华为USG2220BSR与TP-Link wvr3000 建立IPsec VPN.docVIP

USG2220BSR与TP-Link wvr3000 建立IPsec VPN 各位： ? ? ?您好！最近公司这边准备上线手机APP，机房这边搞了几台临时的测试服务器，要求分公司这边可以通过VPN访问，但是考虑到大部分开发同事的PC是mac的系统、而且很多时候需要通过手机去测试和访问，用客户端的方式不是很方便，而且不是特别稳定和安全，所以准备用点到点的IPSEC VPN互通，但是考虑的成本，分公司办公司这边采用了一台TL-LINK WVR300的路由器与机房的USG2220BSR建立IPSEC VPN，详细配置如下： 一、网络拓扑 二、防火墙配置 配置要加密的数据流（USG2220BSR） acl number 3003?description ## ipsec vpn ##?rule 5 permit ip source 192.168.66.0 0.0.0.255 destination 192.168.166.0 0.0.0.255# 配置要加密的数据流（TP-Link WVR300） 配置ike安全提议（USG2220BSR） ike proposal 1?encryption-algorithm aes-cbc?dh group1# 配置ike安全提议（TP-Link WVR300） 配置ike对等体（USG2220BSR） ike peer xukun?pre-shared-key %$%$u+]1!Vn=HFZGn68u/e9S9NE%$%$?ike-proposal 1?remote-address 10.235.6.39 ? ? ? ? ? ? ??# 配置ike对等体（TP-Link WVR300） 配置IPsec安全提议（USG2220BSR） ipsec proposal xukun?esp authentication-algorithm sha1?esp encryption-algorithm aes# 配置IPsec安全提议（TP-Link WVR300） 配置IPsec策略（USG2220BSR） ipsec policy 1 1 isakmp?security acl 3003?ike-peer xukun?proposal xukun# 配置IPsec策略（TP-Link WVR300） IPSEC策略绑定到接口（USG2220BSR）interface GigabitEthernet0/0/0?description ## connect to internet ##?ip address 10.235.67.82 255.255.255.240 ??ipsec policy 1 IPSEC策略绑定到接口（TP-LINK WVR300） 测试互通情况： TP上看到已经有了ipsec sa?数据流了 USG防火墙上ike sa建立成功 USG防火墙上IPSEC SA也有了 IPSEC SA详细情况 呵呵，用办公司电脑测试到机房网络，通了。 测试了下业务、也通了，呵呵！ 这里需要注意的是目前的网络环境中没有经过NAT转换，所以可以正常建立，如果中间有NAT的情况下，TP-Link WVR300的路由器是不支持的NAT穿越的，我之前就被坑过一次，如果要过NAT的话，一定两边的网关设备要支持NAT穿越哦！