在现代企业网络架构中,跨地域分支机构之间的安全通信至关重要，为了保障数据传输的机密性、完整性和可用性，许多组织选择通过IPSec（Internet Protocol Security）协议构建站点到站点的虚拟私人网络（Site-to-Site VPN），作为一款广泛应用于中小型企业及大型机构的下一代防火墙（NGFW），华为USG系列设备提供了稳定、易用且功能强大的VPN配置能力，本文将详细介绍如何在USG防火墙上建立站点到站点的IPSec VPN隧道，确保两个不同地理位置的网络之间实现加密通信。
我们需要明确基础拓扑结构：假设我们有两台USG设备，分别部署在总部和分支机构，它们各自连接一个内网（如192.168.1.0/24 和 192.168.2.0/24），目标是让这两个子网能够互相访问，整个过程分为以下步骤：
第一步：规划IP地址与安全策略
在配置前，需确定两端设备的公网IP地址（即外网接口IP）、本地内网段、以及用于IPSec协商的预共享密钥（PSK），总部USG公网IP为203.0.113.1，分支机构为203.0.113.2；内网分别为192.168.1.0/24 和 192.168.2.0/24，预共享密钥建议使用强密码，如“Hw@2024_VPN”。
第二步：创建IKE策略（Internet Key Exchange）
进入USG的命令行界面或图形化管理界面，导航至“VPN > IKE策略”，创建一个新的IKE策略，指定如下参数：
- IKE版本：V1或V2（推荐V2以获得更好的兼容性和安全性）
- 认证方法：预共享密钥（PSK）
- 加密算法：AES-256
- 完整性算法：SHA256
- DH组：Group 14（2048位）
- 保活时间：30秒（防止空闲连接断开）
第三步：配置IPSec安全提议（Security Association）
在“VPN > IPSec策略”中新建一条IPSec策略，设定：
- 报文封装模式：隧道模式（Tunnel Mode）
- 加密算法：AES-256
- 完整性算法：SHA256
- SA生存时间：3600秒（1小时）
- 可选：启用抗重放保护（Anti-Replay）
第四步：定义感兴趣流量（Traffic Selector）
在“VPN > 隧道接口”或“IPSec通道”中，添加两个方向的流量匹配规则：
- 出站：源地址为192.168.1.0/24，目的地址为192.168.2.0/24
- 入站：源地址为192.168.2.0/24，目的地址为192.168.1.0/24
第五步：绑定IKE策略与IPSec策略并应用到接口
将上述IKE策略和IPSec策略组合成一个IPSec通道，并将其绑定到物理接口（如GigabitEthernet 0/0/1），同时确保两端的配置一致，特别注意：两端必须使用相同的预共享密钥、算法和策略名称。
第六步：验证与排错
完成配置后，使用命令display ipsec sa查看SA状态是否建立成功（Status: UP），若显示“Negotiation Failed”，应检查日志信息（display logbuffer），常见问题包括：
- 预共享密钥不一致
- 网络可达性问题（如ACL阻止UDP 500/4500端口）
- NAT穿透（NAT-T）未启用（若两端位于NAT之后）
测试连通性：从总部内网ping分支机构内网主机（如192.168.2.10），确认数据包已加密传输，且能正常响应。
在USG防火墙上建立站点到站点VPN是一项关键技能,它不仅提升了网络安全水平，还为企业全球化运营提供了可靠的技术支撑，熟练掌握这一流程，有助于网络工程师快速部署高可用的跨区域通信链路，从而构建更加健壮的企业网络基础设施。
半仙加速器-海外加速器 | VPN加速器 | VPN翻墙加速器 | VPN梯子 | VPN外网加速
