在现代企业网络架构中，跨地域分支机构之间的安全通信至关重要，为了保障数据传输的机密性、完整性和可用性，许多组织选择通过IPSec（Internet Protocol Security）协议建立站点到站点虚拟专用网络（Site-to-Site VPN），作为网络工程师，掌握在华为USG（Unified Security Gateway）防火墙上配置此类VPN的能力,是保障企业网络安全的核心技能之一。
本文将详细介绍如何在华为USG防火墙上完成站点到站点VPN的配置流程，包括前期规划、IKE策略设置、IPSec安全提议配置、路由调整以及最终的测试验证。
第一步：前期规划
在开始配置前，需明确以下信息：
- 两端设备的公网IP地址（如USG-A位于总部，USG-B位于分支机构）
- 内网子网范围（例如192.168.1.0/24 和 192.168.2.0/24）
- IKE版本（建议使用IKEv2，更稳定且支持NAT穿越）
- 加密算法（如AES-256）、认证算法（如SHA-256）和DH组（推荐group5或group14）
第二步：配置IKE策略
登录USG防火墙管理界面后，进入“安全策略 > IPSec > IKE策略”页面：
- 创建新IKE策略（如命名为“IKE-POLICY-MAIN”）
- 设置IKE版本为IKEv2
- 本地身份标识为IP地址（或FQDN）
- 对端身份标识同样设为IP地址
- 配置预共享密钥（Pre-shared Key），确保两端一致
- 设置SA生存时间（通常为3600秒）
第三步：配置IPSec安全提议
进入“安全策略 > IPSec > IPSec安全提议”，创建名为“IPSEC-PROPOSAL”的提议：
- 选择加密算法（如AES-CBC-256）
- 认证算法（如HMAC-SHA2-256）
- DH组（如group14）
- SA生存时间（建议与IKE策略一致）
第四步：创建IPSec隧道（即IPSec安全通道）
在“安全策略 > IPSec > IPSec隧道”中新建一条隧道（如“TUNNEL-TO-BRANCH”）：
- 关联前述IKE策略和IPSec安全提议
- 设置本端接口（如GE1/0/1，公网IP）
- 对端地址（如分支机构USG的公网IP）
- 启用NAT穿越功能（若两端均位于NAT之后）
第五步：配置安全策略（允许流量通过）
在“安全策略 > 安全策略规则”中添加规则：
- 源区域（如Trust）→ 目标区域（如Untrust）
- 源地址（内网子网）→ 目标地址（对端内网子网）
- 动作：允许，并引用上述IPSec隧道
- 建议启用日志记录以便排查问题
第六步：静态路由配置（可选但推荐）
如果USG不自动学习对端路由，需手动添加静态路由指向对端子网，下一跳为对端公网IP,这样内部主机才能正确转发流量至远端网络。
最后一步：测试与排错
- 使用ping命令从本端内网主机向对端内网IP发起测试
- 查看USG上的日志（“监控 > 日志 > IPSec”）确认IKE协商成功、SA建立状态正常
- 若失败，检查预共享密钥一致性、防火墙是否放行UDP 500和4500端口（IKE）、IPsec协议号50和51是否被允许
通过以上步骤，即可在华为USG防火墙上成功建立站点到站点IPSec VPN，实现两个独立局域网之间加密通信，该方案具备高安全性、可扩展性强、兼容主流厂商等特点，是企业级广域网连接的首选方案，作为网络工程师，熟练掌握此技术不仅能提升网络可靠性,也为应对复杂多变的网络安全挑战打下坚实基础。
半仙加速器-海外加速器|VPN加速器|vpn翻墙加速器|VPN梯子|VPN外网加速
