在现代企业网络架构中，远程办公与分支机构互联已成为常态，为了保障数据传输的安全性，虚拟专用网络（VPN）技术成为不可或缺的一环，作为华为推出的一款高性能二层/三层以太网交换机，S5100系列不仅具备强大的基础网络功能，还支持丰富的安全特性，包括IPSec VPN，本文将详细介绍如何在华为S5100交换机上配置IPSec VPN,实现跨公网的安全隧道通信。
明确配置目标：假设某公司总部部署一台S5100交换机（设备A），分支机构部署另一台S5100交换机（设备B），双方需通过互联网建立加密隧道，确保内部业务流量（如文件共享、数据库访问等）不被窃听或篡改，该场景下，使用IPSec协议最为合适,因其提供端到端的数据加密和身份认证机制。
配置前准备：
- 两台S5100交换机均需运行V200R003或以上版本固件；
- 已分配公网IP地址给两端接口（例如设备A的外网口为203.0.113.10，设备B为198.51.100.20）；
- 确保防火墙允许ESP（协议号50）和AH（协议号51）及UDP端口500（IKE协商）通过；
- 选择合适的预共享密钥（PSK）,建议使用复杂字符串增强安全性。
第一步：配置接口IP地址与路由 在设备A上，为外网接口配置静态IP,并设置默认路由指向运营商出口：
interface GigabitEthernet 0/0/1
ip address 203.0.113.10 255.255.255.0
quit
ip route-static 0.0.0.0 0.0.0.0 203.0.113.1设备B同理配置,确保彼此能ping通公网IP。
第二步：配置IKE策略（Internet Key Exchange） IKE用于协商SA（Security Association）并建立安全通道，定义一个IKE提议（proposal）和一个IKE对等体（peer）：
ike proposal 1
encryption-algorithm aes
authentication-method pre-share
authentication-algorithm sha
dh group 2
quit
ike peer peer-b
pre-shared-key cipher YourStrongPSK123!
remote-address 198.51.100.20
ike-proposal 1
quit第三步：配置IPSec策略 IPSec策略定义加密算法、封装模式及感兴趣流（即需要保护的流量）：
ipsec proposal 1
esp encryption-algorithm aes
esp authentication-algorithm sha1
quit
acl number 3000
rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
quit
ipsec policy map 1 1 isakmp
security acl 3000
ike-peer peer-b
ipsec proposal 1
quit第四步：应用IPSec策略到接口 将策略绑定到出站接口（通常是连接互联网的接口）：
interface GigabitEthernet 0/0/1
ipsec policy map 1
quit在设备B上重复类似步骤，但注意将对等体地址设为203.0.113.10,并确保ACL规则匹配对应子网。
完成上述配置后，可通过display ike sa和display ipsec sa命令查看状态，若显示“Established”，则表示隧道已成功建立，两个局域网内的主机即可安全通信，所有流量经由IPSec加密传输,有效防范中间人攻击和数据泄露。
华为S5100系列交换机凭借其灵活的IPSec支持能力，为企业提供了经济高效的安全远程接入方案，合理规划拓扑、严格配置参数，可显著提升网络整体安全性，对于中小型企业而言，无需额外购买专用VPN设备,即可实现高质量的远程办公体验。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
