创建证书目录

Ubuntu下搭建StrongSwan IPsec VPN服务详解与实战配置指南

在现代网络环境中,安全可靠的远程访问机制是企业及个人用户的核心需求之一，IPsec（Internet Protocol Security）作为一种广泛采用的网络层加密协议，能够为数据传输提供端到端的安全保障，而在Linux系统中，StrongSwan是一款功能强大、稳定且开源的IPsec实现工具，特别适用于Ubuntu等主流发行版，本文将详细介绍如何在Ubuntu系统上部署和配置StrongSwan IPsec VPN服务，包括安装、基本配置、证书管理以及客户端连接测试。

确保你的Ubuntu服务器具备公网IP地址,并已开放必要的端口（如UDP 500和4500用于IKE协议通信），登录服务器后，使用以下命令更新系统并安装StrongSwan：

sudo apt update && sudo apt upgrade -y
sudo apt install strongswan strongswan-pki -y

生成CA（证书颁发机构）根证书和服务器证书，这一步至关重要，因为IPsec依赖数字证书进行身份验证：

sudo ipsec pki --self --in caKey.pem --dn "CN=MyCA" --ca --outform pem > caCert.pem
# 生成服务器私钥和证书
sudo ipsec pki --gen --outform pem > serverKey.pem
sudo ipsec pki --pub --in serverKey.pem | ipsec pki --issue --cacert caCert.pem --cakey caKey.pem --dn "CN=server.example.com" --outform pem > serverCert.pem

编辑StrongSwan主配置文件 /etc/ipsec.conf，定义连接参数：

config setup
    charondebug="ike 1, knl 1, cfg 1"
    uniqueids=no
conn %default
    ikelifetime=60m
    keylife=20m
    rekeymargin=3m
    keyingtries=1
    keyexchange=ikev2
    authby=secret
    ike=aes256-sha256-modp2048!
    esp=aes256-sha256!
conn my-vpn
    left=%any
    leftcert=serverCert.pem
    leftid=@server.example.com
    right=%any
    rightauth=eap-mschapv2
    rightdns=8.8.8.8
    eap_identity=%any
    auto=add

注意：上述配置启用了EAP-MSCAPV2认证方式，适合用用户名密码登录，若需证书认证，请将 rightauth=eap-mschapv2 替换为 rightauth=pubkey 并配置客户端证书。

配置完成后,创建密钥数据库（ipsec.secrets），添加客户端凭据：

 RSA serverKey.pem
%any %any : EAP "password"

重启StrongSwan服务并启用防火墙规则：

sudo systemctl restart strongswan
sudo ufw allow 500/udp
sudo ufw allow 4500/udp

在客户端（如Windows或Android设备）配置IPsec连接时，选择IKEv2协议，输入服务器IP、用户名和密码，并导入CA证书以完成信任链建立。

通过以上步骤,你便成功在Ubuntu上搭建了一个基于StrongSwan的IPsec VPN服务，该方案具有良好的安全性、可扩展性和跨平台兼容性，适合中小型企业或远程办公场景使用，建议定期更新证书、监控日志，并结合fail2ban等工具加强防护。

VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN