在现代企业网络架构中,站点到站点VPN（Site-to-Site VPN）已成为连接不同地理位置分支机构或数据中心的标准方式，作为网络工程师，我们常需在华为USG（Unified Security Gateway）系列防火墙上部署此类隧道，以确保数据传输的机密性、完整性和可用性，本文将详细介绍如何在USG设备上完成站点到站点IPSec VPN的配置步骤，涵盖从策略规划到验证测试的全流程。
准备工作至关重要,你需要明确以下信息：两端USG设备的公网IP地址（用于建立IKE协商）、本地子网与远端子网（如192.168.1.0/24和192.168.2.0/24）、预共享密钥（PSK）、IKE版本（推荐使用IKEv2）、加密算法（如AES-256）、哈希算法（如SHA2-256）以及DH组（推荐Group 14），这些参数必须在两端设备上保持一致，否则隧道无法建立。
第一步：配置IKE策略，登录USG设备的命令行界面（CLI）或图形化管理界面（WebUI），进入“安全策略 > IKE策略”菜单，创建一个新策略，例如命名为“ike-policy-branch”，设置本端IP为公网地址（如203.0.113.10），远端IP为对端公网地址（如203.0.113.20），选择IKE版本为v2，加密算法为AES-256，哈希算法为SHA2-256，DH组为Group 14，并设置预共享密钥（如“SecurePass123!”），保存后，该策略将用于协商阶段的身份认证和密钥交换。
第二步：配置IPSec策略，进入“安全策略 > IPSec策略”菜单，新建名为“ipsec-policy-branch”的策略，关联上述IKE策略，并指定本地子网和远端子网（如Local: 192.168.1.0/24, Remote: 192.168.2.0/24），设置IPSec协议为ESP，加密算法同前（AES-256），哈希算法（SHA2-256），并启用PFS（Perfect Forward Secrecy），同样选择Group 14，这一步定义了数据传输时的安全封装规则。
第三步：配置安全ACL（访问控制列表），在“安全策略 > ACL”中创建一条允许通过IPSec隧道的数据流规则，permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255，此ACL将绑定至IPSec策略，确保只有特定流量被加密传输。
第四步：应用策略到接口，进入“接口配置”页面，找到外网接口（如GigabitEthernet 1/0/1），添加IPSec安全策略（即第2步创建的ipsec-policy-branch），并启用IPSec功能，USG会自动根据配置生成IKE和IPSec SA（Security Association），并尝试与远端设备建立隧道。
验证与排错,使用命令display ike sa和display ipsec sa查看当前SA状态是否为“Established”，若失败，检查预共享密钥、IP地址配置、NAT穿透设置（如两端存在NAT，需启用NAT-T）、防火墙默认策略是否阻断UDP 500和4500端口，可借助ping和tracert工具测试跨隧道连通性，确认业务流量能正常穿越。
在USG上配置站点到站点VPN是一个系统工程,涉及多个模块的协同工作，正确理解IKE与IPSec的工作机制，细致核对参数一致性，是成功部署的关键，熟练掌握此流程，不仅能提升网络安全性，还能为企业构建灵活、可靠的广域网互联基础。
半仙加速器-海外加速器|VPN加速器|vpn翻墙加速器|VPN梯子|VPN外网加速
