總部配置IPSEC PC到站點(diǎn)隧道，出差員工采用IPSEC客戶端連接總部。

設(shè)置步驟

先配置總部路由器上的IPSEC PC到站點(diǎn)隧道。

1. 配置IKE安全提議：VPN→IKE，進(jìn)入“IKE安全提議”標(biāo)簽頁，選擇合適的驗(yàn)證、加密算法以及DH組并點(diǎn)擊“新增”。

2. 配置IKE安全策略：VPN→IKE，進(jìn)入“IKE安全策略”標(biāo)簽頁。

l ID類型：身份認(rèn)證的類型，為便于處于NAT下面的客戶端正常連上路由器，建議選擇NAME。

l 安全提議：選擇在“IKE安全提議”中創(chuàng)建的安全提議名稱。

l 預(yù)共享密鑰：設(shè)置IKE認(rèn)證的預(yù)共享密鑰，通信雙方的預(yù)共享密鑰必須相同。

l DPD檢測：Dead Peer Detect，檢測對端在線狀態(tài)，建議啟用。

3. 配置IPsec安全提議：VPN→IPsec，進(jìn)入“IPsec安全提議”標(biāo)簽頁，輸入IPsec安全提議名稱，選擇合適的安全協(xié)議以及驗(yàn)證算法并點(diǎn)擊“新增”。

4. 配置IPsec安全策略：VPN→IPsec，進(jìn)入“IPsec安全策略”標(biāo)簽頁。

l 安全策略名稱：設(shè)置IPsec安全策略名稱。

l 組網(wǎng)模式：設(shè)置連接到路由器的對端為PC或站點(diǎn)，此處為“PC到站點(diǎn)”

l 本地子網(wǎng)范圍：設(shè)置本地子網(wǎng)范圍，即深圳總部局域網(wǎng)“192.168.1.0 /24” 。

l 對端主機(jī)：客戶機(jī)無固定IP地址故保持默認(rèn)的0.0.0.0 。

l 協(xié)商方式：協(xié)商方式分為IKE協(xié)商和手動模式兩種，手動模式需要用戶手工配置密鑰、SPI等參數(shù)；而IKE方式則由IKE自動協(xié)商生成這些參數(shù)，本文使用的客戶端僅支持IKE協(xié)商。

l IKE安全策略：選擇所配置的IKE安全策略。

l 安全提議：選擇配置的IPsec安全提議。

l PFS： 用于IKE協(xié)商方式下設(shè)置IPsec會話密鑰的PFS屬性，本地與對端的PFS屬性必須一致。

l 生存時間 ：用于IKE協(xié)商方式下IPsec會話密鑰的生存時間。

設(shè)置好后點(diǎn)擊“新增”，此時深圳總部的路由器已配置完畢。接下載配置移動辦公人員的客戶端。

5. 安裝客戶端：下載IPSEC VPN 客戶端軟件“TheGreenBow VPN Client”并安裝。（建議下載地址http://www.thegreenbow.com/zh/）

一路點(diǎn)擊“下一步”即可安裝完成，安裝完成后需要重啟計(jì)算機(jī)。

6. 運(yùn)行客戶端并打開配置界面：重啟計(jì)算機(jī)后客戶端會自動運(yùn)行，或者雙擊桌面的快捷方式亦可。首次運(yùn)行客戶端需要激活軟件，此軟件為收費(fèi)軟件，可以點(diǎn)擊“購買許可”來激活，授權(quán)費(fèi)用約為5許可189歐元，10許可349歐元。亦可點(diǎn)擊“我要評估軟件”進(jìn)行30天使用。成功運(yùn)行后界面如下：

右擊狀態(tài)欄的客戶端圖標(biāo)并點(diǎn)擊“配置面板”即可開始配置。

7. 配置客戶端第一階段：點(diǎn)擊第一階段面板“tgbtest”進(jìn)入第一階段配置“驗(yàn)證”標(biāo)簽頁。

l 遠(yuǎn)端網(wǎng)關(guān)：路由器開啟PC到站點(diǎn)IPsec VPN的WAN口IP或域名。

l 預(yù)共享密鑰：第一階段IKE協(xié)商的預(yù)共享密鑰，與總部路由器“IKE安全策略”中相同。

l IKE：IKE安全策略，與與總部路由器“IKE安全策略”中相同。

進(jìn)入“高級”標(biāo)簽頁，設(shè)置本地及遠(yuǎn)端ID，ID類型跟路由器中相同，都為NAME，此處叫“DNS”，填寫ID數(shù)值，總部路由器和客戶端的“本地ID”和“遠(yuǎn)端ID”的數(shù)值需要互換。

8.配置客戶端第二階段：點(diǎn)擊第二階段面板“tgbtest”進(jìn)入第二階段配置“IPSec”標(biāo)簽頁。

l VPN客戶端地址：隧道中客戶端通信使用的IP地址，須保證各客戶端不同，且為非LAN網(wǎng)段IP.

l 遠(yuǎn)端LAN地址：總部路由器端子網(wǎng)范圍。

l ESP：IPSec安全提議，與總部路由器中“IPSec安全提議”參數(shù)相同。

l PFS:用于設(shè)置IPSec會話密匙，與總部路由器“IPSec安全策略”中PFS相同。

設(shè)置好后點(diǎn)擊“保存”并“應(yīng)用”。此時客戶端配置完成。

9.連接客戶端：右擊狀態(tài)欄的客戶端圖標(biāo)并點(diǎn)擊“開啟隧道”即可開始連接。

連接完成后，會提示隧道已開啟。

此時整個IPSec VPN PC到站點(diǎn)配置雙方都已經(jīng)完成，客戶端可以正常與總部內(nèi)網(wǎng)進(jìn)行安全通信。