在现代企业网络架构中，安全可靠的远程访问机制是保障业务连续性和数据安全的核心环节，IPsec（Internet Protocol Security）作为一种广泛采用的网络安全协议，能够为不同网络之间的通信提供加密、认证和完整性保护，对于运行CentOS操作系统的服务器或边缘设备而言，通过配置IPsec VPN，可以实现站点到站点（Site-to-Site）或远程访问（Remote Access）类型的加密隧道连接，本文将详细介绍如何在CentOS 7/8/9系统上使用StrongSwan（一个开源的IPsec实现）搭建并配置IPsec VPN服务，涵盖环境准备、安装部署、配置文件编写、策略设置及故障排查等关键步骤。
确保你的CentOS主机具备以下条件：
- 稳定的公网IP地址（用于建立IPsec隧道）
- 开放必要的端口（UDP 500和4500用于IKE协议，以及ESP协议的50/51）
- 安装了基础工具如firewalld、net-tools、wget等
- 具备root权限或sudo权限
第一步：安装StrongSwan
执行如下命令安装StrongSwan及其依赖包：
yum update -y yum install -y strongswan strongswan-ipsec-tools
CentOS 8/9用户可使用dnf替代yum，安装完成后,检查版本以确认安装成功：
ipsec --version
第二步：配置IPsec主配置文件
编辑/etc/ipsec.conf，这是全局配置文件,定义了默认行为和连接模板：
config setup
charondebug="ike 1, knl 1, cfg 1"
uniqueids=yes
strictcrlpolicy=no
conn %default
ikelifetime=60m
keylife=20m
rekeymargin=3m
keyingtries=3
keyexchange=ikev2
ike=aes256-sha256-modp2048!
esp=aes256-sha256!
conn my-vpn
left=%any
leftid=@your-server-name.com
leftcert=server-cert.pem
leftsendcert=always
right=%any
rightid=@remote-client.com
rightauth=pubkey
rightsourceip=192.168.100.0/24
auto=start
注意：leftid和rightid应与证书中的Common Name一致；若使用预共享密钥（PSK），则需添加rightauth=psk并设置authby=secret。
第三步：生成SSL证书（若使用证书认证）
建议使用EasyRSA工具创建自签名CA和服务器证书：
yum install -y easy-rsa make-cadir /etc/easy-rsa cd /etc/easy-rsa ./easyrsa init-pki ./easyrsa build-ca nopass ./easyrsa gen-req server nopass ./easyrsa sign-req server server cp pki/private/server.key /etc/ipsec.d/private/ cp pki/issued/server.crt /etc/ipsec.d/certs/
第四步：启动并启用服务
配置完成后,重启IPsec服务：
systemctl enable ipsec systemctl start ipsec ipsec reload
第五步：防火墙规则配置
开放IPsec相关端口：
firewall-cmd --permanent --add-port=500/udp firewall-cmd --permanent --add-port=4500/udp firewall-cmd --reload
第六步：测试连接
在客户端（如另一台CentOS或Windows机器）使用ipsec up my-vpn命令发起连接,可通过日志查看状态：
journalctl -u ipsec.service -f
常见问题包括证书不匹配、NAT穿越失败、防火墙拦截等，建议开启debug日志定位问题，并结合ipsec statusall查看当前连接状态。
通过以上步骤，你可以在CentOS系统上成功部署IPsec VPN服务，实现跨网络的安全通信，该方案适用于小型企业办公、分支机构互联或远程员工接入场景，掌握IPsec配置不仅提升网络安全性，也增强了作为网络工程师的专业能力，后续可扩展支持双因子认证、多路负载均衡或与OpenVPN混合部署,进一步优化企业级安全架构。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
