防火墙F100-C-G2如何设置IPSce

你好

   这款支持cli配置，命令行配置更方便一点，忽略ip地址，那是做实验的ip地址，根据你实际需求来更改

如果一方有公网ip另一方没有公网ip就用野蛮模式，如果两方都有公网ip就使用主模式。

大概配置步骤如下：

感兴趣流：配置acl抓取需要ipsec保护的流量

IKE部分：配置ike keychain  ，ike proposal(可以使用默认配置） ike profile

Ipsec部分：配置transform集，配置ipsec策略，到公网口下发ipsec策略

配置好后，用流量去触发，用dis ike sa查看ike sa是否起来，如果不正确就检查ike配置，然后再dis ipsec sa查看ipsec sa是否协商起来

最后注意策略的放通。

如果使用野蛮模式，总部需要使用ipsec模板并绑定ipsec策略，然后到公网口下发策略。

以下是v7版本的脚本，你可以参考一下

配置keychain
#主模式总部分支或野蛮模式分支配置
ike keychain 1
pre-shared-key address 10.10.10.2 255.255.255.0 key simple h3c

#野蛮模式总部配置
ike keychain k
pre-shared-key hostname DY key

#配置ike fqdn名称（野蛮模式配置）
ike identity fqdn CQ


#主模式总分支配置profile
ike profile 1
keychain 1
local-identity address 10.10.10.2
match remote identity address 10.10.20.2 255.255.255.255
proposal 1 2 3 4 5 6

#野蛮模式总分支配置Profile
ike profile p
keychain k
exchange-mode aggressive
match remote identity fqdn CQ
proposal 1


配置proposal
ike proposal 1
encryption-algorithm aes-cbc-128
dh group2
authentication-algorithm md5
ike proposal 2
encryption-algorithm 3des-cbc
dh group2
authentication-algorithm md5
ike proposal 3
encryption-algorithm 3des-cbc
dh group2
ike proposal 4
encryption-algorithm aes-cbc-256
dh group2
ike proposal 5
dh group2
ike proposal 6
encryption-algorithm aes-cbc-192
dh group2

配置transform-set集
ipsec transform-set 1
encapsulation-mode tunnel
esp encryption-algorithm 3des-cbc
esp authentication-algorithm md5
ipsec transform-set 2
encapsulation-mode tunnel
esp encryption-algorithm aes-cbc-128
esp authentication-algorithm sha1
ipsec transform-set 3
encapsulation-mode tunnel
esp encryption-algorithm aes-cbc-256
esp authentication-algorithm sha1
ipsec transform-set 4
encapsulation-mode tunnel
esp encryption-algorithm des-cbc
esp authentication-algorithm sha1
ipsec transform-set 5
encapsulation-mode tunnel
esp encryption-algorithm 3des-cbc
esp authentication-algorithm sha1
ipsec transform-set 6
encapsulation-mode tunnel
esp encryption-algorithm aes-cbc-192
esp authentication-algorithm sha1

#配置ipsec policy
ipsec policy GE1/0/2 1 isakmp
transform-set 1 2 3 4 5 6
security acl 3999
local-address 10.10.10.2
remote-address 10.10.20.2
ike-profile 1

#配置感兴越流
acl advanced 3999
rule 0 permit ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255

#配置nat流量
acl advanced 3888
rule 0 deny ip source 192.168.10.0 0.0.0.255 destination 191.168.20.0 0.0.0.255


#出接口调用策略
nat outbound 3888
ipsec apply policy GE1/0/2

#配置ipsec模板并绑定IpSec策略
#配置模板pt
ipsec policy-template pt 1
transform-set t
ike-profile p
#配置模板t1
ipsec policy-template t1 1
transform-set t1
ike-profile p1
#绑定模板pt,t1
ipsec policy p 1 isakmp template pt
ipsec policy p 2 isakmp template t1