一、实验背景与目标

1.1 为什么需要IPSec VPN？

在分布式办公与云原生架构普及的今天，企业网络面临三大挑战：

• 数据安全传输：跨公网传输的敏感数据需加密防护
• 分支机构互联：低成本实现总部与分支的逻辑组网
• 合规性要求：满足等保2.0对数据传输加密的强制规定

IPSec（Internet Protocol Security）作为IETF标准化的网络层安全协议，通过AH（认证头）和ESP（封装安全载荷）机制，提供数据完整性校验、机密性保护和抗重放攻击能力，成为企业级VPN的首选方案。

1.2 实验目标

本实验旨在通过Linux系统（CentOS 7）搭建IPSec VPN网关，实现：

• 站点到站点（Site-to-Site）VPN隧道建立
• 预共享密钥（PSK）与数字证书双认证模式实践
• 传输模式与隧道模式对比测试
• 性能优化与故障排查

二、实验环境准备

2.1 硬件配置要求

组件	最低配置	推荐配置
CPU	双核1.6GHz	四核2.4GHz
内存	2GB	4GB
存储	20GB可用空间	50GB SSD
网络接口	双千兆网卡（管理+数据）	四千兆网卡（支持链路聚合）

2.2 软件环境搭建

1. 操作系统选择：

   # 推荐使用CentOS 7/RHEL 7系列
   cat /etc/redhat-release

2. 依赖包安装：

   yum install -y strongswan libreswan openssl nmap tcpdump

3. 内核参数优化：

   echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
   echo "net.ipv4.conf.all.accept_redirects = 0" >> /etc/sysctl.conf
   sysctl -p

三、IPSec VPN核心配置

3.1 预共享密钥模式配置

3.1.1 网关A配置（总部）

1. 修改IPSec配置文件：

   vi /etc/ipsec.conf

   config setup
       protostack=netkey
       interfaces=%defaultroute
   conn site-to-site
       authby=secret
       left=192.168.1.1
       leftsubnet=10.0.1.0/24
       right=203.0.113.1
       rightsubnet=10.0.2.0/24
       keyexchange=ikev1
       ike=aes256-sha1-modp1024
       esp=aes256-sha1
       auto=start

2. 设置预共享密钥：

   vi /etc/ipsec.secrets

   192.168.1.1 203.0.113.1 : PSK "YourSecurePassword123!"

3.1.2 网关B配置（分支）

对称配置，仅需修改IP地址和子网参数。

3.2 数字证书模式配置

3.2.1 证书颁发机构搭建

1. 生成CA根证书：

   openssl req -new -x509 -keyout ca.key -out ca.crt -days 3650

2. 生成网关证书：

   openssl req -newkey rsa:2048 -keyout gateway.key -out gateway.csr
   openssl x509 -req -in gateway.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out gateway.crt -days 1095

3.2.2 IPSec配置调整

conn cert-based
    authby=rsasig
    leftcert=gateway.crt
    leftid=@gatewayA.example.com
    rightid=@gatewayB.example.com
    # 其他参数与PSK模式相同

四、关键参数优化

4.1 加密算法选择矩阵

场景	推荐算法组合	安全等级	性能影响
高安全需求	AES-256-GCM + SHA-384 + ECDSA-384	顶级	中
平衡型	AES-256-CBC + SHA-256 + RSA-2048	高	低
资源受限环境	AES-128-CBC + SHA-1 + RSA-1024	中	最低

4.2 隧道模式实现

conn tunnel-mode
    type=tunnel
    # 传输模式需设置为type=transport

应用场景对比：

• 隧道模式：保护整个IP包，适用于跨公网传输
• 传输模式：仅保护上层协议，适用于内网安全加固

五、故障排查工具集

5.1 诊断命令速查

命令	用途	示例输出解读
ipsec status	查看连接状态	STATE_QUICK_I2表示IKE第二阶段
tcpdump -i eth0 host 203.0.113.1	抓包分析	观察ISAKMP/ESP包交互
pluto --debug-all	调试日志输出	查找phase1 success关键字

5.2 常见问题解决方案

1. IKE协商失败：

   • 检查NAT穿透设置：leftnattr=enable
   • 验证时间同步：ntpdate pool.ntp.org

2. ESP加密失败：

   • 确认内核模块加载：lsmod | grep ip_tables
   • 检查SELinux策略：setsebool -P vpnd 1

六、性能测试方法

6.1 基准测试工具

1. iperf3：

   # 网关A执行
   iperf3 -s
   # 网关B执行
   iperf3 -c 10.0.1.1 -t 60 -P 4

2. tcpdump分析：

   tcpdump -i eth1 "esp or udp port 500 or udp port 4500" -w vpn.pcap

6.2 优化建议

• 硬件加速：启用AES-NI指令集

  cat /proc/cpuinfo | grep aes

• 多线程处理：调整workers参数

  config setup
      workers=4

七、实验总结与扩展

7.1 关键发现

1. PSK模式适合小型网络，但存在密钥泄露风险
2. 证书模式扩展性强，支持CRL（证书撤销列表）
3. IKEv2协议相比IKEv1减少30%协商时间

7.2 进阶方向

1. 动态路由集成：结合BGP/OSPF实现自动路由更新
2. 高可用设计：采用VRRP+Keepalived实现网关冗余
3. 云环境部署：在AWS/Azure上通过VPC对等连接扩展

实验数据参考：

• 典型吞吐量：1Gbps网卡实测达850Mbps（AES-256-GCM）
• 连接建立时间：IKEv2平均450ms（跨运营商场景）

通过本实验的系统实践，读者可掌握IPSec VPN从基础配置到高级优化的全流程技能，为构建安全可靠的企业级虚拟专用网络奠定坚实基础。