在企业网络架构中，虚拟私人网络（VPN）是实现远程访问、站点间互联和安全通信的重要技术，Red Hat Enterprise Linux（RHEL）作为企业级Linux发行版，凭借其稳定性与强大的网络功能，成为构建IPsec VPN服务的理想平台，本文将详细介绍如何在Red Hat系统上使用StrongSwan（一个开源的IPsec实现）搭建IPsec/L2TP或IKEv2类型的VPN服务,适用于远程员工接入内网或分支机构互联场景。
第一步：环境准备
确保你有一台运行RHEL 8/9的服务器（建议最小安装，避免冗余服务干扰），并具备公网IP地址，你需要拥有root权限，并确保防火墙（firewalld）已启用且配置正确，建议提前关闭SELinux（临时或永久）以减少权限问题干扰，或者配置适当的SELinux策略（可选高级操作）。
setenforce 0 # 临时关闭 SELinux
第二步：安装StrongSwan
使用YUM包管理器安装StrongSwan及其相关组件：
yum install -y strongswan strongswan-ipsec-tools
第三步：配置IPsec主文件（/etc/ipsec.conf）
编辑主配置文件，定义全局参数和连接规则：
config setup
charondebug="ike 1, knl 1, cfg 1"
uniqueids=no
conn %default
ikelifetime=60m
keylife=20m
rekeymargin=3m
keyingtries=1
keyexchange=ikev2
left=%any
leftcert=serverCert.pem
leftsendcert=always
right=%any
rightauth=pubkey
rightsourceip=192.168.100.0/24
auto=add
第四步：配置身份认证与证书
若使用证书认证（推荐生产环境），需生成自签名证书或使用CA签发，可用以下命令创建服务器证书：
ipsec pki --gen --type rsa --size 4096 > ca.key ipsec pki --self --ca --lifetime 3650 --in ca.key --dn "CN=MyCA" --out ca.crt ipsec pki --gen --type rsa --size 4096 > server.key ipsec pki --pub --in server.key | ipsec pki --issue --lifetime 3650 --cacert ca.crt --cakey ca.key --dn "CN=Server" --out server.crt
将证书合并为 PEM 文件（serverCert.pem），并放入 /etc/ipsec.d/certs/ 目录。
第五步：配置用户凭据（/etc/ipsec.secrets）
添加客户端认证信息，支持预共享密钥（PSK）或证书方式，示例使用PSK（简化测试）：
: RSA server.key %any : PSK "your_pre_shared_key_here"
第六步：配置防火墙规则
确保关键端口开放：UDP 500（IKE）、UDP 4500（NAT-T）、ESP（协议号 50）：
firewall-cmd --add-service=ipsec --permanent firewall-cmd --add-port=4500/udp --permanent firewall-cmd --reload
第七步：启动服务并测试
systemctl enable strongswan systemctl start strongswan ipsec status # 查看状态
第八步：客户端连接测试
在Windows或Android设备上配置IPsec连接，输入服务器公网IP、预共享密钥，并选择IKEv2协议，成功连接后，客户端应获得192.168.100.x段的IP地址,且能访问内网资源。
通过上述步骤，你可以在Red Hat系统上快速部署一个稳定、安全的IPsec VPN服务，此方案支持多用户并发、自动重连、加密强度高，适合中小企业或IT运维团队使用，如需进一步增强安全性（如双因素认证），可结合Radius或LDAP集成，记住定期更新证书、监控日志（/var/log/secure）并备份配置文件,是保障长期运行的关键。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
