神州数码防火墙讲解PPT-21-IPSEC配置示例-基于策略静态IPSEC.pptx

IPSEC配置示例 FOR4.0R4;注：该案例假设防火墙已完成了基本的上网配置;防火墙FW-A和FW-B都具有合法的静态IP地址 其中防火墙FW-A的内部保护子网为192.168.1.0/24 防火墙FW-B的内部保护子网为192.168.100.0/24。 要求在FW-A与FW-B之间创建IPSec VPN，使两端的保护子网能通过VPN隧道互相访问。;本案例采用“预共享密钥认证”机制 第一步，创建IKE第一阶段提议 第二步，创建IKE第二阶段提议 第三步，创建VPN对端 第四步，创建IPSEC隧道 第五步，创建基于隧道的安全策略 第六步，创建源NAT策略;定义IKE第一阶段的协商内容，两台防火墙的IKE第一阶段协商内容需要一致。;定义IKE第二阶段的协商内容，两台防火墙的第二阶段协商内容需要一致。;创建VPN对端，并定义相关参数;创建到防火墙FW-B的VPN隧道，并定义相关参数。;第四步，创建IPSEC隧道;在添加安全策略之前先定义好表示两端保护子网的地址对象，下图中只列举其中一个地址簿;添加安全策略，允许本地VPN保护子网访问对端VPN保护子网;将基于隧道的策略移至最上方;同样将反方向的策略也移至该方向最上方;创建NAT策略，并将该策略置于首位;FW-B 防火墙配置步骤;定义IKE第一阶段的协商内容，两台防火墙的IKE第一阶段协商内容需要一致。;定义IKE第二阶段的协商内容，两台防火墙的第二阶段协商内容需要一致。;创建VPN对端，并定义相关参数;创建到防火墙FW-B的VPN隧道，并定义相关参数。;第四步，创建IPSEC隧道;在添加安全策略之前先定义好表示两端保护子网的地址对象，下图中只列举其中一个地址簿;添加安全策略，允许本地VPN保护子网访问对端VPN保护子网;将基于隧道的策略移至最上方;同样将反方向的策略也移至该方向最上方;创建NAT策略，并将该策略置于首位;查看FW-A防火墙上两个阶段的隧道状态;查看FW-B防火墙上两个阶段的隧道状态;1、需要ipsec隧道建立的条件必须要一端触发才可。 2、基于隧道的策略要放在该方向策略的最上方，另外从 本地到对端网段的源NAT策略（不做NAT）该放在源 NAT策略中的最上方。 3、在IPSEC VPN隧道中关于代理ID的概念，这个代理ID是 指本地加密子网和对端加密子网。如果两端??为神州 数码多核防火墙该ID可以设置为自动；如果只是其中 一端为多核墙，那必须要设置成手工。 ;THANKS!