配置点对点方式建立IPSec 隧道.docVIP

配置点对点方式建立IPSec 隧道 对于小、中、大型的动态网络环境中，都推荐使用IKE 协商建立IPSec 隧道。采用IKE方式建立IPSec 隧道与手工方式相比比较简单，只需要配置好IKE 协商安全策略的信息，由IKE 自动协商来创建和维护安全联盟。本例将使用路由接口实现IKEv2 方式协商的IPSec 隧道的配置。 组网需求 如图9-15 所示，某公司组网如下： 网络A 和网络B 通过USG_A 和USG_B 连接到Internet。 USG_A 和USG_B 均为固定公网地址。 USG_A 和USG_B 路由可达。 该网络需实现以下需求： 网络A 和网络B 之间要相互传输数据，且传输的数据需要进行加密。 图9-15 配置点对点方式建立IPSec 隧道组网图 网络规划 根据组网需求，网络规划如下： 由于两个网络之间要传输内网数据，而路由不可达，所以需要建立一条VPN 隧 道，实现两个网络之间的互访。 由于传输数据需要加密，采用IPSec VPN 方式建立隧道。 两个网络的公网IP 地址固定不变，且两个网络之间要互相访问，需要建立点到点方式的IPSec 隧道，使两个网络中的设备都可以主动发起连接。 操作步骤 步骤1 配置相关接口加入安全区域。 # 配置USG_A 接口加入安全区域。 [USG_A] firewall zone trust [USG_A-zone-trust] add interface GigabitEthernet 0/0/0 [USG_A] firewall zone untrust [USG_A-zone-untrust] add interface GigabitEthernet 0/0/1 Secospace USG2100/2200/5100 # 配置USG_B 接口加入安全区域。 [USG_B] firewall zone trust [USG_B-zone-trust] add interface GigabitEthernet 0/0/0 [USG_B] firewall zone untrust [USG_B-zone-untrust] add interface GigabitEthernet 0/0/1 步骤2 开启域间包过滤规则，确保各种业务顺利进行。 说明 当对网络安全性要求较高时，建议通过policy 命令对域间数据流进行访问控制。 # 配置USG_A 域间包过滤规则。 [USG_A] firewall packet-filter default permit all # 配置USG_B 域间包过滤规则。 [USG_B] firewall packet-filter default permit all 步骤3 如图9-15 所示配置USG_A 和USG_B 的各接口IP 地址，具体配置过程略。 步骤4 配置USG_A 和USG_B 的ACL，定义各自要保护的数据流。 # 配置USG_A 的ACL，配置源IP 地址为10.1.1.0/24、目的IP 地址为10.1.2.0/24 的规则。 [USG_A] acl 3000 [USG_A-acl-adv-3000] rule permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255 [USG_A-acl-adv-3000] quit # 配置USG_B 的访问控制列表，配置源IP 地址为10.1.2.0/24、目的IP 地址为10.1.1.0/24的规则。 [USG_B] acl 3000 [USG_B-acl-adv-3000] rule permit ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255 [USG_B-acl-adv-3000] quit 步骤5 分别配置USG_A 和USG_B 到对端的静态路由。 # 配置USG_A 到网络B 的静态路由，此处假设到达网络B 的下一跳地址为 202.38.163.2。 [USG_A] ip route-static 10.1.2.0 255.255.255.0 202.38.163.2 # 配置USG_B 到网络A 的静态路由，此处假设到达网络A 的下一跳地址为 202.38.169.2。 [USG_B] ip route-static 10.1.1.0 255.255.255.0 202.38.169.2 步骤6 分别在USG_A 和USG_B 上创建IPSec 安全提议。 # 在USG_A 上配置IPSec 安全提议。 [USG_A] ipsec proposal tran1 [USG_A-ipsec-proposal-t