華為usg系列ipsecvpn實施經(jīng)驗總結(jié)-文庫吧資料
2025-06-22 04:46本頁面
【正文】 map1的IPSEC VPN策略 ；這步不配的話內(nèi)網(wǎng)數(shù)據(jù)直接做NAT轉(zhuǎn)換了，不會通過VPN隧道，那么前面的配置就白做了。 二、配置過程詳細(xì)介紹下面詳細(xì)介紹下配置過程。在實施過程中發(fā)現(xiàn)以下問題： 配置手冊中IPSEC VPN配置實例不完善，NAT部分沒有寫（要阻止VPN之間的數(shù)據(jù)訪問做NAT轉(zhuǎn)換），導(dǎo)致配置的時候不知道問題出在哪，在NAT中完善了轉(zhuǎn)換策略后，問題解決。本案例用2個分支介紹。一、網(wǎng)絡(luò)環(huán)境介紹在清江酒店的USG防火墻調(diào)試IPSEC VPN的時候發(fā)現(xiàn)官方的配置手冊有些問題，所以詳細(xì)整理下實施過程出現(xiàn)的問題及解決方法。網(wǎng)絡(luò)情況簡介：清江酒店總部設(shè)在武漢，宜昌，?？诘鹊赜?0個分支機(jī)構(gòu)，只有總部可以確認(rèn)為固定IP，分支機(jī)構(gòu)無法確認(rèn)，有的固定，有的用ADSL。了解了客戶的基本網(wǎng)絡(luò)狀況后開始跟客戶商量設(shè)計調(diào)試方案，選用IPSEC野蠻模式組網(wǎng)。 因為野蠻模式配置是用ike localname進(jìn)行驗證的，初步在IKE協(xié)商參數(shù)配置中加入了remotename這項，配置完成后IPSEC VPN建立成功，分支和總部用內(nèi)網(wǎng)IP可以直接訪問，第二天總部防火墻重啟了一次后VPN怎么都建立不起來，打400后發(fā)現(xiàn)在IKE協(xié)商參數(shù)配置中使用了remotename出現(xiàn)問題，導(dǎo)致VPN連接不上，去掉remotename后問題解決。防火墻的軟件版本都是V100R005。natpolicy interzone trust untrust outbound 進(jìn)入NAT配置視圖 policy 1 策略1（這是優(yōu)先級，數(shù)字越小越優(yōu)先） action nonat 不做NAT轉(zhuǎn)換 policy destination policy 2 策略2 action sourcenat 基于源地址的轉(zhuǎn)換 policy source easyip Ethernet0/0/0 轉(zhuǎn)換的外網(wǎng)地址為Ethernet0/0/0的接口地址 一定要注意策略的優(yōu)先級，反了就沒有作用了。natpolicy interzone trust untrust outbound 進(jìn)入NAT配置視圖 policy 1 策略1（這是優(yōu)先級，數(shù)字越小越優(yōu)先） action nonat 不做NAT轉(zhuǎn)換 policy destination policy 2 策略2 action sourcenat 基于源地址的轉(zhuǎn)換 policy source easyip Ethernet0/0/0 轉(zhuǎn)換的外網(wǎng)地址為Ethernet0/0/0的接口地址分之2的配置參照分之1， ACL源地址改成本地內(nèi)網(wǎng)網(wǎng)段，IKE本地名稱重新命名；其它主要VPN主要配置都一樣（三）配置總結(jié)總部和分之的配置區(qū)別在于，總部采用IPSEC安全策略模板綁定到外網(wǎng)接口，分之機(jī)構(gòu)使用安全策略。 三、詳細(xì)配置文檔（現(xiàn)網(wǎng)成功穩(wěn)定運行配置文檔）總部的配置文檔ike localname qndc firewall packetfilter default permit interzone local trust direction inbound firewall packetfilter default permit interzone local trust direction outbound firewall packetfilter default permit interzone local untrust direction inbound firewall packetfilter default permit interzone local untrust direction outbound firewall packetfilter default permit interzone local dmz direction inbound firewall packetfilter default permit interzone local dmz direction outbound firewall packetfilter default permit interzone trust untrust direction inbound firewall packetfilter default permit interzone trust untrust direction outbound firewall packetfilter default permit interzone trust dmz direction inbound firewall packetfilter default permit interzone trust dmz direction outbound firewall packetfilter default permit interzone dmz untrust direction inbound firewall packetfilter default permit interzone dmz untrust direction outboundacl number 3001 rule 5 permit
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1