公司名称	外网接口	公网地址/掩码	公网网关	内网接口	内网地址/掩码
总部	1/0/3	101.88.26.34/30	101.88.26.33	1/0/4	192.168.10.0/24
分部	1/0/3	198.76.26.90/30	198.76.26.89	1/0/4	192.168.20.0/24

2 组网图

3 配置步骤

3.1 两端防火墙上网配置

防火墙上网配置请参考“2.3.2 防火墙外网使用固定IP地址上网配置方法”进行配置，本文只针对IPSEC VPN配置进行介绍。

注：本案例是在F100-C-G2的Version 7.1.064, Release 9510P08版本上进行配置和验证的。

3.2 总部侧创建IPSEC兴趣流匹配到分部的数据

#创建IPSEC的感兴趣流，用于匹配IPSEC数据。

<H3C>system-view

[H3C]acl advanced 3999

[H3C-acl-ipv4-adv-3999]rule permit ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255

[H3C-acl-ipv4-adv-3999]quit

#创建acl 3888调用在外网接口用于排除IPSEC兴趣流不做NAT。

[H3C]acl advanced 3888

[H3C-acl-ipv4-adv-3888]rule deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255

[H3C-acl-ipv4-adv-3888]rule permit ip source any

[H3C-acl-ipv4-adv-3888]quit

3.3 总部侧创建IPSEC安全提议

#加密类型设置为aes-cbc-128，认证类型设置为sha1。

[H3C]ipsec transform-set 1

[H3C-ipsec-transform-set-1]esp encryption-algorithm aes-cbc-128

[H3C-ipsec-transform-set-1]esp authentication-algorithm sha1

[H3C-ipsec-transform-set-1]quit

3.4 总部侧创建IKE安全提议

#IKE安全提议默认的认证类型为sha1，加密类型为DES-CBC，DH组为DH1，所以不需要配置也存在这些参数。

[H3C]ike proposal 1

[H3C-ike-proposal-1]quit

3.5 总部侧创建IKE安全密钥

#创建IKE密钥，地址填写分部侧设备的公网IP，密码设置为123456。

[H3C]ike keychain 1

[H3C-ike-keychain-1]pre-shared-key address 198.76.26.90 key simple 123456

[H3C-ike-keychain-1]quit

3.6 总部侧创建IKE安全框架

#创建IKE安全框架，将本端地址、对端地址、keychain、proposal关联起来。

[H3C]ike profile 1

[H3C-ike-profile-1]keychain 1

[H3C-ike-profile-1]local-identity address 101.88.26.34

[H3C-ike-profile-1]match remote identity address 198.76.26.90

[H3C-ike-profile-1]proposal 1

[H3C-ike-profile-1]quit

3.7 总部侧创建IPSEC安全策略

#创建IKE安全策略GE1/0/3将transform-set、acl、ike-profile、本端地址、对端地址关联起来。

[H3C]ipsec policy GE1/0/3 1 isakmp

[H3C-ipsec-policy-isakmp-GE1/0/3-1]transform-set 1

[H3C-ipsec-policy-isakmp-GE1/0/3-1]security acl 3999

[H3C-ipsec-policy-isakmp-GE1/0/3-1]local-address 101.88.26.34

[H3C-ipsec-policy-isakmp-GE1/0/3-1]remote-address 198.76.26.90

[H3C-ipsec-policy-isakmp-GE1/0/3-1]ike-profile 1

[H3C-ipsec-policy-isakmp-GE1/0/3-1]quit

3.8 总部侧外网接口调用IPSEC策略和NAT动态转换策略

[H3C]interface GigabitEthernet 1/0/3

[H3C-GigabitEthernet1/0/3]ipsec apply policy GE1/0/3

[H3C-GigabitEthernet1/0/3]nat outbound 3888

[H3C-GigabitEthernet1/0/3]quit

3.9 总部侧配置安全策略放通IPSEC数据

#创建对象组，组名称为192.168.10.0

[H3C]object-group ip address 192.168.10.0

[H3C-obj-grp-ip-192.168.10.0]0 network subnet 192.168.10.0 255.255.255.0

[H3C-obj-grp-ip-192.168.10.0]quit

#创建对象组，名称为192.168.20.0

[H3C]object-group ip address 192.168.20.0

[H3C-obj-grp-ip-192.168.20.0]0 network subnet 192.168.20.0 255.255.255.0

[H3C-obj-grp-ip-192.168.20.0]quit

#创建对象策略，策略名称为Untrust-Trust

[H3C]object-policy ip Untrust-Trust

[H3C-object-policy-ip- Untrust-Trust] rule 0 pass source-ip 192.168.20.0 destination-ip 192.168.10.0

