IPSEC VPN

4.1  组网需求

出于安全因素，需要对Host A所在的子网（10.1.1.0/24）与Host B所在的子网（10.1.2.0/24）之间的数据流进行安全保护，因此需要在Router A和Router B之间建立一条IPsec隧道，如图1所示。具体要求如下：

·     组网方式为点到点。

·     IKE协商方式建立IPsec SA。

图1 IPsec VPN典型配置组网图

4.2  配置步骤

1. 配置Router A

(1)     配置LAN口的IP地址

# 选择“网络设置 > LAN配置”，进入LAN配置页面。单击“VLAN配置”页签，进入VLAN配置页面，点击指定端口对应的操作列编辑图标，进入修改LAN配置页面，配置如下参数：

¡     IP地址：10.1.1.1；

¡     子网掩码：255.255.255.0；

¡     IP地址范围：10.1.1.2~10.1.1.254；

¡     网关地址：10.1.1.1；

¡     DNS1：10.1.1.1；

¡     其它配置项均保持默认情况即可。单击<确定>按钮保存配置。

图2 修改LAN配置

(2)     配置WAN口的IP地址

# 选择“网络设置 > 外网配置”，进入外网配置页面。根据实际应用场景，在配置接口模式页面选择单WAN场景、双WAN场景或者多WAN场景。以单WAN场景为例，线路1选择WAN1，单击<应用>按钮确定。

图3 配置WAN场景

# 在外网配置页面单击“WAN配置”页签，进入WAN配置页面，点击指定端口对应的操作列编辑图标，进入修改WAN配置页面，配置如下参数：

¡     连接模式：固定地址；

¡     IP地址：2.2.2.1；

¡     子网掩码：255.255.255.0。

¡     其它配置项均保持默认情况即可。单击<确定>按钮保存配置。

图4 配置WAN场景

(3)     配置到达Host B所在子网的静态路由

选择“高级选项 > 静态路由”，进入静态路由配置页面。配置步骤为：

·     单击<添加>按钮，进入添加IPv4静态路由页面。

·     在添加IPv4静态路由页面中配置如下，其中2.2.2.3为本例中直连下一跳地址：

¡     目的IP地址：10.1.2.0；

¡     掩码长度：24；

¡     出接口：WAN1；

¡     下一跳IP地址：2.2.2.3；

¡     其它配置项均保持默认情况即可。单击<确定>按钮保存配置。

图5 添加静态路由

(4)     配置IPsec策略

选择“虚拟专网（VPN） > IPsec VPN”，进入IPsec策略配置页面。配置步骤为：

·     在IPsec策略页签下单击<添加>按钮，进入添加IPsec策略页面。

·     在添加IPsec策略页面的基本配置中配置内容如图6所示：

¡     名称：map1；

¡     接口：WAN1；

¡     组网方式：分支节点；

¡     对端网关地址：2.2.3.1；

¡     预共享密钥：123456TESTplat&!；

¡     保护流配置：定义保护由子网10.1.1.0/24去往子网10.1.2.0/24的数据流，受保护协议选择IP。本端受保护网段/掩码为10.1.1.0/0.0.0.255，对端受保护网段/掩码为10.1.2.0/0.0.0.255。单击<确定>按钮确定添加。

