TL-ER3220G路由器为企业应用设计，拥有强大的数据处理能力和丰富的软件功能。例如，它支持VPN、IP/MAC地址绑定、攻击防护、访问控制列表等。TL-R479GPE-AC VPN路由器适用于企业分支机构接入IPSec VPN网络，支持多条IPSec VPN隧道，有效防范ARP攻击和DoS攻击。
深圳总公司局域网网段为“192.168.0.0/24”，北京分公司为“192.168.1.0/24”，上海分公司为“192.168.2.0/24”。
首先，对深圳总部的TL-ER3220G进行设置。进入WAN口设置，根据需求设置WAN口数量。然后在WAN1设置标签页，设置WAN口网络参数以及该线路的上下行带宽值。需要注意，VPN两端路由器WAN口中至少需要一端是公网IP，否则需要考虑NAT下的IPsec应用。
接下来，进行IPsec VPN设置。以配置北京分公司与深圳总公司间的IPsec VPN为例，首先配置深圳总公司的TL-ER3220G。进入IPsec安全策略标签页，点击新增。填写策略名称、对端网关（北京分公司IPsec VPN站点的ip地址）、绑定接口、本地子网范围（深圳总公司局域网）、对端子网范围（北京分公司局域网）、预共享密钥。在高级设置中，包括阶段1设置和阶段2设置，一般情况下，采用默认值即可。
对于上海、北京分公司，设置TL-R479GPE-AC VPN的基本设置，选择WAN口连接类型为静态IP。然后进行IPsec VPN设置，进入IPsec页面，点击新增进行基本设置配置。点击高级设置，进行IKEv1阶段1和阶段2配置。如果总部保持的默认配置，分部也保存默认配置即可，如果总部做了修改，则分部应保持一致。
配置完成后，IPsec安全联盟建立成功后，可以在IPsec安全联盟中看到相应条目。此时，北京分公司的局域网与深圳总公司局域网间可相互访问。
总的来说，通过使用TL-ER3220G和TL-R479GPE-AC VPN路由器，公司成功实现了跨地域的网络资源共享，提高了工作效率，加强了企业内部的信息安全。
某公司总公司位于深圳，在北京、上海两地有分公司，现需要组建一个网络，达到三个机构能资源共享的目的，本文将通过一个实例来展示TL-ER3220G（总部）与TL-R479GPE-AC VPN（分公司）的解决方案和配置过程。
深圳总公司局域网网段为“192.168.0.0/24”； 北京分公司为“192.168.1.0/24”； 上海分公司为“192.168.2.0/24”。
TL-ER3220G是TP-LINK专为企业应用而开发的VPN路由器，具备强大的数据处理能力，并且支持丰富的软件功能，包括VPN、IP/MAC 地址绑定、常见攻击防护、访问控制列表、QQ/MSN/迅雷/金融软件限制、IP带宽控制、连接数限制等功能，适合企业、小区、酒店等组建安全、高效、易管理的网络。
TL-R479GPE-AC是TP-LINK专为企业分支机构接入IPSEC VPN网络而开发的专用VPN路由器，支持10条IPSec VPN隧道，支持IP与MAC绑定，有效防范ARP攻击，支持DoS攻击防护，有效抵御各类广域网的网络攻击，支持带宽控制，灵活控制用户带宽，支持访问控制策略，可基于IP/MAC地址限定主机上网权限。
一、深圳总部TL-ER3220G设置步骤
1、基本设置
(1) 设置路由器的WAN口模式
基本设置>> WAN口设置，进入 WAN口模式 标签页，根据需求设置WAN口数量，此处我们保持默认为“双WAN口”。
(2) 设置路由器的WAN口网络参数
基本设置>> WAN口设置，在WAN1设置 标签页，设置WAN口网络参数以及该线路的上下行带宽值。
WAN2呢？
【提醒】VPN两端路由器WAN口中至少需要一端是公网IP，如没有公网IP则需要考虑NAT下的IPsec应用，请参考：《[企业路由器应用] NAT下的IPSEC VPN配置实例》。
2、IPsec VPN设置
