在当前企业网络架构中，远程办公和分支机构互联已成为常态，为了保障数据传输的安全性与完整性，IPSec（Internet Protocol Security）协议作为业界标准的网络安全协议，被广泛应用于虚拟专用网络（VPN）场景中，华为USG2130是一款面向中小型企业设计的下一代防火墙（NGFW），具备强大的安全防护能力，同时支持灵活的IPSec VPN配置，本文将详细介绍如何在USG2130上配置站点到站点（Site-to-Site）IPSec VPN,以实现两个不同地理位置网络之间的安全通信。
确保USG2130设备已正确接入网络，并完成基础配置，如设置管理IP地址、默认路由、DNS等，进入系统管理界面，通过Web或命令行方式登录防火墙，在“VPN”菜单下选择“IPSec策略”，点击“新建”按钮开始配置。
第一步是定义对端网关信息，假设本地网络为192.168.1.0/24，远端网络为192.168.2.0/24，远端防火墙公网IP为203.0.113.50，需要创建一个IPSec隧道，指定对端IP地址为203.0.113.50，并选择合适的认证方式（建议使用预共享密钥PSK，简单易用且安全性较高），设置IKE（Internet Key Exchange）协商参数，包括加密算法（推荐AES-256）、哈希算法（SHA256）、DH组（Group 14）以及生命周期（通常为28800秒）。
第二步是配置IPSec安全提议（Security Proposal），这是定义IPSec保护机制的核心部分，需匹配两端设备的参数，选择ESP（Encapsulating Security Payload）封装模式，启用AH+ESP组合（若需完整身份验证）或仅使用ESP（更常见），设定加密和认证算法后,保存并绑定到IPSec策略中。
第三步是创建流量选择器（Traffic Selector），这一步非常关键，用于决定哪些源和目的IP流量应通过该IPSec隧道转发，本地流量源为192.168.1.0/24，目标为192.168.2.0/24；远端则相反，确保两端的流量选择器完全一致,否则无法建立隧道。
第四步是应用IPSec策略到接口，将策略绑定到本地出站接口（如GE1/0/0），并配置相应的安全区域（Zone）规则，允许IPSec协议（UDP 500和UDP 4500）通过防火墙，还需在ACL中放行相关流量,防止因策略阻断导致连接失败。
测试连接状态，可在USG2130上执行“display ipsec sa”命令查看当前IPSec安全关联是否建立成功，确认状态为“Established”，然后从本地主机ping远端服务器，验证隧道是否正常工作，若出现故障，可通过日志分析（log file）排查IKE协商失败或密钥不匹配等问题。
USG2130通过标准化的IPSec配置流程，能够高效、稳定地构建企业级安全远程访问通道，此方案不仅适用于总部与分支之间的互联，也适合云环境下的混合部署需求，熟练掌握这一技能,对网络工程师而言具有重要的实战价值。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
