总部分支拉一条加密隧道：USG防火墙IPsec VPN站点互联配置

总部与分支两套内网要互通，数据又不能明文跑公网——异地组网这个需求的正经解法就是 IPsec VPN：两边防火墙在出口各建一条加密隧道，内网之间互访自动走加密通道，中间公网只能看到密文。下面以总部内网 192.168.1.0/24、分支内网 172.16.1.0/24 为例，走一遍 USG 防火墙点对点 IPsec 的配置（两端配置对称，地址对调）。

第一步，定义需要加密的流量。 用高级 ACL 圈出"哪些内网互访要走隧道"：

acl 3000
 rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255

ACL 没圈进去的流量不走隧道，按普通路由出公网——这就是"按需加密"。

第二步，配置 IKE 安全提议与对等体。 隧道怎么加密、跟谁建，都在这一段：

ike proposal 1
 encryption-algorithm aes-256
 authentication-algorithm sha2-256
 authentication-method pre-share

ike peer branch v2
 pre-shared-key Key@12345
 remote-address 2.2.2.2

ike proposal 定加密与认证算法，两端提议参数须一致；ike peer 里的 pre-shared-key 是两端约定的预共享密钥，remote-address 填对端出口公网地址。

第三步，配置 IPsec 策略并挂到出口。 把 ACL、提议、对等体串成策略：

ipsec proposal tran1
 esp authentication-algorithm sha2-256
 esp encryption-algorithm aes-256

ipsec policy map1 1 isakmp
 security acl 3000
 ike-peer branch
 proposal tran1

interface GigabitEthernet1/0/1
 ipsec policy map1

策略挂在出口接口上，流量经过接口时按 ACL 匹配、命中即加密封装。

配置完怎么验。 分支侧先向总部发起一笔流量（如 ping 总部内网地址）触发协商，然后执行 display ike sa 应能看到协商成功的 SA，display ipsec sa 能看到加密报文与字节数在增长；两端内网电脑互 ping 通了，隧道即通。

两个提醒：一是两端内网网段不能重叠，重叠了路由和加密策略都会乱；二是任一侧是动态公网地址（宽带拨号线路）时，对端改用域名或配合 DDNS 指定，预共享密钥两端务必一致。跨地域组网、分支准入、数据加密是一套方案，企业在开分店、建仓时通常提前规划。贵州诚鑫致达科技为企业提供多分支机构组网与出口安全的一体化实施，从隧道规划到落地验收全程负责，欢迎搜索"诚鑫致达 组网"联系我们出方案。

（约 930 字）

企业存储选型参考｜贵州诚鑫致达

做全闪高性能数据库与虚拟化，群晖机型参考：FS6400 · FS3410 · FS2500。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。四川成都群晖存储部署、机房建设与数据安全集成服务。