在现代企业网络架构中,安全、灵活且可扩展的虚拟私有网络（VPN）已成为连接远程办公人员、分支机构与数据中心的关键技术，作为网络工程师，我们常使用Juniper SRX系列防火墙来部署策略型VPN（Policy-Based VPN），其核心优势在于基于策略而非静态隧道进行流量控制，从而实现更细粒度的访问控制和动态路由优化。

本文将详细介绍如何在Juniper SRX设备上配置策略型VPN，涵盖从前期规划、IKE/SAs设置、IPsec策略定义到最终策略路由应用的全过程，并结合实际案例说明常见问题排查方法。

配置前需明确业务需求,假设某公司总部与两个分支机构之间需要通过公网建立加密通信，但要求仅允许特定子网之间的流量通过此VPN隧道，而其他流量走默认互联网路径，这正是策略型VPN的优势所在——它不强制所有流量都走隧道，而是根据预设的安全策略决定是否封装并转发。

第一步是配置IKE（Internet Key Exchange）阶段1参数，这涉及身份认证方式（如预共享密钥或证书）、加密算法（如AES-256）、哈希算法（如SHA-256）以及DH组（如group2），在SRX上，命令如下：

set security ike proposal IKE-PROPOSAL authentication-method pre-shared-keys
set security ike proposal IKE-PROPOSAL dh-group group2
set security ike proposal IKE-PROPOSAL encryption-algorithm aes-256-cbc
set security ike proposal IKE-PROPOSAL hash-algorithm sha256

第二步是建立IKE策略（policy），绑定上述proposal并指定对端地址：

set security ike policy IKE-POLICY mode main
set security ike policy IKE-POLICY proposal IKE-PROPOSAL
set security ike policy IKE-POLICY pre-shared-key ascii-text "$9$..." # 生成强密钥

第三步配置IPsec策略（Phase 2），这里定义数据加密通道的具体规则，包括SPI、生存时间、传输模式等：

set security ipsec proposal IPSEC-PROPOSAL protocol esp
set security ipsec proposal IPSEC-PROPOSAL authentication-algorithm hmac-sha256-128
set security ipsec proposal IPSEC-PROPOSAL encryption-algorithm aes-256-cbc
set security ipsec policy IPSEC-POLICY proposals IPSEC-PROPOSAL

关键一步是创建策略型VPN的“traffic selectors”（流量选择器），这是策略型VPN区别于传统站点到站点VPN的核心机制，你需要明确哪些源/目的地址应被封装进IPsec隧道：

set security ipsec vpn SITE-A-vpn bind-interface st0.0
set security ipsec vpn SITE-A-vpn ike gateway IKE-GW
set security ipsec vpn SITE-A-vpn ipsec-policy IPSEC-POLICY
set security ipsec vpn SITE-A-vpn traffic-selector TS-ALLOW from 192.168.10.0/24 to 192.168.20.0/24

在防火墙策略中引用该VPN接口（如st0.0）来允许特定流量通过：

set security policies from-zone trust to-zone untrust policy ALLOW-VPN match source-address any destination-address any application any
set security policies from-zone trust to-zone untrust policy ALLOW-VPN then permit tunnel ipsec-vpn SITE-A-vpn

实际部署中,常见问题包括：IKE协商失败（检查密钥、NAT穿越）、IPsec SA未建立（查看crypto counters）、策略未命中（用show security ipsec sa验证匹配），建议启用debug日志（如set system syslog file debug level info）辅助排错。

SRX策略型VPN不仅提升了安全性,还增强了网络灵活性，尤其适用于多分支、按需加密的复杂场景，掌握其配置逻辑，能显著提升企业网络安全运维能力。