总部SSLVPN通过IPsec隧道获取分支资源的配置思路

项目拓扑如下：

**项目需求：**总部SSLVPN用户接入后，需要通过IPsecVPN隧道获取分支文件服务器资源
**项目配置要点：**首先分支通过固定IP或者拨号方式和总部建立1-2条IPsecVPN隧道（2条隧道可以通过浮动静态路由，走主备；或者通过策略路由走负载）
配置注意事项：
1、首先需要明确SSLVPN访问内网资源是通过代理，NAT还是路由模式
2、总部和分支防火墙上面针对总部用户SSLVPN访问分支文件服务器的数据流做NAT豁免
3、总部和分支由于都做了策略路由，需要调整策略路由的顺序，将总部SSLVPN访问分支文件服务器的流量放到合适的顺序（即指向合适的公网出口）
4、总部和分支防火墙访问控制策略需要放行对应流量
5、如果总部SSLVPN是通过IP路由的访问访问资源，则需要改造2边的IPsecVPN 感兴趣流，加入总部SSLVPN访问分支资源的ACL
6、vAC上网行为管理设备，需要在总部和分支机构上分别针对对端业务ip网段（包括SSLVPN网段）做白名单
以下是针对H3C防火墙的部分配置：
1、必须针对VPN（IPsecVPN SSLVPN 总部和分支机构互访流量）做NAT排除，除非总部和分支IP地址有冲突-总部和分支机构都必须配置。2、改造总部和分支机构的感兴趣流，增加总部SSLVPN IP地址段访问分支的ACL ，总部如果是8个0 的情况则不需要增加；分支机构必须增加！
3、通过策略路由引流方式，将总部SSLVPN访问分支的流量指向指定公网出口，这里推荐用策略路由是因为策略路由能够更好的控制流量,配合Track和静态路由，可以做到负载+路由备份。
4、调整总部SSLVPN，增加分支机构IP子网资源
5、调整总部SSLVPN，将分支机构IP子网资源添加到资源组
6、将资源组授权给总部SSLVPN用户(域用户集成）
7、检查IPsec SA 检查来回加解密数据包，比如来回都有加解密数据包，如果只有一边有（收方向，或者发方向），需要检查分支和总部防火墙NAT 、路由 、策略路由、安全策略等配置情况
8、在分支机构的vAC上面将总部SSLVPN 源ip地址段加入到全局排除地址

至此实现甲方需求。
该方式优点是
1、能够实现集中审计，管理
2、用户只要一次SSLVPN拨号即可同时获取总部和分支资源，方便办公
3、相比端口映射的方式更加安全
缺点是占用总部出口带宽（SSLVPN和IPsec流量都占用）