图6 配置IPsec策略

·     单击<显示高级配置>按钮，在添加IPsec策略页面高级配置的IKE配置页签中配置内容如下：

¡     协商模式：主模式；

¡     对端身份类型：选择IP地址，且IP地址为2.2.3.1；

¡     对等体存活检测（DPD）：选择关闭；

¡     其它配置项均保持默认情况即可。如图7、图8所示：

图7 定义ACL规则保护数据流

图8 修改高级配置

·     先单击<返回基本配置>按钮，再单击<确定>按钮，完成IPsec策略的创建。

2. 配置Router B

(1)     配置LAN口的IP地址

# 选择“网络设置 > LAN配置”，进入LAN配置页面。单击“VLAN配置”页签，进入VLAN配置页面，点击指定端口对应的操作列编辑图标，进入修改LAN配置页面，配置如下参数：

¡     IP地址：10.1.2.1；

¡     子网掩码：255.255.255.0。

¡     IP地址范围：10.1.2.2~10.1.2.254

¡     网关地址：10.1.2.1

¡     DNS1:10.1.2.1

¡     其它配置项均保持默认情况即可。单击<确定>按钮保存配置。

图9 修改LAN配置

(2)     配置WAN口的IP地址

# 选择“网络设置 > 外网配置”，进入外网配置页面。根据实际应用场景，在配置接口模式页面选择单WAN场景、双WAN场景或者多WAN场景。以单WAN场景为例，线路1选择WAN1，单击<应用>按钮确定。

图10 配置WAN场景

在外网配置页面单击“WAN配置”页签，进入WAN配置页面，点击指定端口对应的操作列编辑图标，进入修改WAN配置页面，配置如下参数：

¡     连接模式：固定地址；

¡     IP地址：2.2.3.1；

¡     子网掩码：255.255.255.0。

¡     其它配置项均保持默认情况即可。单击<确定>按钮保存配置。

图11 配置WAN场景

(3)     配置到达Host A所在子网的静态路由

# 选择“高级选项 > 静态路由”，进入静态路由配置页面。配置步骤为：

·     单击<添加>按钮，进入添加IPv4静态路由页面。

·     在添加IPv4静态路由页面中配置如下，其中2.2.3.3为本例中直连下一跳地址：

¡     目的IP地址：10.1.1.0；

¡     掩码长度：24；

¡     出接口：WAN1；

¡     下一跳IP地址：2.2.3.3；

¡     其它配置项均保持默认情况即可。

图12 添加静态路由

(4)     配置IPsec策略

# 选择“虚拟专网(VPN) > IPsec VPN”，进入IPsec策略配置页面。配置步骤为：

·     在IPsec策略页签下单击<添加>按钮，进入添加IPsec策略页面。

·     在添加IPsec策略页面的基本配置中配置内容如图13所示：

¡     名称：map1；

¡     接口：WAN1；

¡     组网方式：分支节点；

¡     对端网关地址：2.2.2.1；

¡     预共享密钥：123456TESTplat&!；

¡     保护流配置：定义保护由子网10.1.1.0/24去往子网10.1.2.0/24的数据流，受保护协议选择IP。本端受保护网段/掩码为10.1.1.0/0.0.0.255，对端受保护网段/掩码为10.1.2.0/0.0.0.255。单击<确定>按钮确定添加。

图13 配置IPsec策略

·     单击<显示高级配置>按钮，在添加IPsec策略页面高级配置的IKE配置页签中配置内容如下：

¡     协商模式：主模式；

¡     对端身份类型：选择IP地址，且IP地址为2.2.2.1；

¡     对等体存活检测（DPD）：选择关闭；

¡     其它配置项均保持默认情况即可。如图14、图15所示：

图14 定义ACL规则保护数据流

图15 修改IPsec配置

·     先单击<返回基本配置>按钮，再单击<确定>按钮，完成IPsec策略的创建。

4.3  验证配置

(1)     Host A可以Ping通Host B。

C:\Users\abc>ping 10.1.2.2

Ping 10.1.2.2 (10.1.2.2): 56 data bytes, press CTRL_C to break

56 bytes from 10.1.2.2: icmp_seq=0 ttl=254 time=2.137 ms

56 bytes from 10.1.2.2: icmp_seq=1 ttl=254 time=2.051 ms

56 bytes from 10.1.2.2: icmp_seq=2 ttl=254 time=1.996 ms

56 bytes from 10.1.2.2: icmp_seq=3 ttl=254 time=1.963 ms

56 bytes from 10.1.2.2: icmp_seq=4 ttl=254 time=1.991 ms

--- Ping statistics for 10.1.2.2 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 1.963/2.028/2.137/0.062 ms

C:\Users\abc>

(2)     完成上述配置后，在“虚拟专网(VPN) > IPsec VPN >”的监控信息页签上可以看到添加成功的IPsec策略，以Router A为例，状态列显示为Active。

图16 IPsec VPN监控信息