配置有问题，给你找下案例

2  IPsec快速配置举例

2.1  简介

由于连锁酒店分支机构众多，IPSEC VPN业务的部署和维护非常复杂，给管理员的工作带来非常大的挑战：“VPN业务多变，管理复杂”，现有标准IPSEC VPN的配置比较繁琐，组网变化带来的配置改动比较大。因此急需提供一种易用性更好，配置更简洁的解决方案。IPSEC 快速配置就是在这样的场景下应运而生的。

按照以往VPN的配置，一个分支上线会有很多相关配置，步骤较多，且在隧道显示上也不太友好，主要表现在如下几个方面：

·     每个分支上线都需要创建IKE、IPsec和对应的tunnel口，然后在tunnel口配置感兴趣流，和对应的tunnel路由。中心端有多少个IP，分支端就需要创建多少个IKE、IPsec和tunnel口及tunnel路由。当走IPsec隧道的网段发生变化时，我们需要同步修改对应的感兴趣流和tunnel路由。当分支特别多的时候，对于管理员来说是一项非常巨大且繁琐的工作，很容易出现配置错误，不好排查。

·     在web页面查看各隧道的流量和状态时，每个隧道只能显示本端IP和对端IP，却不知道这条隧道对应的哪个分支，需要根据分支和IP的对应关系，才能知道属于哪个分支。且一个分支的多个感兴趣流会显示多个SA，无法聚合，显得比较杂乱，不便查看。

·     如果一个分支的私有网段和另一个分支的私有网段有冲突，如，都使用了192.168.10.1/24网段，则后上线的分支需要做NAT，转换为另外一个不冲突的网段才能正常工作。这个NAT配置需要绑定对应的隧道口，以明确只有过隧道的流量才需要转换。如果隧道口有变动，则相应的NAT配置也需要做对应变动。

鉴于以上配置上的繁琐和显示上的不友好，我们要做出改进，优化连锁酒店的IPSEC VPN管理工作，尽可能地使VPN配置自动化，简单化，甚至是傻瓜化，做到“快速上线、动态适应、部署简单”。

针对以上目标，IPsec快速配置具体的改进措施如下：

·     隐藏IKE/IPsec/tunnel口的创建过程。

管理员只需配置本端分支名称，对端IP和预共享密钥。后台根据这些配置，自动生成对应的IKE、IPsec和tunnel口，其它相关参数均使用内置的默认参数。

·     感兴趣流不再配置，tunnel路由不再配置。

管理员只需要配置本端的保护网段，即需要走IPsec的源网段。对端也是如此。当两端建立起IKE后，交互各自的保护网段，形成感兴趣流，同时以对端的保护网段为目的网段，生成对应的tunnel路由。

·     支持多线路备份。

高优先级线路断开后，无缝切换到低优先级的线路；当高优先级线路恢复后，再切换回高优先级线路。

·     NAT规则不再配置。

管理员只需要配置哪些源网段转换为哪些目的网段。后台会自动生成对应的NAT规则。

·     隧道状态展示优化。

页面显示隧道状态时，以分支名称为key，一条记录聚合显示该分支相关隧道的信息，便于查看，支持搜索。

2.2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解快速IPsec特性。

2.3  使用限制

(1)     快速vpn模板不允许手动修改。

(2)     默认主模式，不支持DNAT。

(3)     感兴趣流保护接口只保护主地址，不支持从地址。

(4)     网段映射：一对一NAT映射，源网段和映射后网段掩码必须一致，按照IP的顺序进行一对一映射，（例如映射前ip为192.168.1.100；那么映射后就是172.16.21.100）。

(5)     网段映射：最多支持32个网段映射。

(6)     分支端：线路IP，设置线路对应的IP，线路IP必须在对端网关IP中。

2.4  配置举例

2.4.1  组网需求

如图59所示，在设备 A和设备 B之间建立两个安全隧道，对Host A 代表的子网（2.2.2.0/24）与Host B 代表的子网（13.13.13.0/24）之间的数据流进行安全保护，同时实现隧道备份。

图59 IPsec举例组网图

v

2.4.2  配置思路

按照组网图组网。

(1)     中心设备IPsec快速配置。

(2)     分支设备IPsec快速配置。

(3)     分支端选路策略配置。

2.4.3  使用版本

本举例是在R6616版本上进行配置和验证的。

2.4.4  配置步骤

(1)     中心设备IPsec快速配置

对设备 A的IPsec配置如图60所示。

图60 中心端IPsec快速配置

(2)     分支设备IPsec快速配置

对设备 B的IPsec快速配置如图61、图62所示。

图61 分支端IPsec快速配置

图62 分支端设备选路策略配置

2.4.5  验证配置

在导航栏中选择“网络配置>VPN>IPsec-VPN>IPsec快速配置> IPsec监控”，查看隧道建立状态，如图63、图64所示。

图63 设备 A的IPsec监控

图64 设备 B的IPsec 监控