在现代企业网络中,远程办公已成为常态，为了确保员工能够安全、稳定地访问内网资源，虚拟私人网络（VPN）成为不可或缺的技术手段，L2TP（Layer 2 Tunneling Protocol）结合IPsec加密技术，因其兼容性强、配置灵活、安全性高，被广泛用于构建企业级远程接入方案，本文将详细介绍如何在Linux服务器（以Ubuntu为例）上搭建一个基于L2TP/IPsec的VPN服务，帮助你实现安全的远程访问。

环境准备
你需要一台运行Linux系统的服务器（推荐Ubuntu 20.04或更高版本），并具备公网IP地址（若使用云服务商如阿里云、AWS，请确保安全组规则开放相关端口），我们使用的开源工具是xl2tpd（L2TP守护进程）和strongSwan（IPsec实现），两者均支持主流Linux发行版，且社区活跃、文档完善。

安装与配置IPsec（strongSwan）

1. 安装strongSwan：

   sudo apt update && sudo apt install strongswan strongswan-pki -y

2. 配置IPsec主文件 /etc/ipsec.conf：

   config setup
    charondebug="ike 1, knl 1, cfg 1"
    uniqueids=yes

conn %default ikelifetime=60m keylife=20m rekeymargin=3m keyingtries=1 keyexchange=ikev1 ike=aes256-sha1-modp1024! esp=aes256-sha1!

conn l2tp-psk left=%any leftid=@your-server.com right=%any rightsubnet=192.168.100.0/24 auto=add authby=secret type=transport dpddelay=10 dpdtimeout=20 dpdaction=clear

3. 设置预共享密钥（PSK）：  
编辑 `/etc/ipsec.secrets` 文件，添加如下内容：  
```conf
%any %any : PSK "your_strong_pre_shared_key"

配置L2TP（xl2tpd）

1. 安装xl2tpd：

   sudo apt install xl2tpd -y

2. 编辑 /etc/xl2tpd/xl2tpd.conf：

   [global]
   port = 1701

[lns default] ip range = 192.168.100.100-192.168.100.200 local ip = 192.168.100.1 require chap = yes refuse pap = yes require authentication = yes name = l2tp-server ppp debug = yes pppoptfile = /etc/ppp/options.l2tpd length bit = yes

四、设置PPP选项与用户认证  
创建 `/etc/ppp/options.l2tpd`：  
```conf
noauth
refuse-pap
refuse-chap
refuse-mschap
ms-dns 8.8.8.8
ms-dns 8.8.4.4
proxyarp
lock
lcp-echo-interval 30
lcp-echo-failure 4

添加用户账号：

sudo useradd -m -s /bin/bash vpnuser
sudo passwd vpnuser

启用服务与防火墙配置
重启IPsec和L2TP服务：

sudo systemctl restart strongswan
sudo systemctl restart xl2tpd
sudo systemctl enable strongswan xl2tpd

打开防火墙端口（若使用UFW）：

sudo ufw allow 500/udp
sudo ufw allow 4500/udp
sudo ufw allow 1701/udp
sudo ufw allow 22/tcp

客户端连接测试
在Windows或iOS/Android设备上配置L2TP/IPsec连接，输入服务器IP、用户名密码及预共享密钥即可成功建立隧道，建议使用动态DNS服务（如No-IP）绑定域名，避免公网IP变动带来的不便。

通过以上步骤，你可以快速部署一套稳定、安全的L2TP/IPsec VPN服务，该方案不仅适用于中小型企业，也可作为个人远程访问家庭NAS或服务器的理想选择，值得注意的是，定期更新证书、加强日志审计、限制访问源IP等措施能进一步提升安全性，掌握这项技能，是你迈向专业网络工程师的重要一步！