配置采用IKE方式建立SA示例.docVIP

配置采用IKE方式建立SA示例（预共享密钥） 组网需求 如图7-2所示，组网需求如下： ??????????? Host1与Host2之间进行安全通信，在SRG A与SRG B之间使用IKE自动协商建立安全通道。 ??????????? IKE验证方式为预共享密钥。 图7-2 IKE方式建立SA配置示例组网图（预共享密钥） ? 配置步骤 ??????????????????????????????? 步骤 1???? SRG A # 进入系统视图。 SRG system-view # 配置本端设备的名称。 [SRG] sysname SRG A # 创建编号为2的VLAN。 [SRG A] vlan 2 [SRG A-vlan2] quit # 配置Ethernet 1/0/0的链路类型并加入VLAN。 [SRG A] interface Ethernet 1/0/0 [SRG A-Ethernet1/0/0] port link-type access [SRG A-Ethernet1/0/0] port access vlan 2 [SRG A-Ethernet1/0/0] quit # 配置VLAN接口。 [SRG A] interface vlanif 2 [SRG A-Vlanif2] ip address 24 # 关闭VLAN接口的快速转发功能。 [SRG A-Vlanif2] undo ip fast-forwarding qff [SRG A-Vlanif2] quit # 配置VLAN 2加入Trust区域。 [SRG A] firewall zone trust [SRG A-zone-trust] add interface Vlanif 2 [SRG A-zone-trust] quit # 进入Ethernet 0/0/0视图。 [SRG A] interface Ethernet 0/0/0 # 配置Ethernet 0/0/0的IP地址。 [SRG A-Ethernet0/0/0] ip address 16 # 关闭接口的快速转发功能。 [SRG A-Ethernet0/0/0] undo ip fast-forwarding qff # 退回系统视图。 [SRG A-Ethernet0/0/0] quit # 进入Untrust区域视图。 [SRG A] firewall zone untrust # 配置Ethernet 0/0/0加入Untrust区域。 [SRG A-zone-untrust] add interface Ethernet 0/0/0 # 退回系统视图。 [SRG A-zone-untrust] quit # 配置到达Host 2的静态路由。 [SRG A] ip route-static 24 # 配置ACL规则，允许Host 1所在网段的主机访问Host 2所在网段的主机。 [SRG A] acl 3000 [SRG A-acl-adv-3000] rule permit ip source 55 destination 55 # 退回系统视图。 [SRG A-acl-adv-3000] quit # 配置ACL规则，允许Host 2所在网段的主机访问。 [SRG A] acl 3001 [SRG A-acl-adv-3001] rule permit ip source 55 # 退回系统视图。 [SRG A-acl-adv-3001] quit # 进入Trust和Untrust域间视图。 [SRG A] firewall interzone trust untrust # 配置域间包过滤规则。 [SRG A-interzone-trust-untrust] packet-filter 3000 outbound [SRG A-interzone-trust-untrust] packet-filter 3001 inbound # 退回系统视图。 [SRG A-interzone-trust-untrust] quit # 配置域间缺省包过滤规则。 [SRG A] firewall packet-filter default permit interzone local untrust 配置Local和Untrust域间缺省包过滤规则的目的为允许IPSec隧道两端设备通信，使其能够协商SA。 # 配置名为tran1的IPSec提议。 [SRG A] ipsec proposal tran1 # 配置安全协议。 [SRG A-ipsec-proposal-tran1] transform esp # 配置ESP协议的认证算法。 [SRG A