隨著企業(yè)業(yè)務(wù)日益擴大，移動辦公的需求越來越明顯，辦公人員需要在遠離公司總部的任何一個地方都要能方便、安全的連接到總部處理與業(yè)務(wù)相關(guān)的任何事情，例如家庭辦公、出差員工遠程辦公等。但在網(wǎng)絡(luò)安全威脅日益嚴重的今天，移動辦公系統(tǒng)的安全更是一個不容忽視的重要問題。

TP-LINK提供的IPsec VPN PC到站點解決方案能很好的滿足移動性的要求，而且相比于PPTP/L2TP，IPsec VPN PC到站點解決方案提供更高的安全性。

需求介紹

某公司總公司位于深圳，經(jīng)常還有員工出差到全國各地，現(xiàn)需要組建一個網(wǎng)絡(luò)，出差員工都能夠安全的訪問公司內(nèi)部郵件服務(wù)器和文件服務(wù)器，本文將以TL-ER6120為例來展示IPSec VPN PC到站點解決方案的配置過程。

配置IPSec VPN PC到站點，在PC上需要使用第三方IPSEC客戶端，本文以“TheGreenBow VPN Client”為例

網(wǎng)絡(luò)拓撲

總部配置IPSEC PC到站點隧道，出差員工采用IPSEC客戶端連接總部。

設(shè)置步驟

先配置總部路由器上的IPSEC PC到站點隧道。

1. 配置IKE安全提議：VPN→IKE，進入“IKE安全提議”標簽頁，選擇合適的驗證、加密算法以及DH組并點擊“新增”。

2. 配置IKE安全策略：VPN→IKE，進入“IKE安全策略”標簽頁。

l ID類型：身份認證的類型，為便于處于NAT下面的客戶端正常連上路由器，建議選擇NAME。

l 安全提議：選擇在“IKE安全提議”中創(chuàng)建的安全提議名稱。

l 預共享密鑰：設(shè)置IKE認證的預共享密鑰，通信雙方的預共享密鑰必須相同。

l DPD檢測：Dead Peer Detect，檢測對端在線狀態(tài)，建議啟用。

3. 配置IPsec安全提議：VPN→IPsec，進入“IPsec安全提議”標簽頁，輸入IPsec安全提議名稱，選擇合適的安全協(xié)議以及驗證算法并點擊“新增”。

4. 配置IPsec安全策略：VPN→IPsec，進入“IPsec安全策略”標簽頁。

l 安全策略名稱：設(shè)置IPsec安全策略名稱。

l 組網(wǎng)模式：設(shè)置連接到路由器的對端為PC或站點，此處為“PC到站點”

l 本地子網(wǎng)范圍：設(shè)置本地子網(wǎng)范圍，即深圳總部局域網(wǎng)“192.168.1.0 /24” 。

l 對端主機：客戶機無固定IP地址故保持默認的0.0.0.0 。

l 協(xié)商方式：協(xié)商方式分為IKE協(xié)商和手動模式兩種，手動模式需要用戶手工配置密鑰、SPI等參數(shù)；而IKE方式則由IKE自動協(xié)商生成這些參數(shù)，本文使用的客戶端僅支持IKE協(xié)商。

l IKE安全策略：選擇所配置的IKE安全策略。

l 安全提議：選擇配置的IPsec安全提議。

l PFS： 用于IKE協(xié)商方式下設(shè)置IPsec會話密鑰的PFS屬性，本地與對端的PFS屬性必須一致。

l 生存時間 ：用于IKE協(xié)商方式下IPsec會話密鑰的生存時間。

設(shè)置好后點擊“新增”，此時深圳總部的路由器已配置完畢。接下載配置移動辦公人員的客戶端。

5. 安裝客戶端：下載IPSEC VPN 客戶端軟件“TheGreenBow VPN Client”并安裝。（建議下載地址http://www.thegreenbow.com/zh/）

一路點擊“下一步”即可安裝完成，安裝完成后需要重啟計算機。

6. 運行客戶端并打開配置界面：重啟計算機后客戶端會自動運行，或者雙擊桌面的快捷方式亦可。首次運行客戶端需要激活軟件，此軟件為收費軟件，可以點擊“購買許可”來激活，授權(quán)費用約為5許可189歐元，10許可349歐元。亦可點擊“我要評估軟件”進行30天使用。成功運行后界面如下：

右擊狀態(tài)欄的客戶端圖標并點擊“配置面板”即可開始配置。

7. 配置客戶端第一階段：點擊第一階段面板“tgbtest”進入第一階段配置“驗證”標簽頁。

l 遠端網(wǎng)關(guān)：路由器開啟PC到站點IPsec VPN的WAN口IP或域名。

l 預共享密鑰：第一階段IKE協(xié)商的預共享密鑰，與總部路由器“IKE安全策略”中相同。

l IKE：IKE安全策略，與與總部路由器“IKE安全策略”中相同。

進入“高級”標簽頁，設(shè)置本地及遠端ID，ID類型跟路由器中相同，都為NAME，此處叫“DNS”，填寫ID數(shù)值，總部路由器和客戶端的“本地ID”和“遠端ID”的數(shù)值需要互換。

8.配置客戶端第二階段：點擊第二階段面板“tgbtest”進入第二階段配置“IPSec”標簽頁。

l VPN客戶端地址：隧道中客戶端通信使用的IP地址，須保證各客戶端不同，且為非LAN網(wǎng)段IP.

l 遠端LAN地址：總部路由器端子網(wǎng)范圍。

l ESP：IPSec安全提議，與總部路由器中“IPSec安全提議”參數(shù)相同。

l PFS:用于設(shè)置IPSec會話密匙，與總部路由器“IPSec安全策略”中PFS相同。

設(shè)置好后點擊“保存”并“應用”。此時客戶端配置完成。

9.連接客戶端：右擊狀態(tài)欄的客戶端圖標并點擊“開啟隧道”即可開始連接。

連接完成后，會提示隧道已開啟。

此時整個IPSec VPN PC到站點配置雙方都已經(jīng)完成，客戶端可以正常與總部內(nèi)網(wǎng)進行安全通信。