分支和总部通过互联网搭建ipsec vpn

该场景可通过在总部部署IPsec VPN网关并结合RADIUS认证服务器（如网康NGFW）实现分支终端的认证接入。具体方案如下： 1. **总部配置**： - 配置IPsec VPN网关，启用IKEv1或IKEv2协商。 - 创建IKE Profile，开启XAUTH认证： ``` [Sysname] ike profile to_branch [Sysname-ike-profile-to_branch] client-authentication xauth ``` - 关联RADIUS服务器，用于对分支用户进行用户名和密码认证。 - 配置安全策略，授权通过认证的分支流量访问外网。 2. **分支侧配置**： - 配置IPsec VPN连接，预共享密钥（如：netentsec）与总部一致。 - 设置本地标识（如FQDN: fenzhi）。 - 在拨号时输入由总部统一分配的用户名和密码，完成XAUTH认证。 3. **效果**： - 分支终端只有在通过RADIUS认证后，IPsec隧道才能建立成功。 - 隧道建立后，分支流量经总部转发并可访问外网，未认证则无法接入。 此方案已在多分支企业中广泛应用，可有效集中管理用户权限，减轻总部策略配置负担，提升安全性。参考设备：网康NGFW系列防火墙。

ipsec只适合走内网互通流量

如果分支要通过认证才能上网，那ipsec跑认证流量即可

另外你控制器上网的设备是什么也要考虑下

您好，ipsec是内网流量，走外部网络就从分部直接出了

组网需求

配置思路

1. 配置各网关设备内 / 外网接口的 IP 地址，以及分支与总部公网、私网互访的静态路由，保证网络可达。
2. 在分支网关和总部网关上配置 ACL，定义需要 IPSec 保护的数据流。
3. 配置 IPSec 安全提议，定义 IPSec 的保护方法。
4. 配置 IKE 对等体，定义对等体间 IKE 协商时的属性。
5. 配置安全策略，并引用 ACL、IPSec 安全提议和 IKE 对等体。
6. 在接口上应用安全策略组，使接口具有 IPSec 的保护功能。
7. 在总部认证服务器上配置认证策略，分支终端通过 PPP 协议进行认证。

具体配置步骤

1. 配置接口 IP 地址和静态路由：
   • 分支网关（RouterA）：

• 总部网关（RouterB）：

2. 配置 ACL：
   • 分支网关（RouterA）：

• 总部网关（RouterB）：

3. 配置 IPSec 安全提议：
   • 分支网关（RouterA）：

• 总部网关（RouterB）：

4. 配置 IKE 对等体：
   • 分支网关（RouterA）：

• 总部网关（RouterB）：

5. 配置安全策略：
   • 分支网关（RouterA）：

• 总部网关（RouterB）：

6. 在接口上应用安全策略组：
   • 分支网关（RouterA）：

• 总部网关（RouterB）：

7. 总部认证服务器配置：
   在总部认证服务器（假设为 Windows Server）上，开启远程访问服务，配置 PPP 认证方式，添加分支终端的用户名和密码。分支终端通过拨号连接到总部网关时，会自动进行认证，认证通过后才能访问外网。