问

H3C ER3200G2 路由器IPSec VPN连接问题

IPSec VPN

2020-11-18提问

0关注
1收藏，1018浏览

w辉

w辉零段

粉丝：0人关注：0人

问题描述：

H3C ER3200G2 路由器两台分属总公司和分公司（总公司与分公司都有固定IP址址），通过 IPSec VPN设置已经成功建立VPN连接；

目前总公司 192.168.0.0 网段可以与分公司 192.168.3.0 网段互通；

问题是：总公司还有 192.168.6.0 网段与分公司192.168.3.0 网段不能互通，

另外分公司 192.168.10.0 也不有与 192.168.0.0 网段也不能互通；请问怎样的设置才能这些网段都能互通，感谢指导。

组网及组网描述：

最佳答案

________Hey

________Hey 九段

粉丝：29人关注：0人

1、要保证IPSec兴趣流中包含相应网段

2、非ER设备侧的NAT需要deny掉IPSec兴趣流

3、要保证路由没问题

如果两边都是ER设备，那么在静态路由中，要设置去往对端私网网段的下一跳是IPSec tunnel接口的路由。ER是这么实现的，其他设备要配置ACL 。

________Hey 发表时间：2020-11-18 更多>>

“要保证IPSec兴趣流中包含相应网段” 能说的详细些吗？

w辉发表时间：2020-11-18

如果两边都是ER设备，那么在静态路由中，要设置去往对端私网网段的下一跳是IPSec tunnel接口的路由。ER是这么实现的，其他设备要配置ACL 。

________Hey 发表时间：2020-11-18

2 个回答

按时间按赞数

得闲饮茶013

得闲饮茶013 九段

粉丝：135人关注：6人

您好，请知：

IPSEC VPN连接能起来，说明基本的配置没有问题。

要互通的网段需要加入到感兴趣数据流中，参考配置如下：

10.6 一对一IPSec VPN配置举例

10.6.1 组网需求

在Router A（采用ER5200G2）和Router B（采用ER5200G2）之间建立一个安全隧道，对客户分支机构A所在的子网（192.168.1.0/24）与客户分支机构B所在的子网（172.16.0.0/16）之间的数据流进行安全保护。

安全协议采用ESP协议，加密算法采用3DES，认证算法采用SHA1。

10.6.2 组网图

图10-5 组网示意图

10.6.3 设置步骤

1. 设置Router A

1. 选择“VPN→IPSEC VPN→虚接口”。单击<新增>按钮，在弹出的对话框中选择一个虚接口通道，并将其与对应的出接口进行绑定（此处假设为WAN1），单击<增加>按钮完成操作
2. 选择“VPN→IPSEC VPN→IKE安全提议”。单击<新增>按钮，在弹出的对话框中输入安全提议名称，并设置验证算法和加密算法分别为SHA1、3DES，单击<增加>按钮完成操作
3. 选择“VPN→IPSEC VPN→IKE对等体”。单击<新增>按钮，在弹出的对话框中输入对等体名称，选择对应的虚接口ipsec1。在“对端地址”文本框中输入Router B的IP地址，并选择已创建的安全提议等信息，单击<增加>按钮完成操作
4. 选择“VPN→IPSEC VPN→IPSec安全提议”。单击<新增>按钮，在弹出的对话框中输入安全提议名称，选择安全协议类型为ESP，并设置验证算法和加密算法分别为SHA1、3DES，单击<增加>按钮完成操作
5. 选择“VPN→IPSEC VPN→IPSec安全策略”。选中“启用IPSec功能”复选框，单击<应用>按钮生效。单击<新增>按钮，在弹出的对话框中输入安全策略名称，在“本地子网IP/掩码”和“对端子网IP/掩码”文本框中分别输入客户分支机构A和B所处的子网信息，并选择协商类型为“IKE协商”、对等体为“IKE-d1”、安全提议为“IPSEC-PRO”，单击<增加>按钮完成操作
6. 为经过IPSec VPN隧道处理的报文设置路由，才能使隧道两端互通（一般情况下，只需要为隧道报文配置静态路由即可）。选择“高级设置→路由设置→静态路由”，单击<新增>按钮，在弹出的对话框中，设置目的地址、子网掩码等参数，单击<增加>按钮完成操作