晚上 10 点，我拖着工具箱走进荃湾机房。空调呼呼作响，湿度计稳定在 45%。香港这台新上的网关服务器要在凌晨 2 点前并到生产骨干，连通我们在新加坡与法兰克福的两端，同时满足总部审计对加密强度、日志留存、访问管控的一长串要求。
小陈把临时控制台推到我面前：“哥，强加密、合规、还要快——领导说‘都要’。”我笑了笑：“两条路——FIPS 合规优先用 IKEv2/IPsec（strongSwan），极致性能用 WireGuard。我们把两套都铺上，按业务分流。”
这篇文章，就是那一夜我的实操记录：从硬件参数、内核调优，到算法选型、配置细节、踩坑复盘和合规映射，全都摊开讲。

1. 目标与合规约束

业务目标

• 跨境专线+公网混合组网：HK ↔ SG ↔ DE 三地互联；
• 管理面（MGT）优先合规（审计、密钥生命周期、FIPS），数据面（DATA）优先性能；
• 生产变更窗口 < 4 小时，可灰度回滚。

合规映射（摘选）

注：如果你必须“严格 FIPS”，避免在该路径里使用 ChaCha20-Poly1305（很多组织审核仍以 AES-GCM 为主流基线）。

2. 现场环境与硬件

机房/链路

• 机房：HK（双路电，N+1 UPS），上联运营商：HKT / PCCW（BGP 双线）
• 对端：SG（Equinix）/ DE（Interxion），公网+专线混合

网关服务器（HK1-GW-01）

为什么坚持 CentOS 7？因为历史包袱与客户侧生产环境一致（是的，这就是现实），但我们要清醒地知道：它的 OpenSSL 版本老，TLS1.3 需要额外处理，后文会给到替代方案。

3. 架构与算法选型

3.1 双栈策略（合规面 & 性能面）

合规面（MGT/敏感数据）：IKEv2/IPsec (strongSwan)

算法：IKE= AES-256-GCM-16 / PRF=SHA-256 / ECDH=P-256

ESP：AES-256-GCM-16 / PFS=ECP256

优点：审计友好、FIPS 路径清晰、客户端原生支持（Windows/macOS/iOS/Android）。

性能面（大流量、文件分发、备份）：WireGuard

算法：ChaCha20-Poly1305（高吞吐/低耗电/移动网络友好）

注意：非典型 FIPS，放在“非 FIPS 场景”或“内部可信域大流量”。

3.2 决策表

4. 系统与内核调优（CentOS 7）

编辑 /etc/sysctl.d/99-vpn.conf：

net.ipv4.ip_forward = 1
net.ipv4.conf.all.rp_filter = 2
net.ipv4.conf.default.rp_filter = 2
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.tcp_mtu_probing = 1
net.core.rmem_max = 134217728
net.core.wmem_max = 134217728
net.core.netdev_max_backlog = 250000
net.ipv4.tcp_congestion_control = bbr

sysctl --system

多队列/中断亲和（X710）：

ethtool -L eth0 combined 8
for i in $(seq 0 7); do
  CPU=$i
  IRQ=$(grep eth0-TxRx-$i /proc/interrupts | awk '{print $1}' | sed 's/://')
  printf "%x" $CPU > /proc/irq/$IRQ/smp_affinity
done

NIC offload（按需）：

ethtool -K eth0 gro on gso on tso on lro off

5. FIPS 模式（可选，强合规场景）

⚠️ 需要重启与维护窗口，生产请先演练。

yum install -y dracut-fips
dracut -f
# 找到 /boot 分区 UUID
blkid | grep '/boot' 
# 编辑 /etc/default/grub，GRUB_CMDLINE_LINUX 增加：fips=1 boot=UUID=<上一步UUID>
grub2-mkconfig -o /boot/grub2/grub.cfg
reboot
# 验证
cat /proc/sys/crypto/fips_enabled   # 1 表示开启

