在现代企业网络架构中，站点到站点VPN（Site-to-Site VPN）已成为连接不同地理位置分支机构或数据中心的标准安全解决方案，作为网络工程师，掌握在华为USG（Unified Security Gateway）系列防火墙上建立和配置站点到站点IPsec VPN的能力，是保障企业数据传输安全、提升跨地域通信效率的关键技能，本文将详细介绍在USG设备上配置站点到站点IPsec VPN的完整步骤，涵盖策略定义、IKE协商、IPsec安全关联建立等核心环节。
我们需要明确拓扑结构，假设我们有两个站点：总部（Site A）和分支机构（Site B），分别部署了一台USG防火墙（如USG6600或USG9500系列），总部的公网IP地址为203.0.113.10，分支机构公网IP为198.51.100.20，两个内网段分别为192.168.1.0/24和192.168.2.0/24，目标是建立一条加密隧道,使两处内网可以互相访问。
第一步：配置接口与路由
登录USG设备管理界面（通过Web或命令行），确保外网接口已正确配置IP地址并启用NAT功能（如果需要），在Site A的USG上配置：
interface GigabitEthernet 1/0/1
ip address 203.0.113.10 255.255.255.0
quit配置静态路由指向对方内网段：
ip route-static 192.168.2.0 255.255.255.0 203.0.113.1第二步：定义安全策略（Security Policy）
进入“安全策略”模块，创建一条允许IPsec流量通过的规则，注意，IPsec协议（ESP和AH）必须被放行，通常在策略中设置为“允许”而非“拒绝”，要确保源和目的地址范围准确匹配,避免误拦截合法流量。
第三步：配置IKE阶段1（第一阶段协商）
这是建立安全通道的基础，在USG上新建IKE提议（IKE Proposal），指定加密算法（如AES-256）、认证算法（SHA256）、DH组（Group 14）及生命周期（3600秒），然后创建IKE对等体（IKE Peer），输入对端公网IP（198.51.100.20），设置预共享密钥（PSK）如“mysecretpassphrase”,并绑定前面定义的IKE提议。
第四步：配置IPsec阶段2（第二阶段协商）
创建IPsec提议（IPsec Proposal），选择与IKE相同的加密和认证算法，并设置SA生存时间（如1800秒），接着创建IPsec安全策略（IPsec Policy），绑定本地和远端子网（如192.168.1.0/24 ↔ 192.168.2.0/24）,并将该策略与IKE对等体关联。
第五步：应用策略并验证
在接口上应用IPsec策略（通常是出方向），并使用display ike sa和display ipsec sa命令检查隧道状态是否为“Established”，若成功,可通过ping测试两个内网主机的连通性。
常见问题排查包括：预共享密钥不一致、NAT穿透导致端口冲突、ACL未放行ESP协议（UDP 500/4500）、时间同步偏差（建议开启NTP服务）,建议启用日志记录功能以便快速定位故障。
在USG防火墙上建立站点到站点VPN是一项系统工程，涉及网络基础、安全策略、协议配置等多个层面，熟练掌握这些步骤，不仅能构建高可用的跨网通信链路，还能为企业数字化转型提供坚实的安全底座，作为网络工程师，持续优化IPsec配置（如启用IKEv2、动态DNS支持）将是未来提升运维效率的重要方向。
半仙加速器-海外加速器|VPN加速器|vpn翻墙加速器|VPN梯子|VPN外网加速
