華為usg系列ipsecvpn實(shí)施經(jīng)驗(yàn)總結(jié)-免費(fèi)閱讀
【正文】 natpolicy interzone trust untrust outbound 進(jìn)入NAT配置視圖 policy 1 策略1（這是優(yōu)先級(jí)，數(shù)字越小越優(yōu)先） action nonat 不做NAT轉(zhuǎn)換 policy destination policy 2 策略2 action sourcenat 基于源地址的轉(zhuǎn)換 policy source easyip Ethernet0/0/0 轉(zhuǎn)換的外網(wǎng)地址為Ethernet0/0/0的接口地址 一定要注意策略的優(yōu)先級(jí)，反了就沒有作用了。網(wǎng)絡(luò)情況簡介：清江酒店總部設(shè)在武漢，宜昌，?？诘鹊赜?0個(gè)分支機(jī)構(gòu)，只有總部可以確認(rèn)為固定IP，分支機(jī)構(gòu)無法確認(rèn)，有的固定，有的用ADSL。 二、配置過程詳細(xì)介紹下面詳細(xì)介紹下配置過程。完成所有配置后使用可以display ike sa、display ipsec sa 查看ike安全聯(lián)盟狀態(tài)和ipsec安全聯(lián)盟狀態(tài)；有這些信息就代表ipsec vpn連接成功。在實(shí)施過程中發(fā)現(xiàn)以下問題： 配置手冊中IPSEC VPN配置實(shí)例不完善，NAT部分沒有寫（要阻止VPN之間的數(shù)據(jù)訪問做NAT轉(zhuǎn)換），導(dǎo)致配置的時(shí)候不知道問題出在哪，在NAT中完善了轉(zhuǎn)換策略后，問題解決。了解了客戶的基本網(wǎng)絡(luò)狀況后開始跟客戶商量設(shè)計(jì)調(diào)試方案，選用IPSEC野蠻模式組網(wǎng)。natpolicy interzone trust untrust outbound 進(jìn)入NAT配置視圖 policy 1 策略1（這是優(yōu)先級(jí)，數(shù)字越小越優(yōu)先） action nonat 不做NAT轉(zhuǎn)換 policy destination policy 2 策略2 action sourcenat 基于源地址的轉(zhuǎn)換 policy source easyip Ethernet0/0/0 轉(zhuǎn)換的外網(wǎng)地址為Ethernet0/0/0的接口地址分之2的配置參照分之1， ACL源地址改成本地內(nèi)網(wǎng)網(wǎng)段，IKE本地名稱重新命名；其它主要VPN主要配置都一樣（三）配置總結(jié)總部和分之的配置區(qū)別在于，總部采用IPSEC安全策略模板綁定到外網(wǎng)接口，分之機(jī)構(gòu)使用安全策略。防火墻的軟件版本都是V100R005。一、網(wǎng)絡(luò)環(huán)境介紹在清江酒店的USG防火墻調(diào)試IPSEC VPN的時(shí)候發(fā)現(xiàn)官方的配置手冊有些問題，所以詳細(xì)整理下實(shí)施過程出現(xiàn)的問題及解決方法。（一）總部配置 配置本地IKE本地用戶名ike localname qndc 配置ACLacl number 3001 創(chuàng)建序號(hào)3001的高級(jí)訪問控制列表rule 5 permit ip source destination 總部到分支1的內(nèi)網(wǎng)網(wǎng)段VPN觸發(fā)策略rule 10 permit ip source destination 總部到分支2的內(nèi)網(wǎng)網(wǎng)段VPN觸發(fā)策略 配置IKE安全提議ike proposal 10 創(chuàng)建名稱為10的IKE安全提議authenticationalgorithm md5 選擇加密的算法為md5 配置IKE PEERike peer a 創(chuàng)建名稱為a的IKE PEER exchangemode aggressive 模式選擇野蠻模式 presharedkey 123456 IKE協(xié)商的密鑰為123456 ikeproposal 10 綁定IKE安全提議 undo version 2 選擇V1的版本 localidtype name 使用野蠻模式的IKE localname驗(yàn)證 nat traversal 打開NAT穿越 創(chuàng)建IPSEC安全提議ipsec proposal tran1 創(chuàng)建名稱為tran1的IPSEC安全提議 esp authenticationalgorithm sha1 選擇安全算法為哈希算法sha1 配置IPSEC安全策略模板ipsec policytemplate map 1 創(chuàng)建名稱為map的策略模板 security acl 3001 綁定觸發(fā)ACL ikepeer a 選擇前面創(chuàng)建的 ikepeer a proposal tran1 選擇前面創(chuàng)建的IPSEC安全提議tran1 創(chuàng)建IPSEC安全策略ipsec policy map1 1 isakmp template map 創(chuàng)建名稱為map1的IPSEC安全策略綁定map策略模板 在外網(wǎng)接口上應(yīng)用IPSEC安全策略interface Ethernet0/0/0
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1