大赛培训安全网关部署.pptxVIP

VPN部署讲解人：朱建英 2010、07章节目标通过完成此章节课程，您将可以： - 理解VPN的概念 - 配置基于策略的VPN - 配置基于路由的VPN - 配置Secure Connect VPN议程：VPN部署 VPN介绍1800系统多核墙 IPSec VPN配置- 基于策略VPN配置- 基于路由VPN配置1800系统多核墙SSL VPN配置- SecureConnect VPN传统专线接入传统专线接入跨区域、多站点为了安全传输敏感信息部署简单、无需加密成本太高不适合中小企业推广Virtural Private NetworkVPN（ Virtural Private Network ）在公网上建立的虚拟私有网络节约成本简化了企业联网和广域网操作VPN网络有很好的兼容性和可扩展性企业可以利用VPN迅速开展新的服务和链接全球的设施通过隧道协议需要加密、完整性校验、用户认证等安全措施VPN类型PPTP-(Point to Point Tunneling Protocol)L2TP-(Layer 2 Tunneling Protocol)IPSec-(Internet Protocol Security)SSL-(Secure Socket Layer)VPN的三要素VPN通过以下三要素保证数据通过互联网安全传输机密性（Confidenttiality）保证数据在公网上的隐藏性和安全性完整性（Integrity）保证数据没有被改变认证性（Authentication）数据的来源是否可靠议程：VPN部署VPN介绍1800系列多核墙 IPSec VPN配置- 基于策略VPN配置- 基于路由VPN配置1800系列多核墙SSL VPN配置- SecureConnect VPNSite-to-Site按照VPN数据驱动类型分为：基于策略的（Policy-based）基于路由的（Policy-based）ServerLANInternetSite2Site1配置过程IKE VPN为自动协议方式，配置包括：第一步，配置IKE VPN配置P1提议（可选）配置ISAKMP网关配置P2提议（可选）配置隧道第二步A（基于策略）：配置VPN安全策略，策略行为选择隧道或者来自隧道第二步B（基于路由）：绑定Tunnel接口，添加通过Tunnel接口到对端访问的路由，根据Tunnel接口绑定安全域配置普通流量策略配置IKE VPN-P1提议※ 配置P1提议WebUI： VPNIPSec VPNP1提议配置IKE VPN-对端网关※ 配置ISAKMP网关（对端）WebUI： VPNIPSec VPNVPN对端→对端名称→出站接口→协商模式→对端类型→对端IP→第一阶段提议→预共享密钥配置IKE VPN-P2提议WebUI： VPNIPSec VPNP2提议配置IKE VPN-隧道WebUI： VPNIPSec VPNIPSec VPN导入对端，点击“步骤2：隧道”A、基于策略VPN---2选1※ 配置策略 配置策略指定哪些流量通过VPN转发，并指明转发所使用隧道，如果需双向策略，可以根据提示自动生成反向策略然后根据需求到相应反向策略中修改。并将该策略移至该方向策略的首位。配置策略前需先定义本地及对端IP本地内网网段远段内网网段通过VPN转发流量使用哪个VPN隧道是否生成反向策略添加不做NAT规则防火墙NAT源NAT并将该NAT策略置于首位本地内网网段远段内网网段不做NAT移到首位B、基于路由VPN---2选1※ 配置隧道接口网络接口新建 下拉框选择隧道接口Tunnel接口名称安全域类型绑定IPSec隧道选择隧道B、基于路由VPN※ 创建到隧道接口的路由网络路由目的路由新建B、基于路由VPN※ 创建普通permit策略根据tunnel接口绑定的安全域，需要添加相应的安全策略，action为普通permit策略如需双向访问，需添加进站策略，如上图交换源、目的安全域即可普通允许行为DebugVPN排错步骤第一步，“show ipsec sa”查看phase 2 SA是否已经建立；第二步，如果phase 2 SA未正常建立，“show isakmp sa”查看phase 1 SA是否建立；第三步，如果phase 2 SA已经建立，“debug dp ipsec”查看数据是否正常进入tunnel并正确处理第四步，如果没有数据进入tunnel，“debug dp basic，debug dp error，debug dp snoop”查看数据里面的处理情况议程：VPN部署VPN介绍1800系列多核防火墙 IPSec VPN配置- 基于策略VPN配置- 基于路由VPN配置多核墙系列多核防火墙 SSL VPN配置- SecureConnect VPNSecureConne