在CentOS上搭建L2TP/IPsec VPN环境，可以为用户提供安全的远程访问解决方案，下面将详细介绍如何在CentOS系统上部署L2TP/IPsec VPN，包括安装所需的软件包、配置IPsec和xl2tpd服务、设置预共享密钥以及用户管理等步骤。
一、安装所需软件包
首先需要安装必要的软件包，包括libreswan、xl2tpd等，可以通过以下命令进行安装：
sudo yum install y epelrelease sudo yum install y make gcc gmpdevel xmlto bison flex xmlto libpcapdevel lsof vimenhanced man sudo yum install y xl2tpd libreswan
二、配置IPsec
1、修改IPsec配置文件：编辑/etc/ipsec.conf文件，添加以下内容以支持NAT穿透：
nat_traversal=yes
2、创建IPsec与L2TP关联的配置文件：由于默认情况下该文件不存在，需要手动创建并编辑/etc/ipsec.d/l2tp_psk.conf文件：
conn L2TPPSKNAT
rightsubnet=vhost:%priv
also=L2TPPSKnoNAT
conn L2TPPSKnoNAT
authby=secret
pfs=no
auto=add
keyingtries=3
dpddelay=30
dpdtimeout=120
dpdaction=clear
rekey=no
ikelifetime=8h
keylife=1h
type=transport
left=<your_public_ip>
leftprotoport=17/1701
right=%any
rightprotoport=17/%any 将<your_public_ip>替换为服务器的实际公网IP地址。
3、配置预共享密钥：编辑/etc/ipsec.d/ipsec.secrets文件，添加以下内容：
<your_public_ip> %any: PSK "your_preshared_key"
将<your_public_ip>替换为服务器的实际公网IP地址，并将your_preshared_key替换为实际的预共享密钥。
4、修改内核参数：编辑/etc/sysctl.conf文件，确保以下参数被设置为合适的值：
vm.swappiness = 0 net.ipv4.ip_forward = 1 net.ipv4.neigh.default.gc_stale_time=120 net.ipv4.conf.all.rp_filter=0 net.ipv4.conf.default.rp_filter=0 net.ipv4.conf.default.arp_announce = 2 net.ipv4.conf.all.arp_announce=2 net.ipv4.tcp_max_tw_buckets = 5000 net.ipv4.tcp_syncookies = 1 net.ipv4.tcp_max_syn_backlog = 1024 net.ipv4.tcp_synack_retries = 2 net.ipv4.conf.lo.arp_announce=2 net.ipv4.conf.default.accept_redirects = 0 net.ipv4.conf.default.send_redirects = 0 net.ipv4.conf.default.accept_source_route = 0
保存后运行sysctl p使配置生效。
三、配置xl2tpd
1、修改服务配置文件：编辑/etc/xl2tpd/xl2tpd.conf文件，根据需要调整配置，
[lns default] listen_addr = <your_local_ip> services = l2tp
将<your_local_ip>替换为服务器的实际内网IP地址。
2、配置用户认证：编辑/etc/ppp/chapsecrets文件，添加VPN用户信息：
username password
使用openssl passwd 1 'password'生成MD5加密的密码字符串替换上述password部分。
四、启动并测试服务
1、重启服务：执行以下命令重启IPsec和xl2tpd服务：
sudo systemctl restart ipsec sudo systemctl restart xl2tpd
2、检查服务状态：确保两个服务都已成功启动并正在运行。
3、连接测试：使用客户端设备（如Windows 10）尝试连接到新配置的L2TP/IPsec VPN，输入之前设置的用户名、密码以及预共享密钥。
五、多用户支持
如需添加更多用户，只需在/etc/ppp/chapsecrets文件中按相同格式追加条目即可，每个用户的密码同样需要使用openssl passwd 1命令生成MD5加密字符串。
六、FAQs
1、Q: 如何更改VPN服务器的IP地址？
A: 在/etc/ipsec.d/l2tp_psk.conf文件中修改left=<your_public_ip>行，将<your_public_ip>替换为新的公网IP地址，同时更新/etc/ppp/chapsecrets中的相关条目，如果使用了特定的IP绑定。
2、Q: 忘记预共享密钥怎么办？
A: 如果忘记了预共享密钥，需要重新配置IPsec服务，删除或注释掉现有的/etc/ipsec.d/ipsec.secrets中相关的预共享密钥条目，然后添加新的条目，之后重启IPsec服务以应用更改，这将导致所有使用旧预共享密钥的连接失效，直到它们也被更新为止。
