随着远程办公和分布式网络架构的普及，企业对网络安全访问的需求日益增长，作为一款功能强大的路由器操作系统，MikroTik RouterOS（简称ROS）提供了原生支持IPsec协议的能力，能够帮助网络工程师快速、稳定地构建企业级IPsec VPN服务，本文将详细介绍如何在ROS中创建一个基于预共享密钥（PSK）的IPsec VPN连接,适用于远程员工或分支机构与总部网络之间的安全通信。
确保你已拥有一个运行RouterOS的MikroTik设备（如hAP AC²、CCR系列等），并具备基本的ROS配置能力，我们以总部路由器（称为“Server”）和远程客户端（称为“Client”）为例进行说明。
第一步：配置IPsec Proposal
登录到ROS WebFig或WinBox界面，进入“IP > IPsec”菜单，点击“+”添加一个新的IPsec proposal，名称建议为“my-secure-proposal”，设置加密算法为AES-256，认证算法为SHA256，DH Group为Group14（即2048位），PFS（完美前向保密）启用,此配置确保了数据传输的高强度加密和防重放攻击能力。
第二步：创建预共享密钥（PSK）
在“IP > IPsec”下选择“Pre Shared Keys”，点击“+”新建一条记录，输入远程客户端的IP地址（或使用通配符*表示任意客户端），然后设置一个强密码（MyVerySecurePSK!2024）,这个密钥将在两端设备间用于身份验证。
第三步：定义IPsec Policy
在“IP > IPsec”中，点击“+”创建Policy，匹配源和目标子网（如总部内网192.168.1.0/24与远程客户机所在网段10.0.0.0/24），选择之前创建的proposal，并关联刚才设置的PSK，确保方向为“inbound”和“outbound”,允许双向通信。
第四步：配置防火墙规则
为了允许IPsec流量通过，默认情况下ROS防火墙会阻止ESP（Encapsulating Security Payload）协议，进入“Firewall > Filter Rules”，添加一条规则：协议为ESP，动作为accept，来源为远程客户端IP，目的为本地IP，允许NAT转发（如果需要跨公网访问），使用“Firewall > NAT”中的“Dst-Nat”规则进行端口映射。
第五步：测试与验证
完成上述步骤后，在远程客户端设备上（如Windows、Linux或移动设备）安装支持IPsec的客户端软件（如StrongSwan、OpenVPN + IPsec模式），配置时输入总部路由器的公网IP、PSK、本地子网和远程子网，连接成功后,可通过ping或telnet测试是否能访问总部内网资源。
注意事项：
- 建议使用静态公网IP或动态DNS服务绑定域名,避免IP变更导致连接中断。
- 定期更换PSK并记录日志,有助于安全审计。
- 若需多用户并发访问，可考虑使用证书认证（X.509）替代PSK,提升安全性。
利用RouterOS内置IPsec功能，无需额外硬件即可构建高效、低成本的站点到站点或远程访问型VPN，这不仅提升了企业网络的安全性，也简化了运维复杂度,是网络工程师值得掌握的核心技能之一。
半仙加速器-海外加速器 | VPN加速器 | VPN翻墙加速器 | VPN梯子 | VPN外网加速
