5 IPSEC配置示例 基于路由静态IPSEC.pptVIP

IPSEC配置示例 FOR4.0R4 DCN客户服务中心 注：该案例假设防火墙已完成了基本的上网配置 示例功能描述 Eth0/0:192.168.1.1/24 Zone:trust Eth0/1:218.240.143.219/29 Zone:untrust Internet 网络拓扑 Network:192.168.1.0/24 FW-B Eth0/1:218.240.143.220/29 Zone:untrust Network:192.168.10.0/24 Eth0/0:192.168.100.1/24 Zone:trust FW-A 防火墙FW-A和FW-B都具有合法的静态IP地址 其中防火墙FW-A的内部保护子网为192.168.1.0/24 防火墙FW-B的内部保护子网为192.168.100.0/24。 要求在FW-A与FW-B之间创建IPSec VPN，使两端的保护子网能通过VPN隧道互相访问。 拓扑环境描述 本案例采用“预共享密钥认证”机制 第一步，创建IKE第一阶段提议 第二步，创建IKE第二阶段提议 第三步，创建VPN对端 第四步，创建IPSEC隧道 第五步，创建隧道接口，指定安全域，并将创建好的隧道绑定到接口 第六步，添加隧道路由 第七步，添加安全策略 FW-A 防火墙配置步骤 定义IKE第一阶段的协商内容，两台防火墙的IKE第一阶段协商内容需要一致。 第一步，创建IKE第一阶段提议 1 2 3 4 5 定义IKE第二阶段的协商内容，两台防火墙的第二阶段协商内容需要一致。 第二步，创建IKE第二阶段提议 5 1 2 3 4 创建VPN对端，并定义相关参数 第三步，创建VPN对端 1 2 3 4 5 创建到防火墙FW-B的VPN隧道，并定义相关参数。 第四步，创建IPSEC隧道 1 2 3 4 第四步，创建IPSEC隧道 创建到防火墙FW-B的VPN隧道，并定义相关参数。 5 6 7 8 创建隧道接口，绑定三层安全域，并将创建好的IPSec隧道与其绑定 第五步，创建隧道接口 1 2 3 4 5 在路由表中添加目的地为对端保护子网的路由，该路由的下一跳为隧道接口tunnel1。 第六步，添加隧道路由 1 2 3 4 在添加安全策略之前先定义好表示两端保护子网的地址对象，下图中只列举其中一个地址簿 第七步，添加安全策略---创建地址簿 1 2 3 4 5 添加安全策略，允许本地VPN保护子网访问对端VPN保护子网 第七步，添加安全策略 1 2 3 4 添加安全策略，允许对端VPN保护子网访问本地VPN保护子网 第七步，添加安全策略 3 1 2 4 FW-B 防火墙配置步骤 本案例采用“预共享密钥认证”机制 第一步，创建IKE第一阶段提议 第二步，创建IKE第二阶段提议 第三步，创建VPN对端 第四步，创建IPSEC隧道 第五步，创建隧道接口，指定安全域，并将创建好的隧道绑定到接口 第六步，添加隧道路由 第七步，添加安全策略 定义IKE第一阶段的协商内容，两台防火墙的IKE第一阶段协商内容需要一致。 第一步，创建IKE第一阶段提议 1 2 3 4 5 定义IKE第二阶段的协商内容，两台防火墙的第二阶段协商内容需要一致。 第二步，创建IKE第二阶段提议 5 1 2 3 4 创建VPN对端，并定义相关参数 第三步，创建VPN对端 1 2 3 4 5 创建到防火墙FW-B的VPN隧道，并定义相关参数。 第四步，创建IPSEC隧道 1 2 3 4 第四步，创建IPSEC隧道 创建到防火墙FW-B的VPN隧道，并定义相关参数。 5 6 7 8 创建隧道接口，绑定三层安全域，并将创建好的IPSec隧道与其绑定 第五步，创建隧道接口 1 2 3 4 5 在路由表中添加目的地为对端保护子网的路由，该路由的下一跳为隧道接口tunnel1。 第六步，添加隧道路由 1 2 3 4 在添加安全策略之前先定义好表示两端保护子网的地址对象，下图中只列举其中一个地址簿 第七步，添加安全策略---创建地址簿 1 2 3 4 5 添加安全策略，允许本地VPN保护子网访问对端VPN保护子网 第七步，添加安全策略 1 2 3 4 添加安全策略，允许对端VPN保护子网访问本地VPN保护子网 第七步，添加安全策略 3 1 2 4 查看FW-A防火墙上两个阶段的隧道状态 查看A防火墙状态 1 2 查看FW-B防火墙上两个阶段的隧道状态 查看B防火墙状态 1 2 1、需要ipsec隧道建立的条件必须要一端触发才可 2、tunnel接口地址设置，如果未设置，从一端局域网无法 ping通另外一端防火墙内网口地址； 另外如果设置了tunnel地址，可以通过在防火墙A 上pin