行业知识
在Debian系统上，如何配置和搭建IPsec VPN？
Jan.08.2025
在Debian系统上配置和搭建IPsec VPN涉及多个步骤，首先需要确保系统更新并安装所需的软件包。更新系统的命令是：`sudo apt update && sudo apt upgrade`。完成系统的更新后，建议安装 StrongSwan，这是一个广泛使用的IPsec VPN解决方案。在安装之前，可以使用命令 `sudo apt install strongswan` 来获取所需的文件。完成安装后，可以继续进行配置。
接下来，编辑 StrongSwan 的主要配置文件，通常该文件位于 `/etc/ipsec.conf`。可以使用任何文本编辑器，命令示例为 `sudo nano /etc/ipsec.conf`。该文件的基础配置通常包括连接描述符、IPsec协议设置和身份验证参数。简单的示例配置如下：
```
config setup
charonstart = yes
plutostart = no
conn %default
keyexchange=ikev2
ike=aes256-sha256-modp1024
esp=aes256-sha256
dpdaction=clear
dpddelay=300s
dpdtimeout=1h
conn vpn
auto=add
left=%defaultroute
leftid=<你的服务器公网IP或者域名>
leftsubnet=0.0.0.0/0
right=%any
rightauth=pubkey
rightid=%any
rightdns=
rightsendcert=never
```
在配置文件中需替换 `<你的服务器公网IP或者域名>` 和 ``，确保其他参数根据需求进行调整。这个配置提供了基本的设置，允许所有流量通过VPN。
接吻令人愉快，接下来需要设置证书和密钥，以确保 VPN 的安全性。可以使用 `ipsec pki` 工具生成相应的证书颁发机构（CA）证书、服务器证书和密钥。首先，创建一个工作目录，然后生成 CA 证书：
```
mkdir -p ~/pki/{cacerts,certs,private}
ipsec pki --gen --outform pem > ~/pki/private/caKey.pem
ipsec pki --self --in ~/pki/private/caKey.pem --dn "CN=VPN CA" --outform pem --out ~/pki/cacerts/caCert.pem
```
生成完 CA 后，接下来生成服务器证书和密钥，命令如下：
```
ipsec pki --gen --outform pem > ~/pki/private/serverKey.pem
ipsec pki --pub --in ~/pki/private/serverKey.pem --outform pem | ipsec pki --issue --lifetime 3650 --cacert ~/pki/cacerts/caCert.pem --cakey ~/pki/private/caKey.pem --dn "CN=<你的服务器公网IP或者域名>" --san <你的服务器公网IP或者域名> --flag serverAuth --outform pem --out ~/pki/certs/serverCert.pem
```
确保根据实际环境替换 `<你的服务器公网IP或者域名>`。
在生成证书后，将这些文件复制到正确的位置以供 StrongSwan 使用。执行以下命令：
```
sudo cp ~/pki/cacerts/caCert.pem /etc/ipsec.d/cacerts/
sudo cp ~/pki/certs/serverCert.pem /etc/ipsec.d/certs/
sudo cp ~/pki/private/serverKey.pem /etc/ipsec.d/private/
```
确保文件权限设置正确，服务器密钥的权限应为 600，以确保安全。运行命令 `sudo chmod 600 /etc/ipsec.d/private/serverKey.pem` 完成权限设置。
在配置文件和证书准备完成后，需配置客户端连接信息。需要生成客户端的证书和密钥，使用与之前相同的流程，重要的是在创建证书时，将 DNS 设置为客户端的公共IP或域名。将生成的客户端证书和密钥文件存放至 `client` 目录或者其它便于管理的位置。
接下来，可以启动强大的 StrongSwan 服务，执行命令 `sudo systemctl restart strongswan`。之后，通过检查状态来验证服务是否成功启动，命令为 `sudo systemctl status strongswan`。确保没有错误信息，并且服务处于活动状态。
完成服务器端配置后，接下来的步骤是配置客户端。对于 Linux 客户端，需安装 `strongswan`，针对 Windows 或 macOS 客户端，需
简体
EN