此处以配置北京分公司与深圳总公司间的IPsec VPN为例，首先配置深圳总公司的TL-ER3220G：
(1) 配置IPsec安全策略基本设置
VPN >> IPsec，进入IPsec安全策略 标签页，点击新增。
【参数含义】
A. 策略名称：设置IPsec安全策略名称。
B. 对端网关：填写对端IPsec VPN站点的IP地址或者域名，假设此处北京分公司TL-R479GPE-AC WAN口IP地址为“121.1.1.3” 。
C. 绑定接口：从下拉列表中指定TL-ER3220G的外网接口；对端北京的路由器设置的"对端网关地址"必须与该接口的IP地址相同。
D. 本地子网范围：设置本地子网范围，即深圳总公司局域网“192.168.0.0 /24” 。
E. 对端子网范围：设置对端子网范围，即北京分公司局域网“192.168.1.0 /24” 。
F. 预共享密钥：设置IKE认证的预共享密钥，通信双方的预共享密钥必须相同。
G. 状态：勾选“启用”，当前策略生效。
(2) 配置IPsec安全策略高级设置
在基本设置完成后，点击高级设置，包括两个部分：阶段1设置和阶段2设置。一般情况下，不需要配置高级设置，采用默认值即可。
1) 阶段一设置：设定IKEv1的第一阶段的相关参数。
【参数含义】
A. 安全提议：选择合适的的IPsec安全提议，注意需要与对端保持一致。
B. 交换模式：主模式（Main mode）适用于对身份保护要求较高的场合；野蛮模式（Aggressive mode）适用于对身份保护要求较低的场合，推荐使用主模式。
C. 协商模式：初始者模式会主动向对端发起连接，此时要求对端网关是路由可达，而响应者模式仅仅会等待对端发起连接。
D. 本地ID类型：作为对端的身份标识，支持两种类型：IP地址和NAME，默认选择"IP地址",如果选择NAME类型，则需要输入任意的字符串。
E. 生存时间 ：用于IKE协商方式下IPsec会话密钥的生存时间。
F. DPD检测：Dead Peer Detect，检测对端在线状态，建议启用。
2) 阶段2设置：设定IKEv1的第二阶段的相关参数
【参数含义】
A. 封装模式：指定该策略是隧道模式还是传输模式，两者的区别在于：前者会在原始IP报文外多增加一个IP头，后者则不会。
B. 安全提议：选择IKEv1第二阶段合适的的IPsec安全提议，注意需要与对端保持一致。
C. PFS： 用于IKE协商方式下设置IPsec会话密钥的PFS属性，本地与对端的PFS属性必须一致。
D. 生存时间 ：用于IKE协商方式下IPsec会话密钥的生存时间。
二、上海、北京分公司TL-R479GPE-AC VPN 配置方法
1、基本设置
设置路由器的WAN口模式：网络参数 >> WAN口设置，根据需求设置WAN口连接类型，此处我们选择为 静态IP，保存。
2、IPsec VPN设置
此处以配置北京分公司的TL-R479GPE-AC的IPsec VPN功能为例。
（1）配置IPsec安全策略基本设置：打开VPN >> IPsec 页面。
点击 新增，进行基本设置配置，填写策略名称、对端网关，选择绑定接口、填写本地子网范围、对段子网范围、预共享密码（与深圳总部相同的密钥），勾选启用。
上图中各个选项意义上文TL-ER3220G中的意义相同。点击确定，生成IPsec条目。
（2）配置IPsec安全策略高级设置：VPN >> IPsec
点击 高级设置，进行IKEv1阶段1和阶段2配置。如果总部保持的默认配置，分部也保存默认配置即可，如果总部做了修改，则分部应保持一致。
配置完成后点击确定，在IPsec安全策略列表中会出现一个条目：
配置完成，IPsec安全联盟建立成功后，可以在IPsec安全联盟中看到相应条目，北京分公司的局域网“192.168.1.0/24”与深圳总公司局域网“192.168.0.0 /24 ”间可相互访问。
