在当前企业网络架构中,远程办公和分支机构互联已成为常态，为了保障数据传输的安全性与完整性，IPSec（Internet Protocol Security）协议作为业界标准的网络安全协议，被广泛应用于企业级防火墙设备上，华为USG2200系列防火墙作为一款集防火墙、入侵防御、病毒过滤于一体的下一代安全网关，其对IPSec VPN的支持能力非常成熟，本文将详细介绍如何在USG2200防火墙上配置站点到站点（Site-to-Site）IPSec VPN，实现总部与分支机构之间的加密通信。
确保USG2200已正确接入网络,并具备公网IP地址或通过NAT映射可被外部访问，本例假设总部USG2200的公网IP为203.0.113.10，分支机构USG2200公网IP为198.51.100.20，两端内网分别为192.168.1.0/24 和 192.168.2.0/24。
第一步：创建IKE策略
进入Web管理界面或命令行模式（CLI），选择“VPN > IKE策略”菜单，新建一个IKE策略，如命名为“IKE_POLICY_1”，设置如下参数：
- IKE版本：V1
- 认证方式：预共享密钥（Pre-shared Key）
- 加密算法：AES-256
- 身份验证算法：SHA256
- DH组：Group 14（2048位）
- 保活时间：30秒
- 重协商周期：86400秒（24小时）
第二步：配置IPSec安全提议（IPSec Proposal）
在“VPN > IPSec安全提议”中创建名为“IPSEC_PROPOSAL_1”的提议，指定以下参数：
- 加密算法：AES-256
- 身份验证算法：SHA256
- AH协议（可选）：不启用
- ESP协议：启用
- SA生存时间：3600秒（1小时）
第三步：建立IPSec隧道（IPSec通道）
前往“VPN > IPSec通道”，新建一条名为“TUNNEL_TO_BRANCH”的通道：
- 本地接口：外网接口（如GigabitEthernet0/0/1）
- 对端地址：198.51.100.20（分支机构IP）
- IKE策略：选择第一步创建的IKE_POLICY_1
- IPSec安全提议：选择IPSEC_PROPOSAL_1
- 本地子网：192.168.1.0/24
- 对端子网：192.168.2.0/24
- 本端安全联盟（SA）优先级：默认即可
第四步：配置路由
确保两端USG2200都添加静态路由，指向对方内网段，在总部USG2200上添加：
ip route-static 192.168.2.0 255.255.255.0 203.0.113.10（即自身公网IP）同时在分支机构配置对应路由,使流量能正确触发IPSec封装。
第五步：测试与验证
使用ping命令从总部内网主机ping分支机构内网主机，观察是否成功，登录USG2200查看“监控 > IPSec连接状态”，确认SA已建立并处于活动状态，若出现失败，检查IKE协商日志（“日志 > 系统日志”），常见问题包括预共享密钥不匹配、NAT穿越未启用、ACL未放通等。
USG2200支持灵活的IPSec配置选项,配合合理的策略设计，可以为企业提供稳定、安全的跨地域通信方案，建议在生产环境中部署前进行充分测试，并结合日志审计与告警机制，持续优化网络安全性。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
