華為usg系列ipsec-vpn實施經(jīng)驗總結(jié)-免費閱讀
【正文】 natpolicy interzone trust untrust outbound 進入NAT配置視圖 policy 1 策略1（這是優(yōu)先級，數(shù)字越小越優(yōu)先） action nonat 不做NAT轉(zhuǎn)換 policy destination policy 2 策略2 action sourcenat 基于源地址的轉(zhuǎn)換 policy source easyip Ethernet0/0/0 轉(zhuǎn)換的外網(wǎng)地址為Ethernet0/0/0的接口地址 一定要注意策略的優(yōu)先級，反了就沒有作用了。網(wǎng)絡(luò)情況簡介：清江酒店總部設(shè)在武漢，宜昌，海口等地有10個分支機構(gòu)，只有總部可以確認為固定IP，分支機構(gòu)無法確認，有的固定，有的用ADSL。 二、配置過程詳細介紹下面詳細介紹下配置過程。完成所有配置后使用可以display ike sa、display ipsec sa 查看ike安全聯(lián)盟狀態(tài)和ipsec安全聯(lián)盟狀態(tài)；有這些信息就代表ipsec vpn連接成功。在實施過程中發(fā)現(xiàn)以下問題： 配置手冊中IPSEC VPN配置實例不完善，NAT部分沒有寫（要阻止VPN之間的數(shù)據(jù)訪問做NAT轉(zhuǎn)換），導(dǎo)致配置的時候不知道問題出在哪，在NAT中完善了轉(zhuǎn)換策略后，問題解決。了解了客戶的基本網(wǎng)絡(luò)狀況后開始跟客戶商量設(shè)計調(diào)試方案，選用IPSEC野蠻模式組網(wǎng)。natpolicy interzone trust untrust outbound 進入NAT配置視圖 policy 1 策略1（這是優(yōu)先級，數(shù)字越小越優(yōu)先） action nonat 不做NAT轉(zhuǎn)換 policy destination policy 2 策略2 action sourcenat 基于源地址的轉(zhuǎn)換 policy source easyip Ethernet0/0/0 轉(zhuǎn)換的外網(wǎng)地址為Ethernet0/0/0的接口地址分之2的配置參照分之1， ACL源地址改成本地內(nèi)網(wǎng)網(wǎng)段，IKE本地名稱重新命名；其它主要VPN主要配置都一樣（三）配置總結(jié)總部和分之的配置區(qū)別在于，總部采用IPSEC安全策略模板綁定到外網(wǎng)接口，分之機構(gòu)使用安全策略。防火墻的軟件版本都是V100R005。一、網(wǎng)絡(luò)環(huán)境介紹在清江酒店的USG防火墻調(diào)試IPSEC VPN的時候發(fā)現(xiàn)官方的配置手冊有些問題，所以詳細整理下實施過程出現(xiàn)的問題及解決方法。（一）總部配置 配置本地IKE本地用戶名ike localname qndc 配置ACLacl number 3001 創(chuàng)建序號3001的高級訪問控制列表rule 5 permit ip source destination 總部到分支1的內(nèi)網(wǎng)網(wǎng)段VPN觸發(fā)策略rule 10 permit ip source destination 總部到分支2的內(nèi)網(wǎng)網(wǎng)段VPN觸發(fā)策略 配置IKE安全提議ike proposal 10 創(chuàng)建名稱為10的IKE安全提議authenticationalgorithm md5 選擇加密的算法為md5 配置IKE PEERike peer a 創(chuàng)建名稱為a的IKE PEER exchangemode aggressive 模式選擇野蠻模式 presharedkey 123456 IKE協(xié)商的密鑰為123456 ikeproposal 10 綁定IKE安全提議 undo version 2 選擇V1的版本 localidtype name 使用野蠻模式的IKE localname驗證 nat traversal 打開NAT穿越 創(chuàng)建IPSEC安全提議ipsec proposal tran1 創(chuàng)建名稱為tran1的IPSEC安全提議 esp authenticationalgorithm sha1 選擇安全算法為哈希算法sha1 配置IPSEC安全策略模板ipsec policytemplate map 1 創(chuàng)建名稱為map的策略模板 security acl 3001 綁定觸發(fā)ACL ikepeer a 選擇前面創(chuàng)建的 ikepeer a proposal tran1 選擇前面創(chuàng)建的IPSEC安全提議tran1 創(chuàng)建IPSEC安全策略ipsec policy map1 1 isakmp template map 創(chuàng)建名稱為map1的IPSEC安全策略綁定map策略模板 在外網(wǎng)接口上應(yīng)用IPSEC安全策略interface Ethernet0/0/0
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1