msr810和msr50-40怎么组建ipsec vpn

案例供参考，参数根据要求修改一下

MSR V5和MSR V7路由器IPSec VPN对接典型配置(主模式)

1.   组网需求

在MSR V5路由器和MSR V7路由器之间建立一个安全隧道，对两端内网（MSR V5端192.168.1.0/24和MSR V7端172.16.1.0/24）之间的数据流进行安全保护。

2.   配置步骤

1）   MSR V5路由器

# 配置一个访问控制列表，定义由子网192.168.1.0/24去子网172.16.1.0/24的数据流。

<H3C>system-view

[H3C]acl number 3000

[H3C-acl-adv-3000]rule 0 permit ip source ,192.168.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255

[H3C-acl-adv-3000]quit

# 配置ACL 3001，用于外网口配置NAT引用，防止IPSec数据流被NAT优先转换。

[H3C]acl number 3001

[H3C-acl-adv-3001]rule 0 deny ip source 192.168.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255

[H3C-acl-adv-3001]rule 1 permit ip

[H3C-acl-adv-3001]quit

# 创建一条IKE提议1

[H3C]ike proposal 1

[H3C-ike-proposal-1]authentication-algorithm md5    //指定IKE提议使用的认证算法为MD5

[H3C-ike-proposal-1]encryption-algorithm 3des-cbc    //指定IKE提议使用的加密算法为3des-cbc

[H3C-ike-proposal-1]quit

# 配置IPSec安全提议v5。

[H3C]ipsec transform-set v5

[H3C-ipsec-transform-set-v5]encapsulation-mode tunnel

[H3C-ipsec-transform-set-v5]transform esp

[H3C-ipsec-transform-set-v5]esp encryption-algorithm 3des   //ESP协议采用的加密算法为3des

[H3C-ipsec-transform-set-v5]esp authentication-algorithm md5  //ESP协议采用的认证算法md5

[H3C-ipsec-transform-set-v5]quit

# 创建IKE对等体

[H3C]ike peer v5

[H3C-ike-peer-v5]pre-shared-key 123456   //配置预共享密钥

[H3C-ike-peer-v5]proposal 1        //引用IKE安全提议1

[H3C-ike-peer-v5]remote-address 2.2.2.2 //配置对端公网接口IP地址

[H3C-ike-peer-v5]local-address 1.1.1.1   //配置本端公网接口IP地址

[H3C-ike-peer-v5]quit

# 创建一条IPSec安全策略，协商方式为isakmp。

[H3C]ipsec policy v5 1 isakmp

[H3C-ipsec-policy-isakmp-v5-1]security acl 3000    //引用安全ACL

[H3C-ipsec-policy-isakmp-v5-1]ike-peer v5         //引用IKE对等体

[H3C-ipsec-policy-isakmp-v5-1]transform-set v5     //引用IPSec安全提议

[H3C-ipsec-policy-isakmp-v5-1]quit

# 在公网接口GigabitEthernet 0/1上应用IPSec安全策略。

[H3C]interface GigabitEthernet 0/1

[H3C-GigabitEthernet0/1]ipsec policy v5

[H3C-GigabitEthernet0/1]nat outbound 3001

[H3C-GigabitEthernet0/1]quit

[H3C]ip route-static 0.0.0.0 0.0.0.0 X.X.X.X     //添加到公网的静态路由，其中X.X.X.X请配置公网接口的网关地址

2）   MSR V7路由器

# 配置一个访问控制列表，定义由子网172.16.1.0/24去子网192.168.1.0/24的数据流。

<H3C>system-view

[H3C]acl advanced 3000

[H3C-acl-ipv4-adv-3000]rule 0 permit ip source 172.16.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

[H3C-acl-ipv4-adv-3000]quit

# 配置ACL 3001，用于外网口配置NAT引用，防止IPSec数据流被NAT优先转换。

[H3C]acl advanced 3001

[H3C-acl-ipv4-adv-3001]rule 0 deny ip source 172.16.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

[H3C-acl-ipv4-adv-3001]rule 1 permit ip

[H3C-acl-adv-3001]quit

# 创建一条IKE提议1

[H3C]ike proposal 1

[H3C-ike-proposal-1]authentication-algorithm md5    //指定IKE提议使用的认证算法为MD5,配置必须与V5端一致

[H3C-ike-proposal-1]encryption-algorithm 3des-cbc    //指定IKE提议使用的加密算法为3des-cbc，配置必须与V5端一致

[H3C-ike-proposal-1]quit

#创建并配置IKE keychain，名称为v7。

[H3C]ike keychain v7

#配置与IP地址为2.2.2.2的对端使用的预共享密钥为明文123456

[H3C-ike-keychain-v7]pre-shared-key address 2.2.2.2 255.255.255.0 key simple 123456   //此处配置的预共享密钥必须与V5端IKE对等体视图下配置的预共享密钥相同

[H3C-ike-keychain-v7]quit

# 创建并配置IKE profile，名称为v7。

[H3C]ike profile v7

[H3C-ike-profile-v7]keychain v7       //引用上面配置的keychain

[H3C-ike-profile-v7]local-identity address 2.2.2.2

[H3C-ike-profile-v7]match remote identity address 1.1.1.1 255.255.255.0

[H3C-ike-profile-v7]proposal 1     //引用之前配置IKE提议

[H3C-ike-profile-v7]quit

# 配置IPsec安全提议v7。

[H3C]ipsec transform-set v7

[H3C-ipsec-transform-set-v7]encapsulation-mode tunnel

[H3C-ipsec-transform-set-v7]esp encryption-algorithm 3des-cbc    //ESP协议采用的加密算法为3des-cbc

[H3C-ipsec-transform-set-v7]esp authentication-algorithm md5  //ESP协议采用的认证算法为md5

[H3C-ipsec-transform-set-v5]quit

#创建IPsec安全策略,名称为v7,序列号为1

[H3C]ipsec policy v7 1 isakmp

[H3C-ipsec-policy-isakmp-v7-1]remote-address 1.1.1.1 [H3C-ipsec-policy-isakmp-v7-1]security acl 3000   //引用安全ACL

[H3C-ipsec-policy-isakmp-v7-1]transform-set v7     //指定引用的安全提议

[H3C-ipsec-policy-isakmp-v7-1]ike-profile v7 //指定引用的IKE profile

[H3C-ipsec-policy-isakmp-v7-1]quit

#在外网接口GigabitEthernet0/1上应用安全策略v7

[H3C]interface GigabitEthernet 0/1

[H3C-GigabitEthernet0/1]nat outbound 3001

[H3C-GigabitEthernet0/1]ipsec apply policy v7

[H3C-GigabitEthernet0/1]quit

[H3C]ip route-static 0.0.0.0 0.0.0.0 Y.Y.Y.Y          //添加到公网的静态路由，其中Y.Y.Y.Y请配置公网接口的网关地址