FIPS 开启后，强制 OpenSSL 仅使用 FIPS 合规算法，某些非合规工具/套件会不可用（例如 ChaCha20）。我们把 WireGuard 放在非 FIPS 路径，不混用。

6. IKEv2/IPsec（strongSwan）部署（合规面）

6.1 安装

yum install -y epel-release
yum install -y strongswan strongswan-charon strongswan-libcharon
systemctl enable strongswan --now

6.2 生成内网 CA 与网关证书（ECDSA P-256）

# 根CA
ipsec pki --gen --type ecdsa --size 256 --outform pem > /etc/strongswan/pki/ca.key
ipsec pki --self --ca --lifetime 3650 \
  --in /etc/strongswan/pki/ca.key --type ecdsa \
  --dn "CN=Corp Root CA" \
  --outform pem > /etc/strongswan/pki/ca.crt

# 网关
ipsec pki --gen --type ecdsa --size 256 --outform pem > /etc/strongswan/pki/hk.key
ipsec pki --pub --in /etc/strongswan/pki/hk.key --type ecdsa | \
  ipsec pki --issue --lifetime 1825 --cacert /etc/strongswan/pki/ca.crt --cakey /etc/strongswan/pki/ca.key \
  --dn "CN=hk-gw.corp" --san hk-gw.corp \
  --outform pem > /etc/strongswan/pki/hk.crt
chmod 600 /etc/strongswan/pki/*.key

6.3 ipsec.conf（VTI / 路由化隧道）

/etc/strongswan/ipsec.conf：

config setup
  uniqueids = never

conn hk-sg-vti42
  keyexchange = ikev2
  auto = add
  ike = aes256gcm16-prfsha256-ecp256!
  esp = aes256gcm16-ecp256!
  dpdaction = restart
  dpddelay = 30s
  rekey = yes
  reauth = no
  left = <HK_WAN_IP>
  leftid = @hk-gw.corp
  leftcert = /etc/strongswan/pki/hk.crt
  leftsubnet = 0.0.0.0/0
  right = <SG_WAN_IP>
  rightid = @sg-gw.corp
  rightsubnet = 0.0.0.0/0
  mark = 42
  vti-interface = vti42
  vti-shared = yes
  vti-routing = no
  fragmentation = yes
  compress = no

# 你可以为 DE 端复制一份 vti43

/etc/strongswan/ipsec.secrets：

: ECDSA /etc/strongswan/pki/hk.key

Charon 调优 /etc/strongswan/strongswan.d/charon.conf（片段）：

charon {
  install_routes = no
  reuse_ikesa = yes
  dpd_timeout = 150s
  threads = 16
  plugins {
    stroke { secrets = /etc/strongswan/ipsec.secrets }
  }
}

6.4 启动与路由/防火墙

systemctl restart strongswan
ipsec statusall
ip link add vti42 type vti local <HK_WAN_IP> remote <SG_WAN_IP> key 42
ip addr add 169.254.42.1/30 dev vti42
ip link set vti42 up
# 路由：通过 vti42 到 SG 网段
ip route add 10.20.0.0/16 dev vti42

MSS Clamping & NAT-T（CentOS 7 iptables）：

iptables -t mangle -A FORWARD -o vti42 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
iptables -I INPUT -p udp --dport 500 -j ACCEPT
iptables -I INPUT -p udp --dport 4500 -j ACCEPT
iptables -I INPUT -p esp -j ACCEPT
service iptables save || iptables-save > /etc/sysconfig/iptables

坑 1：NAT-T 与碎片

我们在 SG 一侧遇到偶发「能建 SA 但传大包掉」的问题，最终定位是运营商路径 MTU < 1500（负载均衡段）。解决：开启 IKE/ESP 分片 + MSS Clamp + tcp_mtu_probing=1，并将业务 TCP 初始 MSS 控制在 1200~1360。

