• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 全部
  • 全部
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
高级搜索

二级路由器如何配置IPSEC VPN

2021-01-04提问
  • 0关注
  • 1收藏,504浏览
粉丝:0人 关注:0人

问题描述:

总部H3C F1000-A-G2,想在分支加MSR或者MER\ER路由器,但分支的密码、IP及拨号信息分支的人都不清楚,所以想不替换出口,在出口的下面对接VPN,想问如何实现,有没有具体案例

组网及组网描述:

总部:H3C F1000-A-G2------核心-----接入交换机----终端

分支:未知路由器---交换机---终端

最佳答案

Xcheng 九段
粉丝:41人 关注:1人

按正常NAT穿越野蛮模式配置即可。


由于没有具体产品和型号 可参考V7系列防火墙配置完整ipsec部分举例

2.17.3  IKE野蛮模式及NAT穿越配置举例

1. 组网需求

Device A在NAT安全网关内网侧,所连接的内网侧用户使用NAT地址3.3.3.1访问外网。要求在Device A和Device B之间建立一个IPsec隧道,对Host A所在的子网(10.1.1.0/24)与Host B所在的子网(10.1.2.0/24)之间的数据流进行安全保护。具体需要求如下:

·     协商双方使用缺省的IKE提议。

·     协商模式为野蛮模式协商。

·     第一阶段协商的认证方法为预共享密钥认证。

2. 组网图

图2-6 IKE野蛮模式及NAT穿越配置组网图

3. 配置Device A

(1)     配置接口IP地址、路由、安全域及域间策略保证网络可达,具体配置步骤略

(2)     定义数据流

# 配置IPv4高级ACL 3000,定义要保护由子网10.1.1.0/24去往子网10.1.2.0/24的数据流。

<DeviceA> system-view

[DeviceA] acl advanced 3000

[DeviceA-acl-ipv4-adv-3000] rule 0 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255

[DeviceA-acl-ipv4-adv-3000] quit

(3)     配置IPsec安全提议

# 创建IPsec安全提议transform1。

[DeviceA] ipsec transform-set transform1

# 配置采用的安全协议为ESP。

[DeviceA-ipsec-transform-set-transform1] protocol esp

# 配置ESP协议采用的加密算法为3DES,认证算法为HMAC-MD5。

[DeviceA-ipsec-transform-set-transform1] esp encryption-algorithm 3des-cbc

[DeviceA-ipsec-transform-set-transform1] esp authentication-algorithm md5

[DeviceA-ipsec-transform-set-transform1] quit

(4)     配置IKE keychain

# 创建IKE keychain,名称为keychain1。

[DeviceA] ike keychain keychain1

# 配置与IP地址为2.2.2.2的对端使用的预共享密钥为明文12345zxcvb!@#$%ZXCVB。

[DeviceA-ike-keychain-keychain1] pre-shared-key address 2.2.2.2 255.255.0.0 key simple 12345zxcvb!@#$%ZXCVB

[DeviceA-ike-keychain-keychain1] quit

(5)     配置IKE profile

# 创建IKE profile,名称为profile1。

[DeviceA] ike profile profile1

# 指定引用的IKE keychain为keychain1。

[DeviceA-ike-profile-profile1] keychain keychain1

# 配置协商模式为野蛮模式。

[DeviceA-ike-profile-profile1] exchange-mode aggressive

# 配置本端身份为FQDN名称www.devicea.com。

[DeviceA-ike-profile-profile1] local-identity fqdn www.devicea.com

# 配置匹配对端身份的规则为IP地址2.2.2.2/16。

[DeviceA-ike-profile-profile1] match remote identity address 2.2.2.2 255.255.0.0

[DeviceA-ike-profile-profile1] quit

(6)     配置IPsec安全策略

# 创建一条IKE协商方式的IPsec安全策略,名称为policy1,顺序号为1。

[DeviceA] ipsec policy policy1 1 isakmp

# 配置IPsec隧道的对端IP地址为2.2.2.2。

[DeviceA-ipsec-policy-isakmp-policy1-1] remote-address 2.2.2.2

# 指定引用的安全提议为transform1。

[DeviceA-ipsec-policy-isakmp-policy1-1] transform-set transform1

# 指定引用ACL 3000。

[DeviceA-ipsec-policy-isakmp-policy1-1] security acl 3000

# 指定引用的IKE profile为profile1。

[DeviceA-ipsec-policy-isakmp-policy1-1] ike-profile profile1

[DeviceA-ipsec-policy-isakmp-policy1-1] quit

(7)     在接口上应用IPsec安全策略

# 在接口GigabitEthernet1/0/1上应用IPsec安全策略policy1。

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] ipsec apply policy policy1

