TP-LINK TL-ER6120VPN路由器VPN配置说明

TL-ER6120是TP-LINK专为企业应用而开发的VPN路由器，具备强大的数据处理能力，并且支持丰富的软件功能，包括VPN、IP/MAC 地址绑定、常见攻击防护、访问控制列表、QQ/MSN/迅雷/金融软件限制、IP带宽控制、连接数限制及电子公告等功能，适合企业、小区、酒店等组建安全、高效、易管理的网络。

需求介绍

某公司总公司位于深圳，在北京、上海、广州三地有分公司，另外经常还有员工出差到全国各地，现需要组建一个网络，要求实现分公司和出差员工都能够安全的访问公司内部邮件服务器和文件服务器，本文将通过一个实例来展示TL-ER6120的解决方案和配置过程。

网络规划

深圳总公司局域网网段为“192.168.0.0/24”； 北京分公司为“192.168.1.0/24”； 上海分公司为“192.168.2.0/24”； 广州分公司为“192.168.3.0/24”。

拓扑如下：

注意：不同分支机构内部局域网需位于不同网段，否则内网间无法实现互访。

设置步骤：

一）、基本设置：

1、设置路由器的WAN口模式：基本设置→WAN口设置，进入“WAN口模式”标签页，根据需求设置WAN口数量，此处我们选择为“单WAN口”，保存。

2、设置WAN口网络参数：基本设置→WAN口设置，“WAN1设置”标签页，设置WAN口网络参数以及该线路的上下行带宽值。

注意：请如实填写线路的上行与下行带宽值。

二）、IPsec VPN设置：

此处以配置北京分公司与深圳总公司间的IPsec VPN为例，首先配置北京分公司的TL-ER6120：

（1）、配置IKE安全提议：VPN→IKE，进入“IKE安全提议”标签页，选择合适的验证、加密算法以及DH组。

（2）、配置IKE安全策略：VPN→IKE，进入“IKE安全策略”标签页。

◆ 协商模式：主模式（Main mode）适用于对身份保护要求较高的场合；野蛮模式（Aggressive mode）适用于对身份保护要求较低的场合，推荐使用主模式。

◆ 安全提议：选择在“IKE安全提议”中创建的安全提议名称。

◆ 预共享密钥：设置IKE认证的预共享密钥，通信双方的预共享密钥必须相同。

◆ DPD检测：Dead Peer Detect，检测对端在线状态，建议启用。

（3）、配置IPsec安全提议：VPN→IPsec，进入“IPsec安全提议”标签页，输入IPsec安全提议名称，选择合适的安全协议以及验证算法。

（4）、配置IPsec安全策略：VPN→IPsec，进入“IPsec安全策略”标签页。

◆ 安全策略名称：设置IPsec安全策略名称。

◆ 本地子网范围：设置本地子网范围，即北京分公司局域网“192.168.1.0 /24” 。

◆ 对端子网范围：设置对端子网范围，即深圳总公司局域网“192.168.0.0 /24” 。

◆ 对端网关：填写对端IPsec VPN服务器的IP地址或者域名，此处为深圳总公司TL-ER6120 WAN口IP地址“121.10.10.2” 。

◆ 协商方式：协商方式分为IKE协商和手动模式两种，手动模式需要用户手工配置密钥、SPI等参数；而IKE方式则由IKE自动协商生成这些参数，建议选择“IKE协商”。

◆ IKE安全策略：选择所配置的IKE安全策略。

◆ 安全提议：选择配置的IPsec安全提议。

◆ PFS： 用于IKE协商方式下设置IPsec会话密钥的PFS属性，本地与对端的PFS属性必须一致。

◆ 生存时间 ：用于IKE协商方式下IPsec会话密钥的生存时间。

北京分公司TL-ER6120已配置完毕，接下来配置深圳总公司的TL-ER6120。

（5）、配置深圳总公司TL-ER6120的IPsec VPN，其中“IKE安全提议”与“IPsec安全提议”需要与北京分公司TL-ER6120设置相同，此处不再赘述。

深圳总公司IPsec 安全策略如下：

配置完成，IPsec安全联盟建立成功后，北京分公司的局域网“192.168.1.0/24”与深圳总公司局域网“192.168.0.0 /24 ”间可相互访问。

上海、广州分公司与深圳总公司间IPsec VPN配置方法相同。

三）、PPTP VPN设置：

配置出差员工到总公司服务器的访问，此处使用PPTP（也可选择L2TP）

1、配置PPTP隧道地址池：VPN→PPTP/L2TP，进入“隧道地址池管理”标签页，输入地址池名称以及地址池范围。

2、配置PPTP 服务器：VPN→PPTP/L2TP，进入“L2TP/PPTP隧道设置”标签页，配置PPTP服务器。

3、配置VPN客户端，此处以Windows XP为例。

（1）、点击任务栏“开始”→“设置”→“控制面板”，双击“网络连接”图标，然后选择左侧“网络连接”菜单栏“创建一个新的连接”。

（2）、“网络连接类型”选择“连接到我的工作场所的网络”。

（3）、“网络连接”选择“虚拟专用网络连接”。

（4）、“VPN服务器选择”，此处输入VPN服务器的IP地址或者域名。

（5）在建立的“虚拟专用网络”图标上右键属性，选择“安全”标签页，取消“要求数据加密，没有就断开”勾选框。

（6）、输入用户名密码，点击“连接”按钮进行PPTP拨号，拨号成功后就可以直接访问深圳总公司内网邮件服务器与文件服务器。

至此配置完毕，北京、上海、广州分公司以及出差员工均可以安全访问公司内网邮件服务器和邮件服务器，各个分公司以及总公司的局域网之间还可以相互访问。

配置完成后的VPN隧道连接如图下所示，（红色虚线代表IPsec VPN隧道；蓝色虚线代表PPTP隧道）