername (mit EAP): YOUR_USER_HERE
• Wir zeigen ein einfaches PSK-Beispiel.

4. strongSwan-Konfiguration erstellen/ändern

Die strongSwan-Hauptkonfiguration liegt in /opt/etc/strongswan.conf und /opt/etc/ipsec.conf (manchmal auch /opt/etc/ipsec.secrets). Es folgt ein minimales Beispiel für ein PSK-basiertes „Road Warrior“-Szenario. Passen Sie es an die von ApexGuard empfohlenen Proposals für Phase 1 und 2 an.

4.1 strongswan.conf

Erstellen/bearbeiten Sie /opt/etc/strongswan.conf:

# /opt/etc/strongswan.conf
charon {
# Plugins you need, e.g. for kernel-netlink, stroke
load_modular = yes
install_routes = no
# Logging, optional
filelog {
/opt/var/log/strongswan.log {
time_format = %b %e %T
append = no
default = 1
flush_line = yes
}
}
}

Diese Basiskonfiguration lässt charon (den IKE-Daemon) Module laden und richtet eine Logdatei ein.

4.2 ipsec.conf

Erstellen/bearbeiten Sie /opt/etc/ipsec.conf:

# /opt/etc/ipsec.conf
config setup
uniqueids = never
conn apexguard-ikev2
# IKE settings
keyexchange = ikev2
ike = aes256-sha512-modp2048!
esp = aes256-sha512!
# Adjust proposals as needed
# Remote server
left=%defaultroute
leftid=%any
leftauth=psk
leftsourceip=%config     # Request an internal IP if supported
# Right side: ApexGuard server
right=ikev2.apexguard.com
rightauth=psk
rightsubnet=0.0.0.0/0   # If you want to route all traffic
auto=add

Info:

• ike = aes256-sha512-modp2048! und esp = aes256-sha512! sind Beispiele. Nutzen Sie ApexGuards empfohlene Algorithmen.
• auto=add fügt die Verbindung nur hinzu; Sie starten sie manuell oder mit ipsec up apexguard-ikev2. Verwenden Sie alternativ auto=start, damit der Tunnel beim Booten automatisch startet.

4.3 ipsec.secrets

Erstellen/bearbeiten Sie /opt/etc/ipsec.secrets für den Pre-Shared Key:

# /opt/etc/ipsec.secrets
: PSK "YOUR_PSK_HERE"

Wenn Sie eine andere Identität oder EAP-basierte Anmeldedaten brauchen, ändert sich die Syntax. Beispiel:

YOUR_USER_HERE : EAP "YOUR_PASSWORD_HERE"
: PSK "YOUR_PSK_HERE"

5. strongSwan starten, beim Booten laden

strongSwan manuell starten:

ipsec start

Test der Config:

ipsec up apexguard-ikev2

• Wenn alles korrekt ist, sollten Sie Meldungen zum Verbindungsaufbau sehen, die mit etwa connection 'apexguard-ikev2' established successfully enden.
• Prüfen Sie sonst /opt/var/log/strongswan.log auf Fehler.

Erstellen oder bearbeiten Sie /jffs/scripts/post-mount (wenn es fehlt, mit chmod +x /jffs/scripts/post-mount erstellen):

#!/bin/sh
if [ -x /opt/sbin/ipsec ]; then
ipsec start
fi

• Alternativ fügen Sie Befehle in /jffs/scripts/services-start oder ein ähnliches Startskript ein. Wichtig ist, dass Entware eingebunden ist, bevor strongSwan startet.

6. Policy-Routing oder NAT einrichten (optional)

6.1 Policy-Routing

Sollen alle Geräte im LAN den Verkehr über den Tunnel mit IKEv2 leiten, richten Sie policy-based routing ein oder fügen Routen manuell hinzu. Beispiel in der GUI von Merlin:

1. Öffnen Sie LAN → Route (oder Firewall → Routing rules für Policy-Routing).
2. Legen Sie statische Routen oder LAN-Subnetzregeln über die IPsec-Tunnelschnittstelle an.

strongSwan installiert aber standardmäßig Routen, wenn leftsourceip=%config und install_routes=yes (in strongswan.conf) gesetzt sind. Erwartet der ApexGuard-Server NAT-übersetzten Verkehr, kann auch eine NAT-Regel nötig sein.

6.2 NAT auf dem Router

/jffs/scripts/firewall-start anlegen oder ändern:

#!/bin/sh
iptables -t nat -A POSTROUTING -o ipsec0 -j MASQUERADE

1. Ersetzen Sie ipsec0 durch den von strongSwan verwendeten Schnittstellennamen (je nach Setup z. B. ip_vti0, vti1 usw.).

Ausführbar machen:

chmod +x /jffs/scripts/firewall-start

Logs mit ipsec statusall oder ip a auf den Namen der IPsec-Schnittstelle prüfen.

7. (Optional) Zertifikate oder EAP für IKEv2 Auth

• Laden Sie CA, Client-Zertifikat und Schlüssel in /opt/etc/ipsec.d/ hoch (z. B. cacerts/, certs/, private/).

/opt/etc/ipsec.conf ändern:
ini

leftauth=pubkey
leftcert=clientCert.pem
leftfirewall=yes
rightauth=pubkey
...

• Bei einem passphrasegeschützten privaten Schlüssel /opt/etc/ipsec.secrets ändern.

EAP-Module einspielen:

opkg install strongswan-mod-eap-mschapv2
opkg install strongswan-mod-eap-identity

In ipsec.conf:
ini

leftauth=eap-mschapv2
leftid=YOUR_USER_HERE
rightauth=psk  # or rightauth=eap, depending on apexguard requirements

In ipsec.secrets:
ini

YOUR_USER_HERE : EAP "YOUR_PASSWORD_HERE"
: PSK "YOUR_PSK_HERE"

8. Tunnel überprüfen

Status überprüfen:

ipsec status
ipsec statusall

1. Die Verbindung apexguard-ikev2 sollte „ESTABLISHED“ oder „INSTALLED“ anzeigen.
2. Datenverkehr testen:
   • Prüfen Sie auf einem LAN-Gerät auf einer „Wie ist meine IP?“-Seite oder im ApexGuard-Dashboard, ob die IP vom VPN stammt.
   • Wird nur Ihre ISP-IP angezeigt, sind eventuell Policy-Routing oder NAT nötig, oder der Tunnel ist inaktiv.

9. Optional: Kill Switch & Fail-Safe

Die Merlin-GUI hat für OpenVPN einen integrierten Kill Switch; für IPsec müssen Sie ihn manuell skripten:

1. Fügen Sie iptables-Regeln in firewall-start ein, die bei Ausfall von ipsec0 ausgehenden Verkehr sperren.

Zum Beispiel:

#!/bin/sh
# Block all traffic if ipsec0 is NOT available
iptables -I FORWARD -s 192.168.1.0/24 -o $(nvram get wan0_ifname) -j DROP
# Then allow traffic if ipsec0 is up
iptables -I FORWARD -s 192.168.1.0/24 -o ipsec0 -j ACCEPT

1. Passen Sie Interface-Namen, Subnetze und Chain-Reihenfolge an.