[H3C-object-policy-ip- Untrust-Trust]quit

#创建Untrust到Tust域的域间策略调用Untrust-Trust策略

[H3C]zone-pair security source Untrust destination Trust

[H3C-zone-pair-security-Untrust-Trust]object-policy apply ip Untrust-Trust

[H3C-zone-pair-security-Untrust-Trust]quit

3.10 总部侧配置安全策略，放通Untrust到Local，以及Local到Utrust的策略，用于建立IPSEC 隧道

#创建对象策略，策略名称为Untrust-Local

[H3C]object-policy ip Untrust-Local

[H3C-object-policy-ip-Untrust-Local] rule 0 pass

[H3C-object-policy-ip-Untrust-Local]quit

#创建Untrust到Local域的域间策略调用Untrust- Local策略

[H3C]zone-pair security source Untrust destination Local

[H3C-zone-pair-security-Untrust-Local]object-policy apply ip Untrust-Local

[H3C-zone-pair-security-Untrust-Local]quit

#创建对象策略，策略名称为Local-Untrust

[H3C]object-policy ip Local-Untrust

[H3C-object-policy-ip-Local-Untrust] rule 0 pass

[H3C-object-policy-ip-Local-Untrust]quit

#创建Local到Untrust域的域间策略调用Local-Untrust策略

[H3C]zone-pair security source Local destination Untrust

[H3C-zone-pair-security-Local-Untrust]object-policy apply ip Local-Untrust

[H3C-zone-pair-security-Local-Untrust]quit

3.11 分部侧IPSEC配置方法

#与总部侧配置基本相同，IPSEC感兴趣流需要取反配置。

3.12 保存配置

[H3C]save force

3.13 隧道验证

#通过命令行查看display ike sa可以看到隧道状态为RD状态表示ike建立完成。

#通过display ipsec sa可以看到IPSEC SA基本状态。

两台防火墙采用公网固定地址方式搭建IPSEC VPN配置案例（主模式命令行）

暂无评论

2 个回答

按时间按赞数

无名之辈

无名之辈九段

粉丝：109人关注：0人

您好，IPSEC配置，参考链接

06-IPsec配置-新华三集团-H3C

暂无评论

得闲饮茶013

得闲饮茶013 九段

粉丝：138人关注：6人

您好，请知：

IPSEC VPN的对接，以下是部署要点，请参考：

1、配置H3C防火墙与SAP公司基础路由的互联

2、防火墙上涉及到的物理端口需加入安全域并放通安全策略或域间策略。

3、配置IPSEC VPN的加密算法、认证算法、认证秘钥。

4、配置H3C防火墙与SAP公司的IPSEC VPN的相互指向。

5、配置感兴趣数据流，确保要互通的地址段都在感兴趣数据流内指定。

6、以下是IPSEC VPN的配置案例链接，请参考：

https://zhiliao.h3c.com/theme/details/102865

组网说明：

本案例采用H3C HCL模拟器的F1060防火墙来模拟IPSEC+IKE预共享密钥的典型组网配置。在网络拓扑图中存在子网1和子网2.为了保障子网1和子网2相互传输数据的安全性，因此需要在FW1与FW2采用IKE预共享的方式建立IPSEC VPN隧道。

配置步骤

配置思路：

1、按照网络拓扑图正确配置IP地址

2、FW1与FW2的互联接口加入安全域，并放通域间策略

3、FW1与FW2建立IPSEC VPN隧道，采用IKE预共享的方式

配置关键点

ISP：

sys

System View: return to User View with Ctrl+Z.

[H3C]sysname ISP

[ISP]int gi 0/0

[ISP-GigabitEthernet0/0]des

[ISP-GigabitEthernet0/0]ip address 202.1.100.1 30

[ISP-GigabitEthernet0/0]quit

[ISP]int gi 0/1

[ISP-GigabitEthernet0/1]des

[ISP-GigabitEthernet0/1]ip address 202.2.100.1 30

[ISP-GigabitEthernet0/1]quit

[ISP]ip route-static 192.168.1.0 255.255.255.0 202.1.100.2

[ISP]ip route-static 172.16.1.0 255.255.255.0 202.2.100.2

FW1：

sys

System View: return to User View with Ctrl+Z.

