基于Strongswan与Freeradius的IKEv2 EAP认证实战指南

1. 为什么选择IKEv2 EAP认证？从零开始的场景解读

如果你正在为你的团队或服务寻找一种既安全又方便的身份验证方式，特别是需要让移动设备（比如手机、笔记本）能随时随地、稳定地接入内部网络，那么把Strongswan和Freeradius组合起来，搭建一套基于IKEv2和EAP的认证体系，绝对是一个值得你花时间研究的方案。我过去在不少项目里都用过这套组合拳，它最大的好处就是对客户端极其友好，用户几乎不需要复杂的配置，输入账号密码就能连，体验上和连接一个Wi-Fi热点差不多，但安全性却高了好几个层级。

简单来说，IKEv2（Internet Key Exchange version 2）是一种非常高效的密钥交换协议，它负责在客户端和你的服务器之间建立一条加密的隧道。而EAP（Extensible Authentication Protocol，可扩展认证协议）就像这条隧道入口的“智能门卫”，它不关心具体用什么钥匙（密码），而是定义了一套标准的“核对身份”流程。我们把Freeradius这个老牌且强大的认证、授权、计费（AAA）服务器作为这个“门卫”的大脑，让它来管理用户数据库和认证逻辑。这样一来，Strongswan就专心负责建立和维护加密隧道，认证的脏活累活全交给Freeradius，分工明确，架构清晰。

这种架构特别适合什么场景呢？比如，你有一个开发团队需要远程访问公司的测试服务器；或者你运营着一个在线服务，需要为合作伙伴提供安全的接入通道；再或者，你只是想给自己搭建一个更安全可靠的远程访问方案，避免使用某些不明确的商业服务。在这些场景下，基于证书的VPN虽然安全，但分发和管理证书是个噩梦；而单纯的预共享密钥（PSK）又太不安全，一旦泄露全军覆没。EAP认证就完美折中了：中心化的用户密码管理，灵活的用户权限控制（通过Freeradius实现），以及IKEv2协议本身的快速重连和移动性支持（比如网络切换时不断线）。

所以，这篇文章我会手把手带你，从一个干净的Ubuntu服务器开始，一步步搭建起这套环境。我会分享我踩过的坑和验证过的配置，目标就是让你看完就能动手，动完手就能用起来。

2. 搭建你的安全基石：环境准备与软件安装

万事开头难，但把基础打牢，后面就一马平川了。我们首先需要准备一台服务器，这里我以Ubuntu 18.04 LTS为例，其他Linux发行版步骤类似，主要是包管理器的区别。确保你的服务器有固定的公网IP地址，并且防火墙已经放行了UDP 500和4500端口，这是IKEv2协议通信的标准端口。

2.1 系统更新与Strongswan安装

第一步，我们先更新系统软件包列表，并安装必要的编译工具和依赖。虽然Strongswan在系统仓库里就有，但为了确保我们能用上所有需要的插件模块（特别是EAP和RADIUS相关模块），我习惯一次性把strongswan-*系列包都装上，避免后续配置时因为缺少模块而报一些让人摸不着头脑的错误。

# 更新软件包列表
sudo apt update

# 升级已安装的包（建议先查看可升级列表，再决定是否全部升级）
sudo apt list --upgradable
# 如果确认要升级，可以执行
sudo apt upgrade -y

# 安装Strongswan及其所有插件模块
sudo apt-get install strongswan strongswan-* libcharon-extra-plugins -y

安装完成后，强烈建议检查一下Strongswan的版本和已加载的插件，这能帮你确认EAP和RADIUS支持是否就位。

ipsec --version
# 查看charon守护进程加载的插件，确保有eap-radius, eap-md5, eap-mschapv2等
sudo ipsec listplugins | grep -E "eap|radius"

2.2 Freeradius与MySQL的安装与基础配置

接下来是认证核心——Freeradius。我们将使用MySQL作为后端数据库来存储用户信息，这样管理起来比用文件方便得多。

# 安装Freeradius及其MySQL模块
sudo apt-get install freeradius freeradius-mysql mariadb-server -y

安装完MySQL（MariaDB）后，我们需要进行一些安全初始化，并为Radius创建专用的数据库和用户。

# 运行MySQL安全安装脚本，根据提示设置root密码并移除一些不安全默认项
sudo mysql_secure_installation

# 登录MySQL，创建radius数据库和用户
sudo mysql -u root -p

在MySQL命令行中执行以下SQL语句：

-- 创建一个名为radius的数据库
CREATE DATABASE radius;
-- 创建一个radius用户，并设置一个强密码，这里示例为‘radius_password’，请务必修改
CREATE USER 'radius'@'localhost' IDENTIFIED BY 'radius_password';
-- 授予radius用户对radius数据库的所有权限
GRANT ALL PRIVILEGES ON radius.* TO 'radius'@'localhost';
-- 刷新权限使设置生效
FLUSH PRIVILEGES;
-- 退出MySQL
EXIT;

现在，我们需要将Freeradius的数据库表结构导入到新建的radius数据库中。Freeradius已经为我们准备好了模板。

# 切换到Fre