h3c er3100

IPSEC 判错思路

一、基础配置

       地址，路由

二、确定感兴趣流

       通过定义ACL来确定要保护的数据

三、部署IKE

       IKE的keychain的部署

       IKE profile的部署

四、安全联盟的部署【决定对数据进行怎样的加密和验证】

       IPsec transform-set

       protocol esp

       ESP 的加密使用3-des

       ESP 的验证使用sha1

五、IPsec policy的部署

       IPsec policy 名称 序列号 isakmp//IKE协商

       security acl 

       Ike-profile  

       transform-set

       remote-address 对端地址//对端IPsec policy下发的接口所在地址

六、接口下发

在接口下输入：IPsec apply policy 名称

下面补充总结一下大家在配置过程中经常遇到的问题：

1、感兴趣流

     两端感兴趣流在书写时不能完全镜像

2、Ike keychain名称过于复杂导致调用出错

3、两端业务流地址漏配置，导致VPN已经触发，但是ping100%丢包

您好，请知：

由于IPSEC VPN已建立，以下是排查要点，请参考：

1、检查感兴趣数据流内是否分别指定了正确的源和目的。

2、检查两端的路由是否可达。

3、检查是否和NAT的转换策略相互冲突，需在NAT中 将这些感兴趣数据流的网段给拒绝看下。

4、以下是ER3100的用户手册连接：

https://www.h3c.com/cn/Service/Document_Software/Document_Center/Routers/Catalog/ER/ER3100/