[H3C]sysname FW1

[FW1]int gi 1/0/3

[FW1-GigabitEthernet1/0/3]ip address 192.168.1.1 24

[FW1-GigabitEthernet1/0/3]quit

[FW1]int gi 1/0/2

[FW1-GigabitEthernet1/0/2]des

[FW1-GigabitEthernet1/0/2]ip address 202.1.100.2 30

[FW1-GigabitEthernet1/0/2]quit

[FW1]ip route-static 0.0.0.0 0.0.0.0 202.1.100.1

[FW1]security-zone name Trust

[FW1-security-zone-Trust]import interface GigabitEthernet 1/0/3

[FW1-security-zone-Trust]quit

[FW1]security-zone name Untrust

[FW1-security-zone-Untrust]import interface GigabitEthernet 1/0/2

[FW1-security-zone-Untrust]quit

[FW1]zone-pair security source trust destination untrust

[FW1-zone-pair-security-Trust-Untrust]packet-filter 2001

[FW1-zone-pair-security-Trust-Untrust]quit

[FW1]

[FW1]zone-pair security source untrust destination trust

[FW1-zone-pair-security-Untrust-Trust]packet-filter 2001

[FW1-zone-pair-security-Untrust-Trust]quit

[FW1]

[FW1]zone-pair security source trust destination local

[FW1-zone-pair-security-Trust-Local]packet-filter 2001

[FW1-zone-pair-security-Trust-Local]quit

[FW1]

[FW1]zone-pair security source local destination trust

[FW1-zone-pair-security-Local-Trust]packet-filter 2001

[FW1-zone-pair-security-Local-Trust]quit

[FW1]

[FW1]zone-pair security source untrust destination local

[FW1-zone-pair-security-Untrust-Local]packet-filter 2001

[FW1-zone-pair-security-Untrust-Local]quit

[FW1]

[FW1]zone-pair security source local destination untrust

[FW1-zone-pair-security-Local-Untrust]packet-filter 2001

[FW1-zone-pair-security-Local-Untrust]quit

FW1 IPSEC+IKE预共享密钥关键配置点：

[FW1]acl advanced 3000

[FW1-acl-ipv4-adv-3000]rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255

[FW1-acl-ipv4-adv-3000]quit

[FW1]ike keychain james

[FW1-ike-keychain-james]pre-shared-key address 202.2.100.2 255.255.255.252 key simple james

[FW1-ike-keychain-james]quit

[FW1]ike proposal 1

[FW1-ike-proposal-1]quit

[FW1]ike profile james

[FW1-ike-profile-james]keychain james

[FW1-ike-profile-james]proposal 1

[FW1-ike-profile-james]match remote identity address 202.2.100.2 255.255.255.252

[FW1-ike-profile-james]quit

[FW1]ipsec transform-set james

[FW1-ipsec-transform-set-james]protocol esp

[FW1-ipsec-transform-set-james]encapsulation-mode tunnel

[FW1-ipsec-transform-set-james]esp authentication-algorithm md5

[FW1-ipsec-transform-set-james]esp encryption-algorithm des-cbc

[FW1-ipsec-transform-set-james]quit

[FW1]ipsec policy james 1 isakmp

[FW1-ipsec-policy-isakmp-james-1]security acl 3000

[FW1-ipsec-policy-isakmp-james-1]transform-set james

[FW1-ipsec-policy-isakmp-james-1]ike-profile james

[FW1-ipsec-policy-isakmp-james-1]remote-address 202.2.100.2

[FW1-ipsec-policy-isakmp-james-1]quit

[FW1]int gi 1/0/2

[FW1-GigabitEthernet1/0/2]ipsec apply policy james

[FW1-GigabitEthernet1/0/2]quit

FW2：

sys

System View: return to User View with Ctrl+Z.

[FW2]int gi 1/0/3

[FW2-GigabitEthernet1/0/3]ip address 172.16.1.1 24

[FW2-GigabitEthernet1/0/3]quit

[FW2]int gi 1/0/2

[FW2-GigabitEthernet1/0/2]des

[FW2-GigabitEthernet1/0/2]ip address 202.2.100.2 30

[FW2-GigabitEthernet1/0/2]quit

[FW2]ip route-static 0.0.0.0 0.0.0.0 202.2.100.1

[FW2]security-zone name Trust

[FW2-security-zone-Trust]import interface GigabitEthernet 1/0/3

[FW2-security-zone-Trust]quit

[FW2]security-zone name Untrust

[FW2-security-zone-Untrust]import interface GigabitEthernet 1/0/2

[FW2-security-zone-Untrust]quit

[FW2]acl basic 2001

[FW2-acl-ipv4-basic-2001]rule 0 permit source any

[FW2-acl-ipv4-basic-2001]quit

[FW2]

[FW2]zone-pair security source trust destination untrust

[FW2-zone-pair-security-Trust-Untrust]packet-filter 2001

[FW2-zone-pair-security-Trust-Untrust]quit

[FW2]

[FW2]zone-pair security source untrust destination trust

[FW2-zone-pair-security-Untrust-Trust]packet-filter 2001

[FW2-zone-pair-security-Untrust-Trust]quit

[FW2]

