IPsec VPN構建指南

一、網(wǎng)絡拓撲

在防火墻與ORC305之間建立一個安全隧道，對客戶路由器端設備子網(wǎng)（192.168.2.0/24），與防火墻端服務器子網(wǎng)（172.16.99.0/24）之間的數(shù)據(jù)流進行安全保護。安全協(xié)議采用ESP，加密算法采用3DES，認證算法采用MD5，組網(wǎng)拓撲圖如圖所示。

二、H3C SECPATH U200-A端配置指導

(此處以多數(shù)客戶使用專線上網(wǎng)形式為例)

1、前提準備工作配置IPSec VPN時應保證該通過該設備已經可以正常上網(wǎng)，WAN，LAN，NAT等正常工作，如下圖GigabitEthernet 0/1為WAN公網(wǎng)IP X.X.X.242,GigabitEthernet 0/4為LAN，IP為172.x.x.x/24

Interface所屬安全域

2、感興趣流的ACL添加以及配置在設備中存在ACL3000和3004，該ACL是被NAT所調用，我們需要創(chuàng)建一條現(xiàn)場為192.168.2.0/24（目的網(wǎng)絡）網(wǎng)段與H3C內外網(wǎng)段172.22.12.0/24（源網(wǎng)絡）的ACL進行配置，如下新建ALC3010。以源網(wǎng)絡到目的網(wǎng)絡的IP數(shù)據(jù)流為感興趣流。防火墻-ACL-新建

防火墻-ACL-新建-3010

防火墻-ACL-3010-操作

防火墻-ACL-3010-操作-新建：在ALC 3010中添加規(guī)則ID 100，匹配（permit）源網(wǎng)絡至目的網(wǎng)絡的的數(shù)據(jù)流，源網(wǎng)絡為H3C其中的一個LAN172.22.12.0/24，目的網(wǎng)絡為現(xiàn)場LAN 192.168.2.0/24。

3、在原有配置的NAT中排感興趣流防火墻-ACL-3000-操作-新建：新建一個ID號小于1000和2000的ID例如100，阻止（deny），感興趣流通過NAT。

防火墻-ACL-3004-操作-新建：新建一個ID號小于1000和2000的ID例如100，阻止（deny），感興趣流通過NAT。

4、創(chuàng)建IKE 4.1 VPN-IKE-對等體-新建

對等體名稱：test-1（自定義）協(xié)商模式：Aggressive（主動模式或野蠻模式）對端網(wǎng)關-主機名：test1對端ID：test1（FQDN，由于現(xiàn)場路由器撥號獲得的是動態(tài)私網(wǎng)IP，所以使用FQDN來進行對每個對等體進行識別，每次新建ID不可以重復）啟用DPD功能：打鉤選擇下面配置的DPD策略號10啟用NAT穿越：打勾預共享秘鑰：abc123（自定義）

4.2 VPN-IKE-安全提議-新建IKE安全提議號10認證方法：Preshared Key認證算法：MD5加密算法：3DES-CBC DH組：Group2 SA生存周期：86400秒（下圖只是例圖）

4.3 VPN-IKE-DPD（DPD Dead Peer Detection）VPN-IKE-DPD新建DPD名稱：10觸發(fā)DPD時間間隔：60s等待DPD現(xiàn)有報文時：60s（下圖只是例圖）

5、IPSec 5.1 IPSec安全提議IPSec安全提議名：10報文封裝模式：tunnel ESP認證算法：MD5 ESP加密算法：3des

5.2創(chuàng)建IPSec模板配置模板名稱：test-1（自定義）IKE對等體：test-1（之前已經定義的IKE）安全提議：10 PFS：“選擇空”（與截圖不符注意）ACL：3010

5.3調用IPSec模板配置IPSec-應用-G0/1-操作調用策略：test-1

6、Policy防火墻-安全策略-域間策略-新建：源域：untunst目的域：trust策略規(guī)則：10源IP：192.168.2.0 0.0.0.255（與圖中不符注意）目的IP：172.22.12.0 0.0.0.0255（與圖中不符注意）

三、ORC305路由器端配置指導

1、將SIM卡插入路由器卡槽

2、給設備上電，登入路由器web頁面（默認為192.168.2.1）

3、進入網(wǎng)絡→接口→連鏈路備份界面啟用對應SIM卡并上調鏈路優(yōu)先級，保存配置

4、對應SIM卡撥號成功，當前鏈路變?yōu)榫G色

5、進入網(wǎng)絡→VPN→IPsec界面進行路由器（IPsec VPN客戶端）配置

保存并應用配置后即可進入狀態(tài)→VPN頁面看到IPsec VPN狀態(tài)為已連接