ipsec隧道是linux网络层最可靠的加密方案，优先使用esp协议和ikev2：esp提供加密、完整性与防重放，ikev2握手仅需4次消息、原生支持nat穿透与mobike移动重连，并通过cookie增强抗dos能力；配置需结合strongswan、路由策略及防火墙放行udp500/4500和esp协议。

Linux 网络数据加密传输，IPsec 隧道是网络层最可靠的选择之一。它不依赖应用协议，能原生加密所有 IP 流量（TCP/UDP/ICMP），且由内核直接处理，性能好、兼容强、无需额外代理。

明确目标：用 ESP 而非 AH，优先选 IKEv2

现代部署中，只启用 ESP（Encapsulating Security Payload）即可同时保障机密性、完整性与防重放；AH（Authentication Header）已基本弃用，因它不加密载荷且与 NAT 冲突。IKEv2 是当前推荐的密钥交换协议——相比 IKEv1，它握手更快（4 次消息）、原生支持 NAT 穿透、具备 MOBIKE 移动性重连能力，并通过 cookie 机制增强抗 DoS 能力。配置前可用 sudo ipsec --version 确认 strongSwan 或 libreswan 是否已启用 IKEv2 支持。

使用 strongSwan 快速搭建站点级隧道

strongSwan 是主流、稳定、社区活跃的开源实现，适配大多数发行版：

PyCharm 2026.2.0.1 Linux版

PyCharm 2026.2.0.1 Linux版提供 JetBrains 官方 2026.2.0.1 版本安装包，适合需要指定 PyCharm 版本进行 Python 项目开发、运行和调试的用户。

下载

• 安装：Debian/Ubuntu 执行 sudo apt install strongswan strongswan-pki libcharon-extra-plugins；CentOS/RHEL 用 sudo yum install strongswan
• 编辑 /etc/strongswan/ipsec.conf，定义连接（示例为网段互通）：
  

  conn mytunnel<br>  left=192.168.10.100<br>  leftsubnet=10.10.0.0/16<br>  right=203.0.113.50<br>  rightsubnet=172.16.20.0/24<br>  ike=aes256gcm16-prfsha384-ecp384!<br>  esp=aes256gcm16-sha384!

• 在 /etc/strongswan/ipsec.secrets 中配置认证凭证（如预共享密钥）：
  192.168.10.100 203.0.113.50 : PSK "your_strong_psk_here"，并执行 sudo chmod 600 /etc/strongswan/ipsec.secrets
• 启动服务：sudo systemctl enable --now strongswan，再运行 sudo ipsec status 查看是否显示 ESTABLISHED

确保流量真正走隧道：路由与防火墙协同

IPsec 本身不自动转发流量，需配合路由和策略才能生效：

• 确认两端网络可达：先 ping 通对端公网 IP，排除基础连通性问题
• 添加静态路由（如需访问远端子网）：ip route add 172.16.20.0/24 via 203.0.113.50 dev eth0 —— 注意此处指向的是对端公网地址，strongSwan 会自动将匹配 rightsubnet 的流量交由隧道处理
• 开放必要端口：iptables/nftables 需放行 UDP 500（IKE）、UDP 4500（NAT-T）、协议号 50（ESP）。例如：sudo iptables -A INPUT -p udp --dport 500 -j ACCEPT、sudo iptables -A INPUT -p udp --dport 4500 -j ACCEPT、sudo iptables -A INPUT -p esp -j ACCEPT

验证与排错关键点

隧道看似建立成功，但实际流量未加密很常见。验证要分层进行：

• 状态检查：sudo ipsec statusall 看 SA（Security Association）是否 active，sudo swanctl --list-sas 查详细加密参数
• 抓包确认：sudo tcpdump -i eth0 host 203.0.113.50 and not port 22，若看到大量 ESP 协议包（而非原始 TCP/HTTP），说明加密已生效
• 常见故障源：时间不同步（NTP 未校准）、密钥不一致、防火墙拦截 ESP、leftsubnet/rightsubnet 与实际业务网段不符、SELinux 或 AppArmor 限制了 strongSwan 访问网络资源