在现代企业网络架构中，安全可靠的远程访问机制是保障业务连续性和数据保密性的关键，IPsec（Internet Protocol Security）作为一种广泛采用的网络层加密协议，能够为不同网络之间的通信提供身份验证、数据完整性与加密保护，对于使用CentOS 7系统的管理员而言，掌握如何在该系统上搭建IPsec VPN服务,是提升运维能力和网络安全水平的重要一步。
本文将详细介绍如何在CentOS 7操作系统上配置一个基于IKEv1的IPsec站点到站点（Site-to-Site）VPN连接，适用于两个局域网之间建立加密隧道,例如总部与分支机构之间的互联场景。
确保你的CentOS 7服务器已安装基础组件,执行以下命令更新系统并安装必要的软件包：
sudo yum update -y sudo yum install -y openswan xl2tpd
openswan 是IPsec实现的核心工具，而 xl2tpd 则用于支持L2TP协议（若需要支持客户端拨号接入），安装完成后,进入配置阶段。
编辑 /etc/ipsec.conf 文件，定义IPsec策略和密钥交换参数,示例配置如下：
config setup
plutostart=no
protostack=netkey
klipsdebug=none
plutodebug=none
uniqueids=yes
conn site-to-site
left=192.168.1.100 # 本地网关IP
leftsubnet=192.168.1.0/24 # 本地子网
right=203.0.113.50 # 远程网关IP
rightsubnet=192.168.2.0/24 # 远程子网
authby=secret
auto=start
keyingtries=3
dpddelay=30
dpdtimeout=120
dpdaction=restart
配置预共享密钥（PSK），编辑 /etc/ipsec.secrets 文件：
168.1.100 203.0.113.50 : PSK "your_pre_shared_key_here"
注意：请将 your_pre_shared_key_here 替换为强密码，建议包含大小写字母、数字和特殊字符。
完成上述配置后,启动IPsec服务并检查状态：
sudo systemctl enable ipsec sudo systemctl start ipsec sudo ipsec status
若输出显示“pluto is running”，说明IPsec进程已成功运行，此时可通过 ipsec auto --add site-to-site 添加连接，并使用 ipsec auto --up site-to-site 启动隧道。
如果还需要支持L2TP/IPsec客户端拨号接入（如移动办公用户），则需配置xl2tpd服务，编辑 /etc/xl2tpd/xl2tpd.conf,添加如下内容：
[lns default] ip range = 192.168.100.100-192.168.100.200 local ip = 192.168.1.100 require chap = yes refuse ppp = no require authentication = yes name = l2tpserver ppp debug = yes pppoptfile = /etc/ppp/options.xl2tpd
设置PPP选项文件 /etc/ppp/options.xl2tpd 和用户认证文件 /etc/ppp/chap-secrets，即可实现用户通过L2TP/IPsec拨号接入内网。
在整个过程中，防火墙规则（如iptables或firewalld）必须允许UDP端口500（IKE）、4500（NAT-T）以及ESP协议（IP协议号50）,建议添加如下规则：
sudo firewall-cmd --permanent --add-port=500/udp sudo firewall-cmd --permanent --add-port=4500/udp sudo firewall-cmd --permanent --add-protocol=esp sudo firewall-cmd --reload
通过以上步骤，你可以在CentOS 7上成功部署一个稳定、安全的IPsec站点到站点VPN，这种方案不仅成本低廉，而且兼容性强，适合中小型企业或IT团队进行快速部署，建议定期审查日志（/var/log/messages）以监控连接状态，并结合证书机制逐步升级至更高级别的身份验证方式,进一步提升安全性。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
