在当前企业网络架构中，远程办公和分支机构互联已成为常态，为了保障数据传输的安全性与完整性，IPSec（Internet Protocol Security）协议作为业界标准的网络安全协议，被广泛应用于虚拟专用网络（VPN）场景中，华为USG5120是一款高性能硬件防火墙，集成了状态检测、入侵防御、应用控制等多重功能，特别适合中小型企业部署IPSec VPN服务，本文将详细介绍如何在USG5120上配置IPSec VPN,实现总部与分支机构或远程用户之间的安全通信。
配置前需明确网络拓扑结构和需求，假设总部部署USG5120作为边界防火墙，分支机构通过公网IP接入互联网，且需要建立站点到站点（Site-to-Site）的IPSec隧道，还需准备两端的设备信息：本地端（总部）的公网IP地址、子网掩码、预共享密钥（PSK），以及远端（分支机构）的公网IP地址和子网范围。
第一步是配置本地接口和安全区域，登录USG5120管理界面（Web或CLI），进入“网络 > 接口”页面，确保WAN口（如GE1/0/0）已正确绑定公网IP，并设置为Trust区域；内网接口（如GE1/0/1）分配私网IP段，如192.168.1.0/24，归属Local区域，在“安全 > 区域”中确认Trust和Local区域之间允许流量通过，启用默认策略（即允许内网访问外网）。
第二步是创建IPSec安全策略，进入“VPN > IPSec > 安全策略”，点击“新建”，在“本地”选项卡中选择本地图形化界面中的公网接口，输入对端公网IP（例如1.1.1.1），在“对端”选项卡中填写远端设备的公网IP地址和子网信息，接着配置IKE（Internet Key Exchange）参数：采用IKEv1版本，认证方式选择“预共享密钥”，输入双方约定的密钥（如"SecureKey2024!"），加密算法推荐AES-256，哈希算法使用SHA1，DH组选Group 14（2048位），这些参数必须与远端设备一致,否则协商失败。
第三步是配置IPSec提议，在“IPSec > 提议”中新建一条提议，名称可设为“ipsec-proposal”，选择加密算法（如AES-CBC-256）、哈希算法（如SHA1）和生存时间（默认3600秒）,随后在安全策略中引用该提议。
第四步是创建安全关联（SA）并激活策略，返回安全策略列表，检查所有字段是否准确无误后，启用该策略，USG5120会自动发起IKE协商过程，若两端配置一致，将在几分钟内建立双向隧道，可通过命令行执行"display ike sa"和"display ipsec sa"验证状态，显示“Established”表示连接成功。
测试连通性，在总部内网主机ping远端子网（如192.168.2.100），应能正常响应，同时建议开启日志功能（“系统 > 日志”），记录每次IPSec握手事件,便于故障排查。
USG5120支持灵活的IPSec配置，结合合理的网络规划和安全策略，可为企业构建稳定、安全的远程访问通道，对于网络工程师而言，掌握此类配置不仅提升实战能力,也增强对企业级网络安全的理解。
半仙加速器-海外加速器 | VPN加速器 | VPN翻墙加速器 | VPN梯子 | VPN外网加速
