在 CentOS 6.5 系统上搭建 IPsec/L2TP VPN 服务的完整指南
在企业网络和远程办公日益普及的今天，通过安全可靠的虚拟私人网络（VPN）连接访问内网资源已成为标准配置，CentOS 6.5 作为一款经典的 Linux 发行版，在很多老旧系统中仍广泛使用，尽管它已不再受官方支持（EOL 于 2024 年），但其稳定性和兼容性使其成为搭建基础网络服务的理想平台，本文将详细介绍如何在 CentOS 6.5 上部署一个基于 IPsec + L2TP 的企业级 VPN 服务，适用于远程员工、分支机构或混合云环境的安全接入。
确保你的服务器满足以下基本条件：
- 运行 CentOS 6.5 x86_64 或 i386
- 具备公网 IP 地址（用于客户端连接）
- 安装了必要的开发工具包（gcc、make、kernel-devel）
- 已启用 iptables 防火墙并允许相关端口通信（UDP 500, UDP 4500, UDP 1701）
第一步是安装所需软件包,执行如下命令：
yum update -y yum install -y xl2tpd ipsec-tools openssl-devel
xl2tpd 是 L2TP 用户态守护进程，ipsec-tools 提供 IPsec 协议栈支持。
第二步，配置 IPsec（/etc/ipsec.conf），这是一个关键配置文件,定义了加密策略和认证方式：
config setup
plutostart=yes
protostack=netkey
dumpdir=/var/log/pluto/
nat_traversal=yes
interfaces=%defaultroute
conn L2TP-PSK-NAT
rightsubnet=vhost:%priv
also=L2TP-PSK-noNAT
left=%defaultroute
right=%any
authby=secret
pfs=yes
auto=add
keylife=1h
type=transport
compress=no
ike=aes256-sha1-modp1024
phase2alg=aes256-sha1
第三步，配置共享密钥（/etc/ipsec.secrets）：
%any %any : PSK "your_pre_shared_key_here"请将 your_pre_shared_key_here 替换为强密码（建议包含大小写字母、数字和特殊字符）。
第四步，启动 IPsec 服务：
service ipsec start chkconfig ipsec on
第五步，配置 L2TP（/etc/xl2tpd/xl2tpd.conf）：
[global] port = 1701 access control = yes auth file = /etc/ppp/chap-secrets [lns default] ip range = 192.168.100.100-192.168.100.200 local ip = 192.168.100.1 require chap = yes refuse pap = yes require authentication = yes name = l2tp-server ppp debug = yes pppoptfile = /etc/ppp/options.xl2tpd
第六步，设置 PPP 认证文件（/etc/ppp/chap-secrets）：
这里 username 和 password 是客户端登录凭证，168.100.1 是服务器本地地址。
第七步，配置防火墙规则（iptables）以允许流量：
iptables -A INPUT -p udp --dport 500 -j ACCEPT iptables -A INPUT -p udp --dport 4500 -j ACCEPT iptables -A INPUT -p udp --dport 1701 -j ACCEPT iptables -A FORWARD -p tcp --dport 22 -j ACCEPT iptables -A POSTROUTING -t nat -s 192.168.100.0/24 -o eth0 -j MASQUERADE service iptables save
启动 L2TP 服务：
service xl2tpd start chkconfig xl2tpd on
完成以上步骤后，客户端可使用 Windows 自带的“连接到工作场所”功能或第三方客户端（如 StrongSwan、Cisco AnyConnect）进行连接，输入服务器公网IP和预共享密钥即可建立安全隧道，此方案成本低、稳定性高，适合中小型组织快速部署远程访问能力，注意定期更新证书、轮换密钥，并监控日志（/var/log/messages）以排查问题。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
