This is the secret shared between this host and its peers

RHEL 6 中配置 IPsec VPN 的完整指南：从基础到实战部署

在企业网络环境中,安全的远程访问是保障数据传输和系统管理的关键，Red Hat Enterprise Linux 6（RHEL 6）虽然已经进入维护阶段（EOL已于2024年12月31日终止），但仍在一些遗留系统中广泛使用，对于这些系统，搭建一个稳定、可审计的IPsec VPN（Internet Protocol Security Virtual Private Network）依然是保障远程办公、分支机构互联的重要手段，本文将详细介绍如何在 RHEL 6 系统上配置基于 Openswan 的 IPsec VPN，涵盖安装、配置、测试及常见问题排查。

确保你的 RHEL 6 主机具备以下条件：

• 静态公网 IP 地址（用于建立连接）
• root 权限
• 安装了 openswan 软件包（可通过 yum 安装）

安装步骤如下：

yum install openswan -y

编辑主配置文件 /etc/ipsec.conf，这是整个 IPsec 配置的核心，示例配置如下：

config setup
    protostack=netkey
    plutodebug=control
    nat_traversal=yes
    virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12
    oe=no
conn %default
    keylife=20m
    rekey=yes
    ike=aes256-sha1-modp1024
    esp=aes256-sha1
    auto=add
conn my-vpn
    left=YOUR_PUBLIC_IP
    leftid=@myserver.example.com
    leftsubnet=192.168.1.0/24
    right=%any
    rightid=%any
    authby=secret
    auto=start

此配置定义了一个名为 my-vpn 的连接，允许任意客户端（right=%any）通过 IPsec 连接到服务器，实际部署中应根据需求限制 right 为特定 IP 或子网，并启用更严格的认证方式（如证书或 RSA 密钥）。

然后配置共享密钥文件 /etc/ipsec.secrets如下：

注意：PSK（Pre-Shared Key）是简单但不推荐用于生产环境的认证方式，建议在正式部署时使用证书认证。

配置完成后,启动服务并设置开机自启：

service ipsec start
chkconfig ipsec on

验证状态：

ipsec status

若看到 “ready to accept connections”，说明服务已正常运行。

客户端方面,可使用 Windows 自带的“连接到工作网络”功能（IKEv1）或第三方工具如 StrongSwan、FreeSWAN 客户端进行连接，客户端需配置相同的 PSK 和对等地址。

常见问题包括：

• 无法建立 IKE SA：检查防火墙是否开放 UDP 500（IKE）和 UDP 4500（NAT-T）
• ESP 数据包被丢弃：确认 virtual_private 设置正确，避免本地子网冲突
• 证书认证失败：若启用证书，请确保 CA 信任链完整，且证书格式正确

尽管 RHEL 6 已不再受官方支持，但其 IPsec 支持依然成熟，通过合理配置 Openswan，可在遗留系统中构建安全可靠的远程访问通道，不过强烈建议逐步迁移至更新版本的 RHEL（如 RHEL 8/9）以获得更好的安全性与长期支持。

半仙加速器-海外加速器|VPN加速器|vpn翻墙加速器|VPN梯子|VPN外网加速