两台VPS之间如何建立IPsec隧道？

配置项	VPS A	VPS B
操作系统	Ubuntu 20.04	CentOS 8
公网IP	192.0.2.1	203.0.113.1
内网IP	10.0.1.0/24	10.0.2.0/24
协议	ESP	ESP
端口	500	500
加密算法	aes256	aes256
认证算法	sha256	sha256

两台VPS建立IPsec隧道的完整指南

在网络通信中，IPsec（Internet Protocol Security）是一种广泛使用的安全协议套件，能够在IP层为通信提供加密、认证和完整性保护。

主要步骤概览

步骤	操作内容	预计时间
1	环境准备与依赖安装	10分钟
2	IPsec配置文件设置	15分钟
3	密钥与认证配置	10分钟
4	启动与测试连接	5分钟

详细操作流程

步骤1：环境准备与依赖安装

操作说明：在两端VPS上安装必要的IPsec软件包，并确保网络环境满足要求。 使用工具提示：

• 操作系统：Ubuntu/CentOS
• 软件包：strongswan
• 网络工具：iptables

# Ubuntu系统安装命令
sudo apt update
sudo apt install strongswan strongswan-pki
CentOS系统安装命令
sudo yum install epel-release
sudo yum install strongswan

步骤2：IPsec配置文件设置

操作说明：配置IPsec的主配置文件，定义连接参数和安全策略。 使用工具提示：

• 配置文件：/etc/ipsec.conf
• 编辑器：vim/nano

# 编辑IPsec配置文件
sudo vim /etc/ipsec.conf
配置文件内容示例
config setup
    charondebug="ike 1, knl 1, cfg 0"
    uniqueids=no
conn %default
    ikelifetime=60m
    keylife=20m
    rekeymargin=3m
    keyingtries=1
    keyexchange=ikev2
    authby=secret
conn vps-tunnel
    left=192.0.2.1
    leftsubnet=10.0.1.0/24
    right=203.0.113.1
    rightsubnet=10.0.2.0/24
    auto=start

步骤3：密钥与认证配置

操作说明：设置预共享密钥，用于两端VPS之间的身份验证。 使用工具提示：

• 密钥文件：/etc/ipsec.secrets
• 权限设置：600

# 编辑密钥文件
sudo vim /etc/ipsec.secrets
密钥配置格式
192.0.2.1 203.0.113.1 : PSK "YourStrongPreSharedKeyHere"

步骤4：启动与测试连接

操作说明：启动IPsec服务并验证隧道连接状态。 使用工具提示：

• 服务管理：systemctl
• 测试工具：ping, ip route

# 启动IPsec服务
sudo systemctl start strongswan
sudo systemctl enable strongswan
重新加载配置
sudo ipsec reload
启动连接
sudo ipsec up vps-tunnel
查看连接状态
sudo ipsec status

常见问题与解决方案

问题	可能原因	解决方案
连接无法建立	防火墙阻挡UDP 500/4500端口	检查防火墙规则，开放相关端口
隧道建立但无法通信	路由配置不正确	添加静态路由指向隧道接口
认证失败	预共享密钥不匹配	检查两端密钥文件内容是否一致
性能问题	加密算法过于复杂	调整加密算法为aes128-gcm16
连接频繁断开	网络不稳定或NAT超时	调整DPD（Dead Peer Detection）设置

完成上述步骤后，两台VPS之间就建立了一个安全的IPsec加密隧道，可以安全地传输敏感数据。记得定期检查连接状态和更新安全配置，确保通信的持续安全性。