附件3采用IPSecVPN技术与南京海关联网的设备配置规范.doc

附件3 采用IPSec VPN技术与南京海关联网的设备配置规范 南京海关外联网提供为联网单位提供多种基于PKI体系的网络接入方式，包括IPSec VPN和SSL VPN。SSL VPN接入方式对联网单位而言采用瘦客户端或无客户端方式，维护成本极低，因而本文主要针对配置较为复杂的IPSec VPN接入方式配置进行说明。 本文档适用于采用IPSec VPN技术与南京海关联网的单位。 采用IPSec VPN技术与海关联网项目拓扑图 以互联网为底层网络、符合PKI安全协议族规范的、站点到站点的VPN技术，一般使用IPSec VPN技术。 联网单位IPSec VPN网关的选型 联网单位选用的IPSec VPN网关建议采用具备IPSec VPN功能的硬件防火墙，目前选用的设备包括Juniper Netscreen SSG系列（最低端的产品为SSG 5）等厂商的产品。 联网单位提供信息 联网单位提供以下信息： 申请联网单位全称；申请线路的公网ip地址、子网掩码；申请线路的电信网关；企业申请线路的性质（Lan或者ADSL）。 南京海关提供信息 根据联网单位提供的网络信息，由海关向联网单位提供以下信息： 该联网企业端设备的内部ip地址网段、子网掩码、网关；南京海关IPSec VPN采用AutoIKE，提供建立VPN通道所需要的信息，包括PresharedKey、Phase 1 Proposal算法、Phase 2 Proposal算法、南京海关端公网ip地址、Tunnel ip地址。 联网单位设备配置规范 南京海关使用的IPSec VPN设备是Juniper Netscreen系列产品，本配置规范以Juniper Netscreen 5GT为例，Netscreen系列其他型号或者采用其他品牌的可参照该配置指导方案进行配置。南京海关根据网络安全规范，联网企业所使用的网络设备只能用于与海关联网使用，做到专机专用，不得用于上互联网。 南京海关分配的、与海关联网的网段设置在trust区域。 地址列表定义 各个客户端设备trust区域地址列表名称为：local。 Untrust区域地址列表名称为：customs，地址为192.168.0.0/16。 端口信息配置trust地址填写分配的网段第一个可用地址做为端口地址，同时Web UI、Telnet、Ping都选中；untrust口信息填写公网ip地址的第一个可用的ip地址，如某企业公网ip为218.94.70.221/29，电信网关ip为218.94.70.217。 VPN配置 新建一条tunnel，zone untrust，Fixed IP 选中，IP Address/Network中填入南京海关分配的tunnel IP 1.0.0.6/30（以某企业为例）。 建立的第一阶段： Gateway Name：名称统一为vpn_to_customs_p1，Remote Gateway Type选择Static IP Address，IP Address/Host ：58.213.152.150。Preshared Key和Prase 1 Proposal按照南京海关所发文档配置。 建立的第二阶段： VPN Name：名称统一为vpn_to_customs_p2，Remote Gateway选中Predefied ，下拉列表中选择vpn_to_customs_p1，Prase 2 Proposal按照所发文档配置，Bind to 选中，并选新建的tunnel，完成第二阶段配置。 路由配置 新建2条路由，第一条路由Network Address/Netmask填写0.0.0.0/0，选中Gateway ，Interface选择连接外网的端口号，Gateway IP Address填写该宽带的网关地址，点击OK按钮；第二条路由Network Address/Netmask填写192.168.0.0/16，选中Gateway ，Interface选 择新建的tunnel，点击OK按钮。 策略配置 首先把any –any策略去除；从untrust到trust区域，源选择customs，目的选中local，service 选中any，logging选中；从trust区域到untrust，源选中local，目的选择customs，service 选中any，logging选中。 修改用户名口令 修改系统默认的用户名、口令。 配置完成后，对tunnel的连通性进行测试。 通过telnet、SSH或Console方式登录到命令行下，查看IPSec VPN状态，执行命令get sa，查看结果。如果Sta参数状态为A/*(如下图的A/U或者A/D)，说明Tunnel状态时Active的。 执行命令ping 192.168.