在“连接”对应的下拉列表框中，选择“新建连接”。

在“新建连接”窗口左侧导航栏中选中“SSL VPN”，并配置相关的连接参数。

勾选“自动”，表示存在多个虚拟网关时，系统会自动选择响应速度最快的虚拟网关建立SSL VPN隧道。只有一个网关的情况下，无需勾选“自动”单选框。单击“登录”，发起VPN连接。

若在Windows或MAC操作系统下采用证书认证，则需要选择证书、输入证书中提取的用户名对应的登录密码，完成登录。在Windows证书认证场景下，证书都是导入到IE浏览器中的；在MAC证书认证场景下，证书需要导入到“凭证”中；在Linux证书认证场景下，证书需要放入主目录下的Certificate文件夹。导入成功后即可在证书选择列表中选择对应证书。

连接成功后移动办公用户就可以和企业内网用户一样访问内网资源了。

在“连接”对应的下拉列表框中，选择“新建连接”。

在“新建连接”窗口左侧导航栏中选中“L2TP/IPSec”，并配置相关参数。

VPN接入成功时，系统会在界面右下角进行提示。

连接成功后移动办公用户就可以和企业内网用户一样访问内网资源了。

在“连接”对应的下拉列表框中，选择“新建连接”。

在“新建连接”窗口左侧导航栏中选中“L2TP/IPSec”，并配置相关参数。

1. 配置L2TP参数。

   

   表5-6 L2TP配置参数说明

   参数	说明
   连接名称	用于标识一条L2TP VPN连接。连接名称具有唯一性，不允许重名。
   描述信息	用于补充说明该条连接的相关信息。例如，可以在此处添加该条连接的创建者、创建时间以及连接用途等信息。
   LNS服务器地址	L2TP VPN网关地址。该地址必须与L2TP VPN网关地址保持一致。地址填写错误，会导致L2TP VPN隧道建立失败。
   隧道名称	用于在隧道中标识设备本身。隧道名称必须与LNS侧配置的名称保持一致，隧道名称填写错误，会导致L2TP VPN隧道建立失败。
   认证模式	CHAP认证：CHAP（Challenge Handshake Authentication Protocol）是一种三次握手验证协议，只在网络上传输用户名，而不传输密码。 PAP认证：PAP（Password Authentication Protocol）是一种两次握手验证协议，在网络上传输用户名和密码，密码为明文。 说明： PAP不是安全协议，建议使用CHAP协议。
   启用隧道验证功能	为安全起见，L2TP VPN在隧道协商时会有隧道验证环节。只有远程接入用户使用的隧道验证密码与L2TP VPN网关侧设置的隧道验证密码一致时，隧道才可建立。隧道验证在L2TP VPN隧道建立过程中不是必须的，这取决于L2TP VPN网关侧的配置。如果网关侧启用了隧道验证功能，则SecoClient侧也必须启用此功能。
   隧道验证密码	启用隧道验证功能以后，需要设置隧道验证密码，该密码需要向L2TP VPN网关管理员获取。

2. 配置IPSec参数。

   

