Ubuntu/Debian

Linux下高效搭建IPsec VPN服务：从零开始的实战指南

在现代网络环境中，安全可靠的远程访问机制是企业与个人用户的核心需求之一，Linux系统因其开源、灵活和强大的网络功能，成为构建虚拟私人网络（VPN）的理想平台，本文将详细介绍如何在Linux服务器上使用StrongSwan这一主流IPsec实现方案，搭建一个稳定、加密且可扩展的IPsec-based VPN服务，适用于远程办公、分支机构互联等典型场景。

确保你有一台运行Linux（如Ubuntu 22.04或CentOS Stream 9）的服务器，并具备root权限或sudo权限，推荐使用静态公网IP地址以简化配置，若无公网IP,可通过DDNS服务动态绑定域名。

第一步：安装StrongSwan及其依赖
执行以下命令安装所需软件包：

# CentOS/RHEL
sudo dnf install strongswan strongswan-plugins-eap-mschapv2 strongswan-plugins-radius

第二步：配置IPsec主文件 /etc/ipsec.conf
该文件定义了全局策略和连接参数,示例内容如下：

config setup
    charondebug="ike 1, knl 1, cfg 1"
    uniqueids=yes
conn %default
    keylife=20m
    rekeymargin=3m
    keyingtries=1
    keyexchange=ikev2
    ike=aes256-sha256-modp2048!
    esp=aes256-sha256!
conn my-vpn
    left=%any
    leftid=@your-vpn-server.com
    leftcert=server-cert.pem
    leftsendcert=always
    right=%any
    rightauth=eap-mschapv2
    rightdns=8.8.8.8
    eap_identity=%any
    auto=add

第三步：配置证书和用户认证
建议使用X.509证书进行身份验证，可用 strongswan pki 工具生成CA证书及服务器证书，为每个客户端创建独立的用户名密码，存储在 /etc/ipsec.secrets 文件中：

 PSK "your-pre-shared-key"
%any : EAP "password123"

第四步：启用并重启服务

sudo systemctl enable strongswan
sudo systemctl restart strongswan
sudo iptables -A INPUT -p udp --dport 500 -j ACCEPT
sudo iptables -A INPUT -p udp --dport 4500 -j ACCEPT

第五步：测试连接
在Windows或iOS设备上，使用内置“VPN”设置添加IKEv2连接，输入服务器IP、用户名、密码及预共享密钥即可连接,通过日志查看连接状态：