怎样使分公司的部分电脑，通过总部的宽带链路上网

本文所讲述的是，一个特殊的网络配置：即分公司的部分电脑 ，通过总部的宽带链路上网。

以前的文章中，曾经写过，分公司所有的电脑全部通过总部的宽带上网，这种方案，配置起来相对简单，即：分公司的默认路由，下一跳需要写成总部的出口网关IP。

但是本文的要求是，分公司的部分电脑通过总部的宽带上网，也就是说分公司的大部分电脑还是通过本地的宽带上网的，所以配置自然就不同了。

注意，本文的前提条件是：总部与分公司之间，已经建立了ipsec vpn。

如何在防火墙上配置ipsec vpn，前面不止一篇文章写过了，所以此处不再浪费文字和大家的时间了，有需要的读者，请自行翻阅本人之前的文章。

如上图所示，两地的华为防火墙已经建立了ipsec vpn连接，总部的内网是10.2.0.0/22，也就是从10.2.0.0/24--10.2.3.0/24，四个网段；分公司的内网是10.3.0.0/21，也就是从10.3.0.0/24--10.3.7.0/24，最多八个网段。

以下就是分公司部分电脑通过总部宽带链路上网的具体配置步骤：

第一步，检测总部与分公司之间的内网是否已经互通。

两边内网的电脑能相互ping通，就表示防火墙ipsec vpn配置正确，且两地内网已经正常通讯了；

后面就以10.3.2.23这台电脑为例，使它通过总部的宽带链路上网；

第二步，分公司的华为防火墙上，增加一条源NAT：源安全区域是trust，目的安全区域是u