519.如图所示，分支机构1的A部门可以访问互联网，但B部门只能使用加密 VPN 访问总部 资源，可以在出口设备上配置 NAT 策略使部门 A 可以访问互联网，同时为部门 B配置 ipsec VPN (ESP 协议)+隧道模式的方法使其可以访问总部。