在当今数字化转型加速的背景下，企业对远程办公、分支机构互联以及数据安全传输的需求日益增长，作为一款功能强大且高度可定制的开源路由器操作系统（RouterOS），MikroTik ROS（RouterOS）凭借其灵活的VPN和路由能力，成为众多网络工程师构建安全、稳定、高效网络架构的首选工具，本文将深入探讨如何基于ROS系统搭建一个完整的站点到站点（Site-to-Site）IPSec VPN，并实现基于策略的路由（Policy-Based Routing），为企业提供可靠、加密的跨地域通信链路。
我们需要明确目标：建立两个位于不同物理位置的ROS路由器之间的IPSec隧道，使两地内网设备能够安全通信，假设我们有两个分支机构，分别部署在A地和B地，各自使用ROS路由器作为出口网关，A地路由器IP为192.168.1.1/24，B地为192.168.2.1/24，我们的目标是让A地的192.168.1.0/24子网可以访问B地的192.168.2.0/24子网,反之亦然。
第一步是配置IPSec预共享密钥（PSK）,在两台ROS设备上分别执行以下命令：
/ip ipsec profile
add name=site-to-site authentication-method=pre-shared-key enc-algorithm=aes-256 hash-algorithm=sha256 dh-group=modp2048接着设置IPSec peer（对端）：
/ip ipsec peer
add address=192.168.2.1/32 name=peer-b local-address=192.168.1.1 profile=site-to-site secret=your-strong-password注意：此步骤需在两台路由器上重复,但地址和本地地址要对应互换。
第二步是创建IPSec proposal和policy，Proposal定义加密算法组合,而Policy指定流量匹配规则：
/ip ipsec proposal
add name=ipsec-proposal encryption-algorithms=aes-256-cbc hash-algorithms=sha256 dh-group=modp2048
/ip ipsec policy
add src-address=192.168.1.0/24 dst-address=192.168.2.0/24 proposal=ipsec-proposal peer=peer-b sa-dir=outbound
add src-address=192.168.2.0/24 dst-address=192.168.1.0/24 proposal=ipsec-proposal peer=peer-b sa-dir=inbound完成上述配置后，可通过 /ip ipsec active-proposals 和 /ip ipsec peers 检查状态,确保隧道已建立并处于UP状态。
接下来的关键一步是配置路由策略，默认情况下，ROS会自动添加静态路由指向对端子网，但我们可以通过策略路由（PBR）实现更细粒度控制，若希望仅对特定业务流量走VPN隧道，而非全流量,则需要使用mangle标记：
/ip firewall mangle
add chain=prerouting src-address=192.168.1.0/24 dst-address=192.168.2.0/24 action=mark-connection new-connection-mark=vpn_conn passthrough=yes
add chain=prerouting connection-mark=vpn_conn action=mark-routing new-routing-mark=to-vpn在路由表中添加一条针对该标记的路由：
/ip route
add dst-address=192.168.2.0/24 gateway=192.168.1.1 routing-mark=to-vpn distance=1这样，只有被mangle标记的流量才会通过IPSec隧道转发，实现了“按需加密”,极大提升了网络效率和安全性。
ROS不仅支持标准的IPSec协议，还提供了强大的路由控制机制，使得企业可以在不依赖昂贵硬件的前提下，构建出既安全又灵活的私有网络通道，对于网络工程师而言，掌握ROS的VPNV和策略路由配置，不仅是技术能力的体现，更是保障企业IT基础设施稳定运行的重要技能，随着SD-WAN等新技术的发展,ROS依然将是中小型企业网络自动化与安全融合的最佳实践平台之一。
半仙加速器-海外加速器|VPN加速器|vpn翻墙加速器|VPN梯子|VPN外网加速
