基于 Linux 构建企业级 VPN 安全通信通道(StrongSwan 实战指南)

在企业异地办公、数据中心互联、分支机构安全接入等场景中，建立一条安全稳定的通信通道是关键需求。IPsec 是一种在网络层加密传输数据的协议，而 StrongSwan 是一款稳定、功能强大的 IPsec VPN 解决方案，广泛用于 Linux 系统下的安全隧道部署。

本篇文章将带你从零开始，基于 Linux 搭建一套支持主机对主机（Host-to-Host）与站点对站点（Site-to-Site）模式的 IPsec VPN 解决方案。

二、环境准备

三、安装 StrongSwan

在两台主机上均执行：

sudo apt update

sudo apt install -y strongswan strongswan-pki

四、生成密钥与证书（使用 PKI）

1. 创建 CA 证书

ipsec pki --gen --outform pem > ca.key.pem

ipsec pki --self --in ca.key.pem --dn "CN=VPN CA" --ca --outform pem > ca.cert.pem

2. 创建服务器端证书

ipsec pki --gen --outform pem > server.key.pem

ipsec pki --pub --in server.key.pem | ipsec pki --issue --cacert ca.cert.pem --cakey ca.key.pem --dn "CN=server" --san="server" --flag serverAuth --flag ikeIntermediate --outform pem > server.cert.pem

3. 创建客户端证书

ipsec pki --gen --outform pem > client.key.pem

ipsec pki --pub --in client.key.pem | ipsec pki --issue --cacert ca.cert.pem --cakey ca.key.pem --dn "CN=client" --outform pem > client.cert.pem

五、配置服务器端 StrongSwan

编辑 /etc/ipsec.conf：

config setup

charondebug="ike 2, knl 2, cfg 2, net 2"

conn vpn

keyexchange=ikev2

auto=add

left=192.168.10.10

leftcert=server.cert.pem

leftid=@server

leftsubnet=0.0.0.0/0

right=%any

rightid=@client

rightauth=eap-tls

rightsourceip=10.10.10.0/24

编辑 /etc/ipsec.secrets：

: RSA server.key.pem

复制证书与密钥至 /etc/ipsec.d/certs/ 与 /etc/ipsec.d/private/。

六、配置客户端 StrongSwan

编辑 /etc/ipsec.conf：

config setup

charondebug="ike 2, knl 2, cfg 2, net 2"

conn vpn

keyexchange=ikev2

auto=start

leftsourceip=%config

leftcert=client.cert.pem

leftid=@client

right=192.168.10.10

rightid=@server

rightauth=eap-tls

编辑 /etc/ipsec.secrets：

: RSA client.key.pem

七、启动服务并建立连接

在服务端和客户端均执行：

sudo systemctl restart strongswan

在客户端执行：

ipsec up vpn

验证连接状态：

ipsec statusall

八、常见问题排查

• 防火墙未放行 UDP 500 和 4500 端口；
• 证书不匹配（CN 或 SAN 不一致）；
• IPsec 配置参数错误；
• NAT 环境下需启用 NAT-T；

九、总结

通过本文，你已掌握使用 StrongSwan 在 Linux 上构建一条稳定、可靠的 IPsec VPN 通道的完整过程。这为企业间通信加密、远程办公接入提供了坚实的技术基础。未来你还可以进一步扩展支持 EAP、RADIUS、多客户端认证等场景.