UTM基本功能置举例.docVIP

UTM基本配置举例  举例与配置 登陆管理页面 路由模式 设备出厂配置一般port1或者internal接口启用了管理权限,且默认地址为9,用https协议访问该地址可以进入Web管理页面,登陆用户名口令均为administrator. 透明模式 透明模式下,所有接口默认地址均为/24,可连接开启了HTTPS权限的接口进行管理.也可通过命令行修改管理IP. PowerV-400UTM # config system manageip (manageip)# set ip 9/24 (manageip)# end IPSEC VPN GW-GW 与Cisco互通 拓扑： PC1(00)----(54 fe0/1)Cisco(fe0/0 00)----(9 p1)UTM(p2 01)----(00)PC2 说明： Cisco和UTM建立IPSEC VPN隧道，保护子网分别是/24和/24 配置步骤： 按照拓扑配置IP地址，PC1的网关指向Cisco，PC2的网关指向UTM。 在UTM上配置默认理由网关指向Cisco. 在UTM配置IPSEC VPN第一阶段协商参数，预共享秘钥为，DH组选择上5，加密和验证算法选择3DES-MD5 在UTM配置第二阶段协商参数,网关选择刚创建的”vpn”网关 在UTM上创建本地子网和对端子网的地址列表资源 在UTM上，添加防火墙策略，配置本地保护子网和对端保护子网。 在Cisco路由器上配置与UTM对应的IPSEC VPN参数： crypto isakmp policy 10 encr 3des hash md5 authentication pre-share group 2 lifetime 28800 crypto isakmp keyaddress 9 crypto ipsec transform-set toutmipsec esp-3des esp-md5-hmac crypto map utmmap 10 ipsec-isakmp set peer 9 set transform-set toutmipsec match address 111 ip route 9 access-list 111 permit ip 55 55 interface FastEthernet0/0 ip address 00 duplex auto speed auto crypto map utmmap 验证： 在UTM上启动隧道后，可看见隧道建立成功,红色向下箭头应变为绿色向上箭头 Down应变为Up 注意事项 如果把Cisco路由器换成Power V防火墙，由于我们的IPSEC VPN配置没有DH组配置，与研发确认默认都是group 2。所以在UTM上配置时关于DH组都要选择group 2。 IPSEC VPN GW-GW 证书 与P-V400互通 拓扑： PC1(00)----(54 fe1)P-V400(fe3 00)----(9 port1)UTM(internal 01)----(00)PC2 说明 UTM和Power V400防火墙建立IPSEC VPN，采用证书方式。 配置步骤 按照拓扑配置好IP地址。PC1和PC2网关指向UTM和P-V400防火墙。将P-V400墙上的fe3口绑定到ipsec0上。 在管理PC上安装联想证书管理软件，运行，使用联想CA系统，导出CA根证书。 将CA跟证书分别导入UTM和P-V400防火墙 分别在UTM和P-V400上生成证书生成请求，并导出。 分别将UTM和P-V400的证书生成请求导入到联想证书管理软件中。 导入请求后，选择相应的证书生成请求分别生成证书，CA口令默认“111111”，导出证书。 将导出的证书分别导入到UTM和P-V400中。 将UTM的本地证书导入到P-V400中。 将UTM和P-V400的默认网关互指。 在P-V400上配置VPN参数，认证方式选择证书。 在UTM上配置VPN参数，在配置认证方式时选择RSA后,证书名称下来菜单中可选择刚配置的证书名utm。其余参数和上一个用例一样. 在UTM上配置防火墙加密策略，启用隧道。 验证 与上一个用例一样. IPSEC VPN Client-GW 拓扑： PC1(00) ----(54 port1)UTM(internal 01)----(00)PC2 说明： PC1和UTM建立IPS