F100防火墙旁挂，作为分支节点 GRE over IPsec

3.2 配置总部IPSEC VPN

<H3C>system-view 

#配置公网口NAT要关联的ACl 3000，作用是把IPSec感兴趣流从NAT转换的数据流deny掉

[H3C]acl number 3000      

[H3C-acl-adv-3000]rule 0 deny ip source 192.168.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255

[H3C-acl-adv-3000]rule 5 permit ip

#配置IPSec感兴趣流ACL 3333，匹配源地址为总部内网网段目的地址为分支内网网段的数据流

[H3C-acl-adv-3000]acl number 3333   

[H3C-acl-adv-3333]rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255

[H3C-acl-adv-3333]quit

#配置本端安全网关的名字为zongbu

[H3C]ike local-name zongbu     

#创建IKE对等体123，IKE阶段的协商模式为野蛮模式，IKE预共享密钥为123456，配置名字作为IKE协商过程中使用的ID（缺省情况下，使用IP地址作为IKE协商过程中使用的ID），配置对端网关的名字为fenzhi（要与对端的ike local-name配置对应），并开启NAT穿越功能

[H3C]ike peer 123      

[H3C-ike-peer-123]exchange-mode aggressive  

[H3C-ike-peer-123]pre-shared-key simple 123456    

[H3C-ike-peer-123]id-type name  

[H3C-ike-peer-123]remote-name fenzhi  

[H3C-ike-peer-123]nat traversal     

[H3C-ike-peer-123]quit

#创建IPSec安全提议123，配置ESP协议采用的认证算法为sha1，加密算法为3des

[H3C]ipsec transform-set 123     

[H3C-ipsec-transform-set-123]esp authentication-algorithm sha1      

[H3C-ipsec-transform-set-123]esp encryption-algorithm 3des    

[H3C-ipsec-transform-set-123]quit

#创建IPSec安全策略123，引用之前创建的ACL 3333，引用之前创建的对等体123，引用之前创建的IPSec安全提议123

[H3C]ipsec policy 123 1 isakmp     

[H3C-ipsec-policy-isakmp-123-1]security acl 3333    

[H3C-ipsec-policy-isakmp-123-1]ike-peer 123    

[H3C-ipsec-policy-isakmp-123-1]transform-set 123   

[H3C-ipsec-policy-isakmp-123-1]quit

#设置外网口做NAT转换的时候关联ACL 3000 （如果之前已经在外网口配置了 nat outbound，需要先undo掉），并将IPSec安全策略123应用在外网接口

[H3C]interface GigabitEthernet0/0

[H3C-GigabitEthernet0/0]undo nat outbound 

[H3C-GigabitEthernet0/0]nat outbound 3000

[H3C-GigabitEthernet0/0]ip address 1.1.1.1 255.255.255.0

[H3C-GigabitEthernet0/0]ipsec policy 123    

[H3C-GigabitEthernet0/0]quit

3.3 配置分部路由器IPSEC

<H3C>system-view 

#配置公网口NAT要关联的ACl 3000，作用是把IPSec感兴趣流从NAT转换的数据流deny掉

[H3C]acl number 3000      

[H3C-acl-adv-3000]rule 0 deny ip source 172.16.1.0 0.0.0.255  destination  192.168.1.0 0.0.0.255

[H3C-acl-adv-3000]rule 5 permit ip

#配置IPSec感兴趣流ACL 3333，匹配源地址为分支内网网段，目的地址为总部内网网段的数据流

 [H3C]acl number 3333     

[H3C-acl-adv-3333]rule 0 permit ip source 172.16.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

[H3C-acl-adv-3333]quit

#配置本端安全网关的名字为fenzhi

[H3C]ike local-name fenzhi 

#创建IKE对等体123，IKE阶段的协商模式为野蛮模式，IKE预共享密钥为123456，配置名字作为IKE协商过程中使用的ID（缺省情况下，使用IP地址作为IKE协商过程中使用的ID），配置对端网关的名字为zongbu（要与对端的ike local-name配置对应），配置对端网关的地址为1.1.1.1，并开启NAT穿越功能 

[H3C]ike peer 123

[H3C-ike-peer-123]exchange-mode aggressive

[H3C-ike-peer-123]pre-shared-key simple 123456

[H3C-ike-peer-123]id-type name

[H3C-ike-peer-123]remote-name zongbu      

[H3C-ike-peer-123]remote-address 1.1.1.1    

[H3C-ike-peer-123]nat traversal

[H3C-ike-peer-123]quit

创建IPSec安全提议123，配置ESP协议采用的认证算法为sha1，加密算法为3des

[H3C]ipsec transform-set 123

[H3C-ipsec-transform-set-123]esp authentication-algorithm sha1

[H3C-ipsec-transform-set-123]esp encryption-algorithm 3des

[H3C-ipsec-transform-set-123]quit

#创建IPSec安全策略123，引用之前创建的ACL 3333，引用之前创建的对等体123，引用创建的IPSec安全提议123

[H3C]ipsec policy 123 1 isakmp

[H3C-ipsec-policy-isakmp-123-1]security acl 3333

[H3C-ipsec-policy-isakmp-123-1]ike-peer 123

[H3C-ipsec-policy-isakmp-123-1]transform-set 123

[H3C-ipsec-policy-isakmp-123-1]quit

#设置外网口做NAT转换的时候关联ACL 3000 （如果之前已经在外网口配置了 nat outbound，需要先undo掉），并将IPSec安全策略123应用在外网接口

[H3C]interface GigabitEthernet0/0

[H3C-GigabitEthernet0/0]undo nat outbound 

[H3C-GigabitEthernet0/0]nat outbound 3000

[H3C-GigabitEthernet0/0] ip address 10.0.0.2 255.255.255.0

[H3C-GigabitEthernet0/0] ipsec policy 123

[H3C-GigabitEthernet0/0]quit