在现代网络环境中，安全通信至关重要，无论是远程办公、跨地域企业互联，还是为云服务器提供加密隧道，IPsec（Internet Protocol Security）作为一种成熟的网络层加密协议，始终是构建虚拟私有网络（VPN）的首选方案之一，Ubuntu作为广泛使用的Linux发行版，因其开源特性、良好的社区支持和强大的网络管理能力，成为搭建IPsec VPN的理想平台，本文将详细介绍如何在Ubuntu系统上部署IPsec VPN，涵盖安装、配置、测试及常见问题排查。

我们需要明确使用哪种IPsec实现方案，目前主流的开源工具包括StrongSwan和Libreswan，本文以StrongSwan为例，因其配置灵活、文档完善且与Ubuntu默认仓库兼容性高，我们将在Ubuntu 20.04或22.04 LTS环境下进行操作。

第一步：系统准备
更新系统并安装必要软件包：

sudo apt update && sudo apt upgrade -y
sudo apt install strongswan strongswan-pki -y

StrongSwan提供IPsec核心服务，而strongswan-pki用于生成证书（如果使用证书认证），若仅使用预共享密钥（PSK）,可跳过此步。

第二步：配置IPsec主文件
编辑 /etc/ipsec.conf 文件,定义连接参数：

sudo nano /etc/ipsec.conf
config setup
    charondebug="ike 1, knl 1, cfg 1"
    uniqueids=yes
conn %default
    keylife=20m
    rekeymargin=3m
    keyingtries=1
    keyexchange=ikev2
    ike=aes256-sha256-modp2048!
    esp=aes256-sha256!
conn my-vpn
    left=YOUR_SERVER_IP
    leftid=@server.example.com
    right=%any
    rightid=@client.example.com
    auto=start
    type=tunnel
    authby=secret
    ike=aes256-sha256-modp2048!
    esp=aes256-sha256!

注意替换YOUR_SERVER_IP为服务器公网IP，leftid和rightid需与客户端一致（如使用PSK认证，也可用IP地址替代），auto=start表示启动时自动建立连接。

第三步：设置预共享密钥
编辑 /etc/ipsec.secrets 文件：

sudo nano /etc/ipsec.secrets

添加一行：

@server.example.com @client.example.com : PSK "your_strong_pre_shared_key_here"

确保密钥足够复杂（建议16位以上字母数字组合）,并保存。

第四步：启用IP转发与防火墙规则
开启内核IP转发功能：

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

配置iptables允许IPsec流量（UDP端口500/4500）：

sudo iptables -A INPUT -p udp --dport 500 -j ACCEPT
sudo iptables -A INPUT -p udp --dport 4500 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o tun0 -j ACCEPT
sudo iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT
sudo iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE

注意：上述示例中192.168.1.0/24为本地子网,需根据实际网络调整。

第五步：启动服务并测试
重启StrongSwan服务：

sudo systemctl restart strongswan
sudo systemctl enable strongswan

查看状态：

sudo ipsec status

若看到“ready”，说明服务已就绪，客户端可通过Windows自带的IPsec连接器或Android/iOS第三方App（如StrongSwan官方客户端）连接，输入服务器IP、ID及预共享密钥即可建立隧道。

常见问题包括：连接失败（检查日志journalctl -u strongswan）、NAT穿透问题（启用nat_traversal）、证书验证错误（若使用证书认证需正确配置CA链），建议在测试环境先验证通透性,再部署生产环境。

通过以上步骤，你可以在Ubuntu上快速搭建一个稳定、安全的IPsec VPN服务,为远程访问或站点间加密通信提供可靠保障。

Ubuntu系统下搭建IPsec VPN的完整指南，从配置到实战部署 第1张

VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN