在企业网络环境中，远程访问内部资源是常见的需求，CentOS 作为一款稳定、开源的操作系统，广泛应用于服务器和网络设备中，当需要通过公网安全连接到内网资源时，IPsec（Internet Protocol Security）是一种成熟且广泛支持的虚拟私有网络（VPN）协议，本文将详细介绍如何在 CentOS 系统上配置 IPsec VPN 客户端，并结合路由表管理，实现对特定流量走加密隧道、其他流量走默认网关的智能分流策略。
确保你的 CentOS 系统已安装必要的软件包，使用以下命令安装 StrongSwan —— 一个开源的 IPsec 实现：
sudo yum install -y strongswan
编辑 /etc/ipsec.conf 文件，配置 IPsec 客户端连接参数,示例如下：
config setup
charondebug="ike 1, knl 1, cfg 1"
uniqueids=no
conn my-vpn
keyexchange=ikev2
ike=aes256-sha256-modp2048!
esp=aes256-sha256!
left=%defaultroute
leftid=@client.example.com
right=vpn-server-ip
rightid=@server.example.com
auto=start
type=tunnel
dpdaction=restart
rekey=yesleft=%defaultroute表示客户端自动使用当前默认网关；right=vpn-server-ip是远端 IPsec 服务器地址；auto=start表示启动时自动连接；type=tunnel表示这是站点到站点或点对点的隧道模式。
然后配置认证信息，在 /etc/ipsec.secrets 中添加预共享密钥（PSK）：
%any %any : PSK "your-pre-shared-key"保存后重启服务：
sudo systemctl enable strongswan sudo systemctl start strongswan
IPsec 隧道应成功建立,可通过以下命令查看状态：
ipsec status
如果看到“established”状态,则表示连接正常。
接下来的关键步骤是路由控制，默认情况下，所有流量都会经过 IPsec 隧道，这会增加延迟并消耗带宽，若只想让特定子网（如内网 192.168.100.0/24）走加密通道,需手动添加路由规则。
使用 ip route 命令添加策略路由：
sudo ip route add 192.168.100.0/24 dev tun0
这里 tun0 是 StrongSwan 创建的虚拟接口，用于承载 IPsec 流量，这样，访问该子网的请求会被自动引导至加密隧道,而其他流量仍走原始网关。
为了永久生效，建议将路由写入脚本或 systemd 服务单元中，或者使用 NetworkManager 的高级路由配置，还可以通过 iptables 或 nftables 实现更精细的流量分类与转发逻辑。
在 CentOS 上配置 IPsec VPN 并结合路由控制，不仅能保障数据传输安全，还能提升网络效率，这种方案特别适用于远程办公、分支机构互联等场景，是企业级网络部署的重要技能之一，掌握这些知识，有助于构建更加灵活、可控的混合云或远程访问架构。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
