在企业网络环境中，远程访问、分支机构互联和跨地域数据传输是常见需求，为了保障通信过程中的数据完整性与机密性，IPsec（Internet Protocol Security）作为一种成熟且广泛支持的网络安全协议，成为构建虚拟专用网络（VPN）的首选技术之一，尽管CentOS 6已进入生命周期末期（EOL），但在一些遗留系统或特定工业场景中仍被使用，本文将详细介绍如何在CentOS 6操作系统上配置IPsec-based站点到站点（Site-to-Site）VPN,帮助网络工程师在老旧环境中实现安全可靠的远程连接。
确保系统环境满足基本要求：CentOS 6运行于x86_64架构，内核版本为2.6.x系列，已安装基础开发工具链（gcc、make等），建议通过yum更新系统包至最新状态,以减少潜在漏洞风险。
安装StrongSwan——一个开源的IPsec实现工具，它兼容RFC 4301/4306标准，并提供灵活的配置选项,执行以下命令安装：
yum install -y strongswan
安装完成后，编辑主配置文件 /etc/ipsec.conf，定义两个站点间的连接策略，假设本地站点IP为192.168.1.100，远程站点为192.168.2.100,配置如下：
config setup
plutostart=yes
charonstart=yes
uniqueids=yes
conn site-to-site
left=192.168.1.100
leftsubnet=192.168.1.0/24
right=192.168.2.100
rightsubnet=192.168.2.0/24
authby=secret
auto=start
type=tunnel
keyexchange=ike
ike=aes256-sha1-modp1024
phase2alg=aes256-sha1上述配置中，authby=secret 表示使用预共享密钥（PSK）认证方式，需在 /etc/ipsec.secrets 中添加对应密钥：
168.1.100 192.168.2.100 : PSK "your_strong_pre_shared_key"保存后设置权限：
chmod 600 /etc/ipsec.secrets
启动服务并验证连接状态：
service ipsec start ipsec status
若看到“established”状态，则说明隧道已成功建立，此时可通过 ping 或 tcpdump 测试两端子网间通信是否正常。
需要注意的是，CentOS 6默认防火墙（iptables）可能阻止ESP（Encapsulating Security Payload）协议流量，需开放UDP端口500（IKE）和4500（NAT-T）,并在防火墙规则中添加：
iptables -A INPUT -p udp --dport 500 -j ACCEPT iptables -A INPUT -p udp --dport 4500 -j ACCEPT iptables -A INPUT -p esp -j ACCEPT service iptables save
建议定期监控日志文件 /var/log/secure 和 /var/log/messages,排查认证失败或路由异常问题。
虽然CentOS 6已不再受官方支持，但其IPsec配置流程仍具有参考价值，对于新项目，推荐升级至CentOS Stream或Red Hat Enterprise Linux（RHEL）等长期支持版本，同时结合Modern IPsec工具如Libreswan或OpenSwan进行优化部署，本方案适用于中小型企业网络或教学实验场景,帮助网络工程师掌握传统IPsec技术的核心原理与实践技巧。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