[FW2]zone-pair security source trust destination local

[FW2-zone-pair-security-Trust-Local]packet-filter 2001

[FW2-zone-pair-security-Trust-Local]quit

[FW2]

[FW2]zone-pair security source local destination trust

[FW2-zone-pair-security-Local-Trust]packet-filter 2001

[FW2-zone-pair-security-Local-Trust]quit

[FW2]

[FW2]zone-pair security source untrust destination local

[FW2-zone-pair-security-Untrust-Local]packet-filter 2001

[FW2-zone-pair-security-Untrust-Local]quit

[FW2]

[FW2]zone-pair security source local destination untrust

[FW2-zone-pair-security-Local-Untrust]packet-filter 2001

[FW2-zone-pair-security-Local-Untrust]quit

FW2 IPSEC+IKE预共享密钥关键配置点：

[FW2]acl advanced 3000

[FW2-acl-ipv4-adv-3000]rule 0 permit ip source 172.16.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

[FW2-acl-ipv4-adv-3000]quit

[FW2]ike keychain james

[FW2-ike-keychain-james]pre-shared-key address 202.1.100.2 255.255.255.252 key simple james

[FW2-ike-keychain-james]quit

[FW2]ike proposal 1

[FW2-ike-proposal-1]quit

[FW2]ike profile james

[FW2-ike-profile-james]keychain james

[FW2-ike-profile-james]proposal 1

[FW2-ike-profile-james]match remote identity address 202.1.100.2 255.255.255.252

[FW2-ike-profile-james]quit

[FW2]ipsec transform-set james

[FW2-ipsec-transform-set-james]protocol esp

[FW2-ipsec-transform-set-james]encapsulation-mode tunnel

[FW2-ipsec-transform-set-james]esp authentication-algorithm md5

[FW2-ipsec-transform-set-james]esp encryption-algorithm des-cbc

[FW2-ipsec-transform-set-james]quit

[FW2]ipsec policy james 1 isakmp

[FW2-ipsec-policy-isakmp-james-1]security acl 3000

[FW2-ipsec-policy-isakmp-james-1]ike-profile james

[FW2-ipsec-policy-isakmp-james-1]transform-set james

[FW2-ipsec-policy-isakmp-james-1]remote-address 202.1.100.2

[FW2-ipsec-policy-isakmp-james-1]quit

[FW2]int gi 1/0/2

[FW2-GigabitEthernet1/0/2]ipsec apply policy james

[FW2-GigabitEthernet1/0/2]quit

测试：

物理机都填写IP地址：

PC之间可以相互PING通：

查看FW1的IPSEC显示信息：

查看FW2的IPSEC显示信息：

暂无评论

编辑答案

分享扩散:

➤

网站相关: 关于我们; 服务条款; 帮助中心; 经验与权限; 积分规则

联系我们: 联系我们; 建议反馈

常用链接: 标杆的神器下载

关注我们: H3C官网; 新华三服务公众号; 安仔远程运维服务; 新华三商城

内容许可: 除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1 浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定

✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

侵犯我的权益 >

对根叔社区有害的内容 >

辱骂、歧视、挑衅等（不友善）

侵犯我的权益

泄露了我的隐私 >

侵犯了我企业的权益 >

抄袭了我的内容 >

诽谤我 >

辱骂、歧视、挑衅等（不友善）

骚扰我

泄露了我的隐私

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。

1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
3. 是哪家企业？（营业执照，单位登记证明等证件）
4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

原文链接或出处

诽谤我

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

垃圾广告信息

色情、暴力、血腥等违反法律法规的内容

政治敏感

不规范转载 >

辱骂、歧视、挑衅等（不友善）

骚扰我

诱导投票

不规范转载

举报说明

产品线		搜索取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式	默认策略匹配全词匹配整句

内网使用SAP router 访问德国SAP服务器

问题描述：

组网及组网描述：

两台防火墙采用公网固定地址方式搭建IPSEC VPN配置案例（主模式命令行配置）

3.2 总部侧创建IPSEC兴趣流匹配到分部的数据

3.3 总部侧创建IPSEC安全提议

3.4 总部侧创建IKE安全提议

3.5 总部侧创建IKE安全密钥

3.6 总部侧创建IKE安全框架

3.7 总部侧创建IPSEC安全策略

3.8 总部侧外网接口调用IPSEC策略和NAT动态转换策略

3.9 总部侧配置安全策略放通IPSEC数据

3.10 总部侧配置安全策略，放通Untrust到Local，以及Local到Utrust的策略，用于建立IPSEC 隧道

3.11 分部侧IPSEC配置方法

配置步骤

配置关键点

编辑答案

提出建议