7. WireGuard 部署（性能面）

CentOS 7 需要 ELRepo 提供内核模块（kmod-wireguard），工具 wireguard-tools。

yum install -y epel-release
yum install -y https://www.elrepo.org/elrepo-release-7.el7.elrepo.noarch.rpm
yum --enablerepo=elrepo-kernel install -y kmod-wireguard wireguard-tools
modprobe wireguard

生成密钥对：

wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub

/etc/wireguard/wg0.conf：

[Interface]
Address = 10.66.0.1/24
ListenPort = 51820
PrivateKey = <cat /etc/wireguard/server.key>
MTU = 1420
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

# 示例：SG 对端 Peer
[Peer]
PublicKey = <SG_peer_pub>
AllowedIPs = 10.66.0.2/32, 10.20.0.0/16
PersistentKeepalive = 25
Endpoint = <SG_WAN_IP>:51820

启动：

systemctl enable wg-quick@wg0 --now
wg show

客户端（示例）：

# macOS / Windows / Linux (wg-quick)
[Interface]
PrivateKey = <client_priv>
Address = 10.66.0.2/32
DNS = 10.66.0.1

[Peer]
PublicKey = <server_pub>
AllowedIPs = 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16
Endpoint = <HK_WAN_IP>:51820
PersistentKeepalive = 25

坑 2：机场/酒店 Wi-Fi UDP 限制

个别网络屏蔽大部分 UDP 端口，WireGuard 连接不稳。应对：在边界设备上支持 UDP/443 端口 侦听，并准备 IKEv2 作为 fallback。

8. 服务平面 TLS 的现实主义：CentOS 7 没有原生 TLS 1.3

CentOS 7 自带 OpenSSL 1.0.2，不支持 TLS1.3。

可选方案：

使用官方 NGINX 主线包（静态链接 OpenSSL 1.1.1 的版本）；

容器化 NGINX（镜像内 OpenSSL 1.1.1+）提供 TLS1.3；

若审计只要求 “TLS≥1.2”，则在宿主启用 TLS1.2 的 强套件（ECDHE-ECDSA-AES256-GCM-SHA384/ECDHE-RSA-AES256-GCM-SHA384），并禁用 CBC/RC4/3DES。

/etc/nginx/nginx.conf（TLS ≥1.2 强套件示例）：

ssl_protocols TLSv1.2;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
ssl_prefer_server_ciphers on;
ssl_session_timeout 10m;
ssl_session_cache shared:SSL:50m;
ssl_ecdh_curve X25519:secp384r1:secp256r1;

9. 认证与终端接入（macOS/iOS/Windows/Android）

IKEv2：导入内网 CA，分发用户证书/配置描述文件（移动端可用 SCEP/MAM 下发）；强制 EAP-TLS，禁用 EAP-MSCHAPv2。
WireGuard：以设备为单位发放密钥，绑定工牌/资产编号，禁止密钥共用，离职自动吊销。

10. 监控、日志与留存策略

• 强制 NTP 同步：chrony，HK/SG 双上游；
• strongSwan：/var/log/secure & charon.log（开启 IKE_SA/CHILD_SA 详细度）；
• WireGuard：wg show 状态拉取 + journalctl -u wg-quick@wg0;
• 集中日志：rsyslog → Graylog/ELK；留存：安全事件 180 天、连接日志 30 天、调试 7 天；
• 指标：ip -s xfrm（IPsec）、/proc/net/wireguard、node_exporter（Prometheus）。

