在现代企业网络架构中，虚拟专用网络（VPN）已成为保障远程访问安全的重要手段，IPsec（Internet Protocol Security）作为主流的网络层加密协议，因其成熟、稳定且广泛支持的特点，成为Linux系统上构建安全通道的理想选择，本文将详细介绍如何在CentOS操作系统（以CentOS 7/8为例）上搭建IPsec VPN服务，涵盖安装、配置、测试与常见问题排查，帮助网络工程师快速部署高可用、高安全性的站点到站点或远程访问型IPsec隧道。

准备工作
首先确保你有一台运行CentOS的服务器（推荐使用CentOS Stream或RHEL兼容版本），并具备公网IP地址和root权限，建议在防火墙（firewalld）或iptables中开放以下端口：UDP 500（IKE）、UDP 4500（NAT-T）以及ESP协议（协议号50），若使用云服务器,请确认安全组规则允许这些流量。

安装StrongSwan
StrongSwan是开源的IPsec实现，支持IKEv1和IKEv2协议，适合生产环境,执行以下命令安装：

sudo yum install -y strongswan

安装完成后,启用并启动服务：

sudo systemctl enable strongswan
sudo systemctl start strongswan

配置IPsec策略
编辑主配置文件 /etc/ipsec.conf,定义全局参数和连接配置：

config setup
    charondebug="ike 1, knl 1, cfg 1"
    uniqueids=yes
conn %default
    ikelifetime=60m
    keylife=20m
    rekeymargin=3m
    keyingtries=3
    keyexchange=ikev2
    ike=aes256-sha256-modp2048!
    esp=aes256-sha256!
conn my-vpn
    left=%any
    leftid=@your-server.com
    leftsubnet=192.168.1.0/24
    right=%any
    rightid=@client.example.com
    rightsubnet=192.168.2.0/24
    auto=start

此配置为站点到站点场景，如需远程用户接入，可使用leftauth=pubkey + rightauth=pubkey并配合证书认证。

密钥与证书管理
IPsec支持预共享密钥（PSK）或证书方式，若使用PSK，在/etc/ipsec.secrets中添加：

%any %any : PSK "your-secure-psk-key"

若使用证书，请生成CA、服务器和客户端证书，并配置/etc/ipsec.d/certs/目录中的证书链。

启动与验证
重启IPsec服务并检查状态：

sudo ipsec restart
sudo ipsec status

输出应显示“installed”状态，表示隧道已建立，使用ipsec statusall查看详细连接信息。

安全加固建议

  • 使用强密码或证书认证，避免明文PSK泄露；
  • 定期更新StrongSwan至最新版本以修复漏洞；
  • 启用日志审计（charondebug）用于故障分析；
  • 限制IPsec连接源IP范围（leftsubnet和rightsubnet）防止越权访问。

通过以上步骤，你可以在CentOS上成功搭建一个功能完整的IPsec VPN服务，满足企业内网互联或远程办公需求，对于复杂场景（如多分支、负载均衡），可结合OpenSWAN或商业方案扩展能力，网络安全无小事，配置后务必进行压力测试和渗透扫描,确保零信任原则落地。

CentOS下搭建IPsec VPN服务，从配置到安全实践的完整指南 第1张

VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN