在当今高度互联的网络环境中，安全通信变得愈发重要，企业、远程办公人员以及开发者经常需要在公共网络上建立私密、加密的数据通道，IPsec（Internet Protocol Security）是一种广泛采用的协议套件，用于保障IP通信的安全性，它通过加密和认证机制保护数据完整性与机密性，本文将详细介绍如何在CentOS操作系统（以CentOS 7或8为例）上搭建IPsec-based的VPN服务，使用StrongSwan作为开源实现,为远程用户或分支机构提供安全接入。

确保你有一台运行CentOS的服务器，并具备root权限，建议使用静态IP地址，因为动态IP可能导致客户端连接不稳定，安装前,更新系统并安装必要的软件包：

sudo yum update -y
sudo yum install -y strongswan strongswan-ipsec

安装完成后，进入配置阶段，StrongSwan的核心配置文件位于 /etc/strongswan/ipsec.conf，我们需在此定义主控策略,示例配置如下：

config setup
    charondebug="ike 1, knl 1, cfg 1"
    uniqueids=yes
conn %default
    ikelifetime=60m
    keylife=20m
    rekeymargin=3m
    keyingtries=1
    keyexchange=ike
    authby=secret
    ike=aes256-sha256-modp2048!
    esp=aes256-sha256!
conn my-vpn
    left=YOUR_SERVER_IP
    leftid=@your-server.example.com
    leftcert=server-cert.pem
    right=%any
    rightauth=pubkey
    rightid=@client.example.com
    rightcert=client-cert.pem
    auto=add

上述配置中，left 是服务器公网IP，leftid 是服务器标识符（建议使用FQDN），right=%any 表示允许任意客户端连接（生产环境应限制为具体IP），若使用证书认证，还需生成CA、服务器证书和客户端证书，可借助EasyRSA工具完成，若采用预共享密钥（PSK）方式，则在 ipsec.secrets 文件中添加：

@your-server.example.com @client.example.com : PSK "your_pre_shared_key_here"

配置完后,启用IPsec服务并设置开机自启：

sudo systemctl enable strongswan
sudo systemctl start strongswan
sudo ipsec restart

客户端可以通过IKEv2协议连接到服务器，Windows、iOS、Android等平台均支持IKEv2/IPsec，只需导入证书或输入PSK即可，对于Linux客户端，可以使用ipsec up my-vpn命令手动连接。

需要注意的是，防火墙必须放行UDP 500（IKE）和UDP 4500（NAT-T）,否则无法建立隧道：

sudo firewall-cmd --add-port=500/udp --permanent
sudo firewall-cmd --add-port=4500/udp --permanent
sudo firewall-cmd --reload

测试连接是否成功：在客户端执行连接命令后，检查日志文件 /var/log/secure 或使用 ipsec status 查看状态，若一切正常，客户端将获得一个虚拟IP（如192.168.100.0/24网段）,并能安全访问内网资源。

在CentOS上搭建IPsec VPN虽然涉及多个步骤，但只要遵循规范流程，即可构建稳定可靠的加密通道，这不仅适用于企业内网扩展，也为远程办公提供了基础安全支撑，掌握此技能,意味着你已迈入网络基础设施安全建设的重要一步。

在CentOS系统上搭建IPsec VPN，从零开始的网络加密通道配置指南 第1张

VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN