跨地區(qū)聯(lián)網(wǎng)辦公最經(jīng)濟實惠的方式，莫過于ipsec vpn，筆者此前也不止一次地寫過ipsec vpn的配置方法，但是總有網(wǎng)友說太復雜了，今天我非要給各位看官來個簡單版的教程，只用10張圖片，就能展示華為防火墻配通外網(wǎng)，并且配通總部與分支機構的ipsec vpn。

總部與分支機構的網(wǎng)關設備相同，都是華為防火墻，型號為USG6330，缺點是安全授權都過期了，有待續(xù)費；密碼忘記了，原配置也沒有了，所以啟動時直接按Ctrl+B，恢復出廠設置。

說好了，10張圖片，把防火墻配置上網(wǎng)，并且配通ipsec vpn，下面正式開始：

第一圖：配置接口IP;

G0/0/0是管理接口，默認為192.168.0.1，因為與G1/0/1網(wǎng)段相同，所以必須修改；

G1/0/0是內(nèi)網(wǎng)接口，配置IP為10.2.2.1/24；

G1/0/1是外網(wǎng)接口，配置IP為192.168.0.2/24，實際應該填寫運營商給的IP地址，此處因為我有上層路由，所以填寫的是上層路由給的IP；

第二圖：在內(nèi)網(wǎng)接口上配置DHCP服務；

正常來說，DHCP一般是配置在交換機上，但是客戶環(huán)境里面只有傻瓜交換機，所以只能在防火墻上配置DHCP了，注意保留IP，是預留給服務器、打印機以及硬盤錄像機等需要固定IP的設備了；

第三圖：配置靜態(tài)路由，此處也稱為默認路由；

目的地址：0.0.0.0/0 即指互聯(lián)網(wǎng)任意IP，下一跳此處為光貓IP地址；不寫這條路由，是不能上網(wǎng)的；

第四圖：配置安全策略，放通trust（內(nèi)網(wǎng)）到untrust（外網(wǎng)）的訪問，不寫這條安全策略，是不能上網(wǎng)的；這就是防火墻和路由器的區(qū)別之處；

第五圖：配置源NAT，就是地址轉(zhuǎn)換，不寫這條，同樣不能上網(wǎng)，哈哈，是不是覺得挺麻煩的；

經(jīng)過以上配置，電腦已經(jīng)可以上網(wǎng)了，緊接著開始配置ipsec vpn，以便使總部和分支機構的網(wǎng)絡能互通。

第六圖：配置ipsec策略，場景：因為是總部，所以選擇點到多點，如果是分支機構，那就選擇點到點；對端接入類型：分支網(wǎng)關，L2TP是指筆記本電腦或者手機遠程撥入；基本配置里面，名稱隨便寫，無所謂； 本端接口當然是外網(wǎng)接口，本端地址是外網(wǎng)，實際應該填寫運營商給的IP地址，此處因為我有上層路由，所以填寫的是上層路由給的IP；下面的“本端ID”也是同樣情況；

撥號用戶配置，即筆記本電腦或者手機遠程撥入的相關配置，主要是確定了L2TP的認證模式，以及IP地址池；

第七圖：配置加密數(shù)據(jù)流：第一行是定義總部內(nèi)網(wǎng)到分支機構內(nèi)網(wǎng)的加密數(shù)據(jù)流； 第二行是定義總部內(nèi)網(wǎng)到遠程撥入用戶的加密數(shù)據(jù)流；第三行是L2TP撥入UDP協(xié)議的加密數(shù)據(jù)流；

第八圖：配置ipsec相關的安全參數(shù)，兩端必須相同，筆記本電腦或者手機也必須配置相同參數(shù)，因為某些設備可能不支持過高的DH組，所以此處也勾選了5，如果沒有陣舊的設備接入，則不建議勾選DH5；

第九圖：配置安全策略：1、放行總部到分支的通訊； 2、放行分支到總部的通訊； 3、放行untrust到local的通訊，由于分支機構沒有固定的IP，所以此處不能限定IP地址； 4

放行l(wèi)ocal到untrust的通訊； 注意：local是指防火墻本身；

第十圖：這是個關鍵點，很多人沒做這步操作，所以哪怕是兩端的防火墻已經(jīng)成功地建立了ipsec vpn，兩端的內(nèi)網(wǎng)還是無法通訊的。

這條源NAT策略的意思是，從總部內(nèi)網(wǎng)訪問分支的內(nèi)網(wǎng)，不做地址轉(zhuǎn)換，如果沒有這個配置，那么默認為轉(zhuǎn)換，那數(shù)據(jù)流量就走到公網(wǎng)出去了，而不會從ipsec隧道走，那當然不會有回包了，所以兩端無法互訪。

分支機構的防火墻配置方法基本相同，就不再贅述了，配置完成后，兩端內(nèi)網(wǎng)電腦互ping測試就可以了。

怎么樣？我說10張圖片就10張圖片吧，華為防火墻配置上網(wǎng)，并且兩端配通ipsec vpn就是這么簡單，如果不成功，那就需要具體分析了，歡迎留言或者私信探討。10張圖片教會你配置ipsecvpn