一、網絡拓撲
在防火墻與ORC305之間建立一個安全隧道，對客戶路由器端設備子網（192.168.2.0/24），與防火墻端服務器子網（172.16.99.0/24）之間的數據流進行安全保護。安全協議采用ESP，加密算法采用3DES，認證算法采用MD5，組網拓撲圖如圖所示。

二、H3C SECPATH U200-A端配置指導
(此處以多數客戶使用專線上網形式為例)
1、前提準備工作配置IPSec VPN時應保證該通過該設備已經可以正常上網，WAN，LAN，NAT等正常工作，如下圖GigabitEthernet 0/1為WAN公網IP X.X.X.242,GigabitEthernet 0/4為LAN，IP為172.x.x.x/24

Interface所屬安全域

2、感興趣流的ACL添加以及配置在設備中存在ACL3000和3004，該ACL是被NAT所調用，我們需要創建一條現場為192.168.2.0/24（目的網絡）網段與H3C內外網段172.22.12.0/24（源網絡）的ACL進行配置，如下新建ALC3010。以源網絡到目的網絡的IP數據流為感興趣流。防火墻-ACL-新建

防火墻-ACL-新建-3010

防火墻-ACL-3010-操作

防火墻-ACL-3010-操作-新建：在ALC 3010中添加規則ID 100，匹配（permit）源網絡至目的網絡的的數據流，源網絡為H3C其中的一個LAN172.22.12.0/24，目的網絡為現場LAN 192.168.2.0/24。

3、在原有配置的NAT中排感興趣流防火墻-ACL-3000-操作-新建：新建一個ID號小于1000和2000的ID例如100，阻止（deny），感興趣流通過NAT。

防火墻-ACL-3004-操作-新建：新建一個ID號小于1000和2000的ID例如100，阻止（deny），感興趣流通過NAT。

4、創建IKE 4.1 VPN-IKE-對等體-新建

對等體名稱：test-1（自定義）協商模式：Aggressive（主動模式或野蠻模式）對端網關-主機名：test1對端ID：test1（FQDN，由于現場路由器撥號獲得的是動態私網IP，所以使用FQDN來進行對每個對等體進行識別，每次新建ID不可以重復）啟用DPD功能：打鉤選擇下面配置的DPD策略號10啟用NAT穿越：打勾預共享秘鑰：abc123（自定義）

4.2 VPN-IKE-安全提議-新建IKE安全提議號10認證方法：Preshared Key認證算法：MD5加密算法：3DES-CBC DH組：Group2 SA生存周期：86400秒（下圖只是例圖）

4.3 VPN-IKE-DPD（DPD Dead Peer Detection）VPN-IKE-DPD新建DPD名稱：10觸發DPD時間間隔：60s等待DPD現有報文時：60s（下圖只是例圖）

5、IPSec 5.1 IPSec安全提議IPSec安全提議名：10報文封裝模式：tunnel ESP認證算法：MD5 ESP加密算法：3des

5.2創建IPSec模板配置模板名稱：test-1（自定義）IKE對等體：test-1（之前已經定義的IKE）安全提議：10 PFS：“選擇空”（與截圖不符注意）ACL：3010

5.3調用IPSec模板配置IPSec-應用-G0/1-操作調用策略：test-1

6、Policy防火墻-安全策略-域間策略-新建：源域：untunst目的域：trust策略規則：10源IP：192.168.2.0 0.0.0.255（與圖中不符注意）目的IP：172.22.12.0 0.0.0.0255（與圖中不符注意）

三、ORC305路由器端配置指導
1、將SIM卡插入路由器卡槽
2、給設備上電，登入路由器web頁面（默認為192.168.2.1）
3、進入網絡→接口→連鏈路備份界面啟用對應SIM卡并上調鏈路優先級，保存配置

4、對應SIM卡撥號成功，當前鏈路變為綠色
5、進入網絡→VPN→IPsec界面進行路由器（IPsec VPN客戶端）配置

保存并應用配置后即可進入狀態→VPN頁面看到IPsec VPN狀態為已連接