防火墙VPN问题
- 0关注
- 0收藏，347浏览
问题描述：
公司现有防火墙有一个端口接外网，并设置了一个vpn。现在还需要链接一个华为云，让内网电脑访问华为云内网网段。比照点到多点IPsec典型配置举例，https://www.h3c.com/cn/d_202202/1553628_30005_0.htm。这个方法设置好了以后，隧道可以在监控里看到，但是公司内网无法访问华为云内网地址。请问可能是什么原因不能互相访问。用一个端口和地址还有什么办法连接两个不同的vpn（两个vpn不能互相访问）。谢谢！
- 2024-01-19提问
- 举报
-
(0)
最佳答案
建议按照如下去排查
由于IPSEC涉及加密，所以一般使用如下方法进行排查
Ping一定数量的报文，比如5个包，然后WEB界面同时抓包以及命令行查看会话以及IPSEC统计
1. 单独创建一条测试ACL规则（32位反掩码，对端也要同步修改，并且ACL不同规则的刚兴趣流不能与这个32位的冲突），让重新协商出一条IPSEC SA
2、可以通过以下命令来查看IPSEC统计
先通过display ipsec sa verbose看一下的对应感兴趣流对应的tunne-id号是多少
然后再通过如下命令看IPSEC统计
看之前先清除一下
<h3c?reset ipsec statistics
<PA-IDC-SZ-BRANCH-VPN-196-AB>dis ipsec statistics tunnel-id 1755
内层看会话，加上verbose(源目IP以现场实际情况为准)
查看会话的时候，必须提前打开会话统计功能
session statistics enable
<F1090-IRF>display session table ipv4 source-ip 10.0.0.1 destination-ip 20.0.0.1 verbose
WEB界面抓包的ACL，感兴趣流域加密后的都写，一共四条
本端内网到对端内网
对端内网到本端内网
本端加密后地址到对端加密后地址
对端加密后地址到本端加密后地址
举例如下
抓包是没有收到对端加密后回包
IPSEC统计也是有发没收，需要保持32位掩码的条件下，需要现场在FW与深信服之间的设备，一跳跳查一下，查一下回包丢在哪了，目前FW对报文都正常转发，没有看到问题
<CD-CGTC-FW.AK1130>dis session table ipv4 source-ip 192.168.30.19 destination-ip
10.1.4.134 verbose [1A[1D[Jdis ipsec statistics tunnel-id 14
IPsec packet statistics:
Received/sent packets: 0/4
Received/sent bytes: 0/256
Received/sent packet rate: 0/0 packets/sec
Received/sent byte rate: 0/0 bytes/sec
Dropped packets (received/sent): 0/0
抓包的ESP加密报文只有125.71.226.186到112.94.14.46的，没有回包的
- 2024-02-25回答
- 评论(0)
- 举报
-
(0)
您好，请知：
IPSEC VPN故障排查：
1、检查公网地址的连通性
2、检查ipsec acl是否配置正确（两端ACL以互为镜像的方式配置）
3、检查ike keychain/ike profile 协商参数配置是否正确（工作模式、keychain、identity、本端/对端隧道地址或隧道名称、NAT穿越功能v7自适应）
4、检查ipsec proposal（v5平台） /ipsec transform-set（v7平台）参数两端是否一致（封装模式、安全协议、验证算法、加密算法）
5、检查设备是否创建ipsec策略，并加载协商参数（acl、ike profile 、ipsec transform-set、对端隧道IP）
6、检查ipsec策略是否应用在正确的接口上
IPSEC排查命令：
1、disp ipsec policy
2、disp acl
3、dis cu conf ike-profile
4、dis cu conf ike-keychain
5、display ike proposal
6、display ipsec transform-set
7、disp ike sa (verbose)
8、disp ipsec sa
9、reset ipsec sa
10、reset ike sa
- 2024-01-19回答
- 评论(0)
- 举报
-
(0)
你的公司现有防火墙有一个端口接外网，并设置了一个vpn。现在还需要链接一个华为云，让内网电脑访问华为云内网网段。你参考了点到多点IPsec典型配置举例，设置好了以后，隧道可以在监控里看到，但是公司内网无法访问华为云内网地址。你想知道可能是什么原因不能互相访问，以及用一个端口和地址还有什么办法连接两个不同的vpn（两个vpn不能互相访问）。
根据你的描述，我认为你的问题可能涉及以下几个方面：
- 防火墙的安全策略设置。你需要检查你的防火墙是否允许公司内网和华为云内网之间的流量通过，以及是否有正确的NAT转换规则。你可以通过查看防火墙的日志和调试信息来判断是否是这个原因。
- IPsec的参数匹配。你需要检查你的防火墙和华为云之间的IPsec隧道是否有一致的参数，如加密算法、认证算法、密钥交换模式、生存时间等。你可以通过查看IPsec的状态和错误信息来判断是否是这个原因。
- 路由的配置和传播。你需要检查你的防火墙和华为云之间是否有正确的路由配置，以及是否有正确的路由传播协议，如OSPF、BGP等。你可以通过查看路由表和路由协议的邻居关系来判断是否是这个原因。
如果你想用一个端口和地址连接两个不同的vpn（两个vpn不能互相访问），你可以考虑以下几种方法：
- 使用多个IPsec隧道。你可以在你的防火墙上配置多个IPsec隧道，分别连接不同的vpn，然后根据目的地址选择不同的隧道进行转发。这种方法的优点是简单易用，缺点是需要消耗更多的资源和带宽。
- 使用VRF（Virtual Routing and Forwarding，虚拟路由和转发）。你可以在你的防火墙上配置多个VRF实例，分别连接不同的vpn，然后在每个VRF内部进行路由和转发。这种方法的优点是可以实现vpn之间的隔离和安全，缺点是需要更复杂的配置和管理。
- 使用GRE（Generic Routing Encapsulation，通用路由封装）。你可以在你的防火墙上配置一个GRE隧道，连接到华为云，然后在GRE隧道上再配置IPsec隧道，连接到其他vpn。这种方法的优点是可以实现vpn之间的透明和灵活，缺点是需要更多的封装和解封装过程。
: 点到多点IPsec典型配置举例 : 防火墙安全策略配置 : IPsec VPN配置 : 防火墙路由配置 : 多隧道VPN配置 : VRF VPN配置 : GRE VPN配置
- 2024-01-19回答
- 评论(1)
- 举报
-
(0)
谢谢，我再试一下
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明