[DeviceA-GigabitEthernet1/0/1] quit

(8)     配置静态路由

# 配置到Host B所在子网的静态路由。

[DeviceA] ip route-static 10.1.2.0 255.255.255.0 1.1.1.2

4. 配置Device B

(1)     配置接口IP地址、路由、安全域及域间策略保证网络可达,具体配置步骤略

(2)     配置IPsec安全提议

# 创建IPsec安全提议transform1。

<DeviceB> system-view

[DeviceB] ipsec transform-set transform1

# 配置采用的安全协议为ESP。

[DeviceB-ipsec-transform-set-transform1] protocol esp

# 配置ESP协议采用的加密算法为3DES,认证算法为HMAC-MD5。

[DeviceB-ipsec-transform-set-transform1] esp encryption-algorithm 3des-cbc

[DeviceB-ipsec-transform-set-transform1] esp authentication-algorithm md5

[DeviceB-ipsec-transform-set-transform1] quit

(3)     配置IKE keychain

# 创建IKE keychain,名称为keychain1。

[DeviceB]ike keychain keychain1

# 配置与IP地址为1.1.1.1的对端使用的预共享密钥为明文12345zxcvb!@#$%ZXCVB。在本例中,来自1.1.1.1的报文经NAT转换后,源IP地址被转换为3.3.3.1,因此指定预共享密钥时对端IP地址为3.3.3.1。

[DeviceB-ike-keychain-keychain1] pre-shared-key address 3.3.3.1 255.255.0.0 key simple 12345zxcvb!@#$%ZXCVB

[DeviceB-ike-keychain-keychain1] quit

(4)     配置IKE profile

# 创建IKE profile,名称为profile1。

[DeviceB] ike profile profile1

# 指定引用的IKE keychain为keychain1。

[DeviceB-ike-profile-profile1] keychain keychain1

# 配置协商模式为野蛮模式。

[DeviceB-ike-profile-profile1] exchange-mode aggressive

# 配置匹配对端身份的规则为FQDN名称www.devicea.com。

[DeviceB-ike-profile-profile1] match remote identity fqdn www.devicea.com

[DeviceB-ike-profile-profile1] quit

(5)     配置IPsec安全策略模板

# 创建一个IKE协商方式的IPsec安全策略模板,名称为template1,顺序号为1。

[DeviceB] ipsec policy-template template1 1

# 指定引用的安全提议为tran1。

[DeviceB-ipsec-policy-template-template1-1] transform-set transform1

# 配置IPsec隧道的本端IP地址为2.2.2.2。

[DeviceB-ipsec-policy-template-template1-1] local-address 2.2.2.2

# 指定引用的IKE profile为profile1。

[DeviceB-ipsec-policy-template-template1-1] ike-profile profile1

[DeviceB-ipsec-policy-template-template1-1] quit

(6)     创建IPsec安全策略

# 引用IPsec安全策略模板创建一条IKE协商方式的IPsec安全策略,名称为policy1,顺序号为1。

[DeviceB] ipsec policy policy1 1 isakmp template template1

(7)     在接口上应用IPsec安全策略

# 在接口GigabitEthernet1/0/1上应用安全策略policy1。

[DeviceB] interface gigabitethernet 1/0/1

[DeviceB-GigabitEthernet1/0/1] ipsec apply policy policy1

[DeviceB-GigabitEthernet1/0/1] quit

(8)     配置静态路由

# 配置到Host A所在子网的静态路由。2.2.2.1为本例中的直连下一跳地址,实际使用中请以具体组网情况为准。

[DeviceB] ip route-static 10.1.1.0 255.255.255.0 2.2.2.1

5. 验证配置

以上配置完成后,子网10.1.1.0/24若向子网10.1.2.0/24发送报文,将触发IKE协商。

# 可通过如下显示信息查看到Device A上IKE第一阶段协商成功后生成的IKE SA。

[DeviceA] display ike sa

    Connection-ID   Remote                Flag         DOI

------------------------------------------------------------------

    13              2.2.2.2               RD           IPsec

Flags:

RD--READY RL--REPLACED FD-FADING RK-REKEY

[DeviceA] display ike sa verbose

   -----------------------------------------------

   Connection ID: 13

   Outside VPN:

   Inside VPN:

   Profile: profile1

   Transmitting entity: Initiator

   -----------------------------------------------

   Local IP: 1.1.1.1

   Local ID type: FQDN

   Local ID: www.devicea.com

 

   Remote IP: 2.2.2.2

   Remote ID type: IPV4_ADDR

   Remote ID: 2.2.2.2

 

   Authentication-method: PRE-SHARED-KEY

   Authentication-algorithm: SHA1

   Encryption-algorithm: DES-CBC

 

   Life duration(sec): 86400

   Remaining key duration(sec): 84565

   Exchange-mode: Aggressive

   Diffie-Hellman group: Group 1

   NAT traversal: Detected

 

   Extend authentication: Disabled

   Assigned IP address:

