在当前企业网络架构中，远程办公和分支机构互联已成为常态，如何保障数据传输的安全性与稳定性，成为网络工程师必须解决的核心问题之一，华为USG2130是一款功能全面的下一代防火墙（NGFW），其内置的IPSec VPN模块可有效构建加密隧道，实现跨公网的安全通信，本文将详细介绍如何在USG2130上配置IPSec VPN,以满足企业员工远程接入内网或分支机构间安全互联的需求。
配置前需明确拓扑结构与参数，假设场景为总部USG2130（公网IP：203.0.113.1）与分公司USG2130（公网IP：198.51.100.1）之间建立站点到站点（Site-to-Site）IPSec VPN，双方均使用标准IKEv1协议进行密钥协商，加密算法采用AES-256，哈希算法SHA-1，认证方式为预共享密钥（PSK），本地子网为192.168.1.0/24，远端子网为192.168.2.0/24。
第一步：登录USG2130管理界面
通过浏览器访问设备默认地址（如https://192.168.1.1），输入管理员账号密码进入Web GUI，若未设置初始密码,请参考出厂文档重置。
第二步：创建IKE策略
导航至“VPN > IKE策略”，点击“新建”，填写策略名称（如“ike-policy-branch”），选择IKE版本（v1）、加密算法（AES-256）、哈希算法（SHA-1）、DH组（Group 2）、生命周期（3600秒），关键步骤是设置预共享密钥（PSK），Huawei@2024”,该密钥需在两端设备保持一致。
第三步：配置IPSec安全策略
进入“VPN > IPSec策略”，新建策略（如“ipsec-policy-branch”），绑定之前创建的IKE策略，并指定本地子网（192.168.1.0/24）和远端子网（192.168.2.0/24），加密算法同样设为AES-256，哈希算法SHA-1，AH/ESP协议选ESP，PFS（完美前向保密）启用（推荐Group 2）。
第四步：定义兴趣流（Traffic Selector）
在“VPN > IPSec策略”中，配置兴趣流规则，确保仅允许目标子网间的流量通过IPSec隧道，源地址为192.168.1.0/24，目的地址为192.168.2.0/24。
第五步：配置安全策略放行IPSec流量
进入“策略 > 安全策略”，添加一条新规则，源区域为“Trust”（内网），目的区域为“Untrust”（外网），服务选择“IPSec”，动作设为“允许”，此步骤至关重要，否则即使IPSec配置正确,流量仍被拦截。
第六步：测试与验证
完成配置后，保存并重启相关服务，在总部USG2130上执行命令行指令：display ipsec sa 查看SA状态，确认“Established”表示隧道已建立，在客户端PC（如192.168.1.100）ping远端服务器（192.168.2.100）,应能通达且无丢包。
常见问题排查：
- 若SA无法建立,检查PSK是否一致；
- 若流量不通,确认安全策略是否放行；
- 若日志显示“Invalid SPI”，可能是MTU不匹配,建议启用IP分片或调整MTU值。
USG2130作为一款性价比高的企业级防火墙，其IPSec VPN功能成熟稳定，适用于中小型企业远程办公、多分支互联等场景，通过规范的配置流程与细致的日志分析，网络工程师可快速部署高可用、高安全性的IPSec隧道，为企业数字化转型提供坚实网络基础，未来还可结合SSL-VPN实现移动用户灵活接入,进一步拓展应用场景。
半仙加速器-海外加速器 | VPN加速器 | VPN翻墙加速器 | VPN梯子 | VPN外网加速