11. 性能与验证数据（实测）

测试窗口：凌晨 1:10–1:40，跨 HK↔SG。工具：iperf3、sar、mpstat。

结论：敏感/合规流量走 IKEv2，大流量走 WireGuard，按源目网段在边界路由分流。

12. 变更与回滚策略（真实流程）

23:00 发布变更单，冻结非相关 CI/CD。

23:30 在 HK 上线 IKEv2，auto=add，先不装路由；对 SG 灰度建立隧道，验证 SA/ESP 计数。

00:10 配置 WireGuard，建立备份路由（优先级高于默认路由 20）。

00:30 切入 10% 业务，观察 15 分钟（指标：RTT、丢包、CPU）。

00:50 逐步放量至 50%/100%。

01:30 观察日志无异常，固化配置、拍快照。

回滚预案：一键撤销策略路由 + 停止隧道服务，恢复到变更前 BGP/静态路由。

13. 审计要点与安全加固清单

加密套件白名单：IKE/ESP/PRF/ECDH 明确指定，! 尾巴禁止降级。

密钥生命周期：网关证书 ≤ 2 年；用户证书 ≤ 1 年；I/CHILD_SA 1h–8h 重协商。

最小权限：分部门网段分配不同隧道与策略路由；办公与生产隔离。

入侵防护：fail2ban 保护 SSH；管理面仅特定源 IP 允许。

补丁：月度补丁窗口，内核与微码（Microcode）按季升级。

备份：PKI 根密钥冷备（离线 HSM/U 盘密封），配置 Git 私库加密保存。

14. 常用命令速查

# IKEv2
ipsec statusall
swanctl --list-sas   # 若使用 swanctl
ip -s xfrm

# WireGuard
wg show
ss -ulpn | grep 51820

# 诊断
tcpdump -ni eth0 port 500 or port 4500 or proto 50

15. 自动化（片段 · Ansible）

- hosts: hk-gw
  become: yes
  tasks:
    - name: Install strongSwan and WireGuard
      yum:
        name:
          - epel-release
          - strongswan
          - strongswan-libcharon
          - https://www.elrepo.org/elrepo-release-7.el7.elrepo.noarch.rpm
        state: present

    - name: Install WG from ELRepo
      yum:
        name:
          - kmod-wireguard
          - wireguard-tools
        state: present
        enablerepo: elrepo-kernel

    - name: Deploy ipsec.conf
      template:
        src: ipsec.conf.j2
        dest: /etc/strongswan/ipsec.conf
        mode: '0644'

    - name: Enable services
      systemd:
        name: "{{ item }}"
        enabled: yes
        state: started
      loop:
        - strongswan
        - wg-quick@wg0

16. 故障案例复盘（那晚的三个坑）

DPD 误判：某段网络 jitter 大，dpddelay=20s 过激进导致频繁重协商。上调至 30s，并放宽 dpd_timeout。

链路 MTU 不一致：专线侧 MTU 1500，公网侧有效 MTU ~1472；统一以 WireGuard 1420、IPsec MSS Clamp 落地。

证书链漏传：iOS 客户端未导入中间证书，IKE 认证失败。修复：打包 ca.crt 与中间 cert，按 MDM 策略下发。

17. 仍在机房的凌晨 2:10

风还在从地板下吹上来，wg show 的统计不断刷着计数，ip -s xfrm 里的字节数跑得很稳。强加密、可审计、可回滚、还能快——这不是靠“某一个银弹”，而是按场景拆解：该合规的地方走 IKEv2，把证据链打牢；该跑量的地方走 WireGuard，把包送得更快。
小陈把工单关掉，说：“原来不是‘二选一’，是‘各尽其用’。”我收起螺丝刀，给 HK1-GW-01 贴上绿标签——这就是机房里的工程学：在冰冷的风里，把复杂的事做稳。

附：最小可用检查清单（落地就用）

•  fips_enabled=1（若需要）
•  ipsec statusall 显示 IKE_SA/CHILD_SA 皆 INSTALLED
•  wg show 有 latest handshake 且 RX/TX 增长
•  iptables 放行 500/4500/ESP 与 WG 端口（建议 51820/443/UDP）
•  tcpdump 验证 IKE/ESP/WG 流
•  iperf3 验证吞吐；业务探针通过
•  日志已进集中平台；连接失败有告警
•  回滚脚本可一键撤回策略路由与服务

如果你的场景里要强制 TLS1.3 或零信任网关（mTLS/设备姿态），建议在 HK 网关上旁路部署容器化网关（如 Envoy/HAProxy with OpenSSL 1.1.1+），让“服务平面”与“隧道平面”解耦，进一步降低变更风险。