   表5-7 IPSec配置参数说明

   参数	说明
   启用IPSec安全协议	在L2TP over IPSec场景中需要勾选此选项。 IPSec的身份认证分为了预共享密钥认证和USBKey数字签名认证两种。 预共享密钥方式下需要输入身份认证字，身份认证字请向IPSec VPN网关管理员获取。 USBKey数字签名认证需要输入USB Pin码，USB Pin码是USBKey的持有人为了保护USBKey的安全性而设置的加密密码，该密码需要从USBKey的持有人处获取。 说明： MAC和Linux操作系统下不支持USBKey数字签名认证。
   IPSec设置
   IPSec服务器地址	IPSec VPN网关的地址。该地址必须与IPSec VPN网关地址保持一致。地址填写错误，会导致VPN隧道建立失败。
   使用LNS服务器地址	当L2TP VPN网关和IPSec VPN网关是同一台网关时，勾选此选项。
   封装模式	IPSec封装是指将AH（Authentication Header）协议或ESP（Encapsulating Security Payload）协议相关的字段插入到原始IP报文中，以实现对报文的认证和加密，封装模式有传输模式和隧道模式两种。 隧道模式：只保护报文载荷部分，常用于VPN网关与网关之间建立隧道。 传输模式：保护整个报文，常用于移动终端与VPN网关建立隧道。 缺省情况下使用传输模式。
   ESP协议验证算法	ESP协议验证算法用于对原始报文进行完整性校验，可以防止报文在传输过程中被篡改。ESP协议验证算法包括MD5、SHA1和SHA2-256三种，考虑到SHA2-256的安全性较高，推荐使用SHA2-256算法。
   ESP协议加密算法	ESP协议加密算法用于对原始报文进行加密保护，可以防止报文在传输过程中被窃取。ESP协议加密算法包括DES、3DES和AES三种，AES算法安全性比DES和3DES算法安全性要高。 AES算法根据密钥长度不同分为了AES128、AES192和AES256三种。密钥长度越长，其算法安全性越高，但是相应的报文加解密所消耗的时间也会越长。综合考虑算法安全性以及加解密的效率，此处推荐使用AES256算法。
   IKE设置
   协商模式	IPSec隧道双方在IKE协商的时候有两种协商模式。 主模式 野蛮模式 缺省情况下使用主模式进行隧道协商。如果隧道发起方对于隧道响应方的策略有全面的了解，采用野蛮模式能够更快地创建IKE SA。
   ID类型	表示身份类型。 身份认证是IKE协商的一种保护机制，它通过确认通信双方的身份来确保安全性。 IKE对等体的身份可采用不同类型，包括IP类型和名字类型两种。协商模式选择为主模式时，默认使用IP类型，表示以本端的IP地址作为本端身份标识；协商模式选择为野蛮模式时，ID类型转为可选状态，ID类型就可以选择是使用IP或是名字。
   本端名字	当身份类型选择为“名字”时，需要设置此参数。 本端名字作为本端的身份标识，要提供给IPSec VPN网关进行身份认证。身份认证通过，IPSec VPN网关才允许SecoClient与其建立IPSec隧道。“本端名字”要和IPSec VPN网关上的对端名称保持一致，名称不一致隧道将建立失败。该参数需要向IPSec VPN网关管理员获取。
   安全网关名字	当身份类型选择为“名字”时，需要设置此参数。“安全网关名字”要和IPSec VPN网关上的本端名称保持一致，名称不一致隧道将建立失败。该参数需要向IPSec VPN网关管理员获取。 安全网关名字是IPSec VPN网关的身份标识。身份认证是相互的，SecoClient在与IPSec VPN网关建立隧道时，也要校验网关的身份，确保要访问的IPSec VPN网关的真实性。IPSec VPN网关要将自身的身份标识提交给SecoClient认证，身份认证通过，SecoClient才会与IPSec VPN网关建立IPSec隧道。
   验证算法	IKE协商时，验证算法用于保护报文的完整性。验证算法有MD5、SHA1和SHA2-256三种，考虑到SHA2-256安全性较高，推荐使用SHA2-256算法。
   加密算法	IKE协商时，加密算法用于保护报文的私密性，防止报文在传输过程中被窃取。加密算法有DES-CBC、3DES-CBC和AES-128/192/256这几种，考虑到AES-256安全性较高，推荐使用AES-256算法。
   DH组标识	IKE协商时，DH组用于实现隧道双方进行密钥材料交换。DH组按照密钥长度的不同分为了group1（768-bit）、group2（1024-bit）和group5（1536-bit）三种。group1存在安全隐患，推荐使用Group2或Group5。
   IKE高级设置
   启用PFS特性	表示在IKE协商时使用完美的前向安全PFS（Perfect Forward Secrecy）功能。 该功能用于本端发起协商时，在IKEv1阶段2或IKEv2创建子SA交换的协商中进行一次附加的DH交换，保证IPSec SA密钥的安全，以提高通信的安全性。 启用本功能，需要配置相应的安全参数，这里安全参数支持group1、group2和group5。group1存在安全隐患，推荐使用Group2或Group5。
   安全联盟生存周期	IKE SA的生存周期用于IKE SA的定时更新，降低IKE SA被破解的风险，有利于安全性。 在设定的生存周期超时前，IKE将为对等体协商新的IKE SA。在新的IKE SA协商好之后，对等体立即采用新的IKE SA，而旧的IKE SA在生存周期到期后被自动清除。重协商不会导致当前隧道中断。
   IPSec高级设置
   安全联盟生存周期	当以IKE动态协商方式建立IPSec SA时，IPSec隧道将在建立时间大小达到阈值时重新协商IPSec SA，以保证隧道安全性。 重协商不会导致当前隧道中断。
   路由设置	路由设置用于控制移动办公用户远程接入成功后所能访问的资源范围。路由设置有两种模式，一种是“Mode Config”模式，另一种是“连接成功后允许访问Internet”模式。两者的区别在于，“Mode Config”模式下，用户访问资源的范围取决于网关侧的配置。“连接成功后允许访问Internet”模式下，用户访问资源的范围取决于SecoClient侧IP地址列表框中的配置。 Mode Config 如果对端VPN网关支持Mode Config协商模式，移动办公用户接入成功后，VPN网关会将网关侧配置的企业内网地址段推送过来，该用户PC就会生成到这些地址段的明细路由，用户就可以访问企业内网中的这些资源。在此过程中，该用户PC原有的路由未受影响，用户在访问企业内网资源时，还可以访问Internet和本地局域网。 如果对端VPN网关不支持Mode Config协商模式，移动办公用户接入成功后，其个人PC的默认路由下一跳会被修改为虚拟网卡的IP地址。此时，所有流量都会经过虚拟网卡发送到隧道对端，这意味着该用户只能访问企业内网资源，不能访问Internet。 连接成功后允许访问Internet 勾选但不在IP地址列表框中添加IP地址 移动办公用户拨号成功后，其个人PC会生成一条目的网段为虚拟网卡对应的IP地址段，下一跳为虚拟网卡的IP地址的路由。此时，该用户只能访问与虚拟网卡IP地址同网段的企业内网资源。在此过程中，该用户PC原有路由没有受到影响，所以在访问企业内网资源的时候，还可以访问Internet和本地局域网。 勾选并在IP地址列表框中添加IP地址 移动办公用户拨号成功后，其个人PC会以IP地址列表框中添加的IP地址段作为目的网段，生成明细路由，路由下一跳为虚拟网卡。此时，该用户就可以访问IP地址列表框中设置的那些企业内网资源了。在此过程中，该用户PC原有路由没有受到影响，所以在访问企业内网资源的时候，还可以访问Internet和本地局域网。

若在Windows或MAC操作系统下采用证书认证，则需要选择证书、输入证书中提取的用户名对应的登录密码，完成登录。在Windows证书认证场景下，证书都是导入到IE浏览器中的；在MAC证书认证场景下，证书需要导入到“凭证”中；在Linux证书认证场景下，证书需要放入主目录下的Certificate文件夹。导入成功后即可在证书选择列表中选择对应证书。

VPN接入成功时，系统会在界面右下角进行提示。

连接成功后移动办公用户就可以和企业内网用户一样访问内网资源了。