client server secret IP addresses

CentOS 7下搭建IPsec/L2TP VPN服务详解与实战配置指南

在企业网络和远程办公日益普及的今天，安全可靠的虚拟私人网络（VPN）已成为连接内外网资源的核心技术之一，对于使用CentOS 7操作系统的系统管理员而言，搭建一个稳定、安全且易于维护的IPsec/L2TP VPN服务，是实现远程访问内部资源的理想方案，本文将详细讲解如何在CentOS 7服务器上部署并配置IPsec与L2TP协议组合的VPN服务，包括安装依赖包、配置StrongSwan（IPsec）、xl2tpd（L2TP）,以及用户认证与防火墙规则设置。

确保你的CentOS 7服务器具备公网IP地址，并已更新至最新系统版本,登录后执行以下命令安装必要软件包：

sudo yum update -y
sudo yum install -y kernel-devel gcc make flex bison libreswan xl2tpd ipsec-tools

配置StrongSwan作为IPsec后端，编辑 /etc/ipsec.conf 文件：

config setup
    charondebug="ike 1, knl 1, cfg 1"
    uniqueids=no
conn %default
    ikelifetime=60m
    keylife=20m
    rekeymargin=3m
    keyingtries=1
    keyexchange=ikev1
    authby=secret
    ike=aes256-sha1-modp1024!
    esp=aes256-sha1!
conn l2tp-psk
    auto=add
    left=%any
    leftid=@yourdomain.com
    leftsubnet=192.168.1.0/24
    right=%any
    rightid=%any
    rightsubnet=192.168.2.0/24
    type=transport
    authby=secret
    pfs=yes
    dpddelay=30
    dpdtimeout=120
    dpdaction=clear

然后创建预共享密钥文件 /etc/ipsec.secrets：

%any %any : PSK "your_secure_psk_here"

重启IPsec服务使配置生效：

sudo systemctl restart ipsec
sudo systemctl enable ipsec

下一步配置L2TP服务，编辑 /etc/xl2tpd/xl2tpd.conf：

[global]
port = 1701
[lns default]
ip range = 192.168.2.100-192.168.2.200
local ip = 192.168.2.1
require chap = yes
refuse pap = yes
require authentication = yes
name = l2tpd
ppp debug = yes
pppoptfile = /etc/ppp/options.l2tpd
length bit = yes

创建PPP选项文件 /etc/ppp/options.l2tpd：

ipcp-accept-local
ipcp-accept-remote
noauth
refuse-pap
refuse-chap
refuse-mschap
ms-dns 8.8.8.8
ms-dns 8.8.4.4
asyncmap 0
auth
crtscts
lock
modem
speed 115200
mtu 1400
mru 1400
proxyarp
lcp-echo-interval 30
lcp-echo-failure 4

添加用户账号，在 /etc/ppp/chap-secrets 中添加：

重启xl2tpd服务：

sudo systemctl restart xl2tpd
sudo systemctl enable xl2tpd

完成上述配置后，还需开放防火墙端口（如使用firewalld）：

sudo firewall-cmd --permanent --add-port=500/udp
sudo firewall-cmd --permanent --add-port=4500/udp
sudo firewall-cmd --permanent --add-port=1701/udp
sudo firewall-cmd --reload

客户端（Windows、iOS、Android等）可使用IPsec + L2TP方式连接，输入服务器IP、预共享密钥及用户名密码即可接入内网，该方案兼容性强，适合中小型企业快速部署远程办公环境,建议定期轮换预共享密钥并启用日志审计以提升安全性。

半仙加速器-海外加速器|VPN加速器|vpn翻墙加速器|VPN梯子|VPN外网加速