# 可通过如下显示信息查看到IKE第二阶段协商生成的IPsec SA。

[DeviceA] display ipsec sa

-------------------------------

Interface: GigabitEthernet1/0/1

-------------------------------

 

  -----------------------------

  IPsec policy: policy1

  Sequence number: 1

  Mode: ISAKMP

  -----------------------------

    Tunnel id: 0

    Encapsulation mode: tunnel

    Perfect Forward Secrecy:

    Inside VPN:

    Extended Sequence Numbers enable: N

    Traffic Flow Confidentiality enable: N

    Path MTU: 1435

    Tunnel:

        local  address: 1.1.1.1

        remote address: 2.2.2.2

    Flow:

        sour addr: 10.1.1.0/255.255.255.0  port: 0  protocol: ip

        dest addr: 10.1.2.0/255.255.255.0  port: 0  protocol: ip

    [Inbound ESP SAs]

      SPI: 830667426 (0x3182faa2)

      Connection ID: 90194313219

      Transform set: ESP-ENCRYPT-3DES-CBC ESP-AUTH-MD5

      SA duration (kilobytes/sec): 1843200/3600

      SA remaining duration (kilobytes/sec): 1843200/2313

      Max received sequence-number:

      Anti-replay check enable: Y

      Anti-replay window size: 64

      UDP encapsulation used for NAT traversal: Y

      Status: Active

 

    [Outbound ESP SAs]

      SPI: 3516214669 (0xd1952d8d)

      Connection ID: 64424509441

      Transform set: ESP-ENCRYPT-3DES-CBC ESP-AUTH-MD5

      SA duration (kilobytes/sec): 1843200/3600

      SA remaining duration (kilobytes/sec): 1843200/2313

      Max sent sequence-number:

      UDP encapsulation used for NAT traversal: Y

      Status: Active 

拨号出来的不是固定地址怎么搞

zhiliao_64770 发表时间:2021-01-06
回复zhiliao_64770:

请认真看举例 设备A段可以理解为拨号端

Xcheng 发表时间:2021-01-06

我知道A是拨号端,上面有NAT设备,定义感兴趣流,IKE\IPSEC等参数,B要pre-shared-key address 3.3.3.1 255.255.0.0写A的外网地址,但A的地址是会变化的

zhiliao_64770 发表时间:2021-01-06
回复zhiliao_64770:

认证看举例

Xcheng 发表时间:2021-01-06
3 个回答
粉丝:0人 关注:1人

1、在二级路由上面配置好网络(接口IP、路由条目)、ipsec配置(一阶段、二阶段)

2、在出口路由器上面映射二级路由的ipsec使用到的端口号

注:要通过二级路由跟总部做VPN对接,前提是你还是得登录到分支出口设备上面,要想登录到出口路由器上面做映射,还是得知道原分支出口设备的登录账号密码

那就头疼了,知道分支出口设备的信息就不用那么麻烦,直接替换出口得了

zhiliao_64770 发表时间:2021-01-04
粉丝:73人 关注:1人

1、直接价格路由器

2、跑野蛮模式

意思直接加路由器在出口跑野蛮模式?

zhiliao_64770 发表时间:2021-01-04
回复zhiliao_64770:

1、野蛮模式两边都要开启 2、直接在你新加的设备和总部跑IPSEC VPN

cs10086 发表时间:2021-01-04

1、跑野蛮模式是一边固定IP,一边拨号 2、现在的问题是不能加在分支出口,因为没有分支出口的信息,只能加在出口的下面

zhiliao_64770 发表时间:2021-01-04
回复zhiliao_64770:

1、只要有一堆IP不固定,IPSEC的模式就是野蛮模式 2、加载分支出口的设备如果是V5的,要手动开启nat 穿越,如果是V7的会自动开启

cs10086 发表时间:2021-01-04

那这样,首先,不改动分支原有的出口路由器,下面加一台V7的路由器,假设是MSR 830\2630,总部和分支要怎么配置才能对接成功

zhiliao_64770 发表时间:2021-01-04
粉丝:2人 关注:0人

总部跑和分支都使用野蛮模式,总部用模板,分支正常配

分支没有出口设备的信息也能配?上网拨号地址是变化的

zhiliao_64770 发表时间:2021-01-06
回复zhiliao_64770:

可以,野蛮模式支持一方公网地址不固定,不过野蛮模式。双方必须配置主机名。使用主机名指定对端身份,并且公网地址不固定一方还必须配置对端固定的公网地址

渔舟唱晚 发表时间:2021-01-06

编辑答案

你正在编辑答案

如果你要对问题或其他回答进行点评或询问,请使用评论功能。

分享扩散:

提出建议

    +

亲~登录后才可以操作哦!

确定

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作

举报

×

侵犯我的权益 >
对根叔社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明