问

SR6604与阿里云对接IPSecVPN起不来

IPSec VPN

2017-07-26提问

0关注
1收藏，3073浏览

网络特朗普

网络特朗普零段

粉丝：0人关注：0人

问题描述：

SR6604与阿里云对接IPSecVPN起不来，

SR6604测的配置端口上已经启用 ipsec policy map1

QQ图片20170726131645

QQ截图20170726131542

阿里云侧的配置

{

"RemoteSubnet": "172.16.208.0/20",

"Local": "122.224.232.206",

"IpsecConfig": {

"IpsecLifetime": 86400,

"IpsecAuthAlg": "md5",

"IpsecPfs": "group2",

"IpsecEncAlg": "3des"

"Remote": "121.196.208.200",

"LocalSubnet": "80.16.17.0/24",

"IkeConfig": {

"IkeEncAlg": "3des",

"IkePfs": "group2",

"RemoteId": "121.196.208.200",

"IkeAuthAlg": "md5",

"Psk": "*******",

"IkeMode": "main",

"IkeLifetime": 86400,

"IkeVersion": "ikev1",

"LocalId": "122.224.232.206"

}

SR6604侧的配置是否正确？

最佳答案

已采纳

风干工程师肉干要不要

风干工程师肉干要不要九段

粉丝：148人关注：5人

1、ipsec policy下增加一个phs dh-group2，阿里云用的是group2： "IpsecPfs": "group2"

2、ipsec proposal增加认证方式md5

3、ike proposal增加加密方式3des

其他的应该没问题

下面是阿里云给的，让我路由器这边的配置。。我这边配置的还有问题吗

网络特朗普发表时间：2017-07-26

ike proposal 10应该如何引用？

网络特朗普发表时间：2017-07-26

在ike peer下配置proposal 10就可以

风干工程师肉干要不要发表时间：2017-07-26

回复风干工程师肉干要不要:

ike peer模式下没这个命令。。

网络特朗普发表时间：2017-07-26

回复风干工程师肉干要不要:

还有我刚刚把创建的acl设置为any，vpn就起来了，但是起来之后就上不了公网了？

网络特朗普发表时间：2017-07-26

这要看阿里云的策略了，因为VPN建立后，流量就全部都发送到阿里云哪里了，阿里云那一段会控制流量是送给公网，还是送给内网

风干工程师肉干要不要发表时间：2017-07-26

回复风干工程师肉干要不要:

建立VPN之后，就不能从我这个公网接口访问外网了吗？

网络特朗普发表时间：2017-07-26

是的呀，路由只能匹配一次，匹配IPsec了，肯定就走隧道到阿里云了，除非匹配不到VPN，可以从本地公网口出去

风干工程师肉干要不要发表时间：2017-07-26

回复风干工程师肉干要不要:

我现在写的acl是rule 0 permit ip source 80.16.17.0 0.0.0.255 destination 172.16.208.0 0.0.15.255 这样vpn建立不起来，然后我改成any就建立起来了，这个是哪里有问题？

网络特朗普发表时间：2017-07-26

这个问题可就难猜了，感觉肯定是ACL协商问题，IPsec协商中两端ACL必须在同一个范围内，这得看阿里云那边是怎么配置保护流的，说实话，看了半天真没看懂阿里云这个配置的保护六到底是啥。。。

风干工程师肉干要不要发表时间：2017-07-26

问题已经查明，因为本地网段80开头的，但是是私网ip，可是阿里云那边，会把80段地址当成是公网地址从公网出口nat出去，所以导致协商不起来，将阿里云端的nat接口用acl把80段拒绝掉就可以成功协商了，感谢大神的帮助！！！

网络特朗普发表时间：2017-07-27

2 个回答

按时间按赞数

feifeicat

feifeicat 四段

粉丝：0人关注：0人

查看阿里侧的配置，阿里侧的感兴趣流应该是源是80.16.17.0/24，目的是172.16.208.0/20，那么在SR6604侧的ACL 3060就应该写rule ip source 172.16.208.0 0.0.15.255 destination 80.16.17.0 0.0.0.255，并且SR6604的静态路由应该写目的地址是80.16.17.0/24的，不应该写172.16.208.0/20的吧，因为172的网段是SR66侧的