十几个分支都要连总部：防火墙IPsec策略模板一处配置收全部分支

本文整理自华为官方发布的典型配置案例与配置指南，按中小企业常见场景做了场景化梳理。

总部网管的扩容烦恼

总部已有两三个分支通过 IPsec 隧道回连，业务一扩，新开网点一个接一个。按传统 ISAKMP 方式，每接一个分支就要在总部防火墙上写一条完整策略，点对点地为它规划保护的数据流——网点多了以后策略表越来越长，改一处要动十几处。华为官方给多分支场景的推荐姿势是策略模板方式：总部侧用一条策略模板兜底，分支侧各自用 ISAKMP 策略主动发起协商，新网点接入不用回总部改配置。官方文档对适用面的表述很明确：对端 IP 地址不固定或存在多个对端、点到多点组网下的总部侧配置。

机制先弄清：谁发起、谁响应

官方文档点明一个关键约束：采用策略模板方式的总部侧不能主动发起协商，只能作为响应方；各分支必须配置 ISAKMP 方式的 IPsec 策略作为发起方。策略模板中必选项只有两个——引用 IPsec 安全提议和 IKE 对等体，其余可选；模板里没定义的参数，由发起方协商时决定。这个设计正是它能"一处配置收全部分支"的原因。

第一步：创建策略模板并引用 ACL

进入系统视图后创建策略模板，可选地起别名，再引用高级 ACL 圈定要保护的数据流：

system-view
ipsec policy-template template-name seq-number
alias alias
security acl acl-number

官方注明：一个策略模板只能引用一个 ACL；响应方也可以不定义保护数据流，表示全盘接受发起方圈定的范围——多数多分支场景就是这么用的。

第二步：引用安全提议与 IKE 对等体

proposal proposal-name
ike-peer peer-name

官方规则：一个策略模板至多引用 12 个 IPsec 安全提议，协商时按顺序取两端完全匹配的那一个，全对不上则 SA 建不起来；两端提议的封装模式必须一致。

第三步：按需补两道可选加固

一是 PFS 特性，在本端发起协商时做一次附加 DH 交换，提升密钥安全：

pfs { dh-group14 | dh-group15 | dh-group16 | dh-group18 | dh-group19 | dh-group20 | dh-group21 | dh-group24 }

官方明确提示不建议使用 Group1/Group2/Group5，无法满足安全防御要求；两端模板下都配了 PFS 时 DH 组必须一致，否则 SA 协商失败。

二是 SA 硬生存期到期且未重协商时自动触发 DPD：

sa lifetime-expired dpd enable

官方文档特别点了一个实战坑：对接部分第三方 IPsec 网关时，分支不支持自动触发 DPD，链路闪断后隧道起不来，此时要在总部执行 undo sa lifetime-expired dpd enable 让隧道快速恢复。

收尾与验证

退出模板视图，把它挂进 IPsec 策略组（官方要求策略模板方式的策略序号取大、优先级压底），再到接口上应用策略组。验证执行：

display ipsec policy-template

能列出模板引用的 ACL、提议与对等体即配置生效；之后每个分支上线，看协商状态里多出一条 SA 就是接入成功。

给网管的三点提醒

一是分支侧地址即便变动，总部模板也不用心改，这正是选它的理由；二是 ACL 范围建议按业务网段规划，别一刀切放全；三是日常巡检盯两个数：SA 条数对不对得上分支数、有没有频繁重协商的分支。

多分支组网、总部与分支加密互联的方案设计与实施，贵州诚鑫致达科技提供防火墙部署与广域网建设的本地化服务，欢迎留言或私信把您的分支结构发来聊聊。

（来源：华为 USG6000F 系列防火墙官方文档《配置策略模板方式的IPsec策略》，命令与注意事项以官方文档为准）

企业存储选型参考｜贵州诚鑫致达

做机架式部署与数据中心扩容，群晖机型参考：RS2423RP+ · RS1221+ · RS822+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。