H3C MSR810与Cisco Meraki MX250的IPsec VPN主模式NAT穿越场景对接案例

说明：

1.       B侧Meraki MX250与A侧MSR810建立隧道方式的IPsec VPN,IKE协商模式为Main模式。

2.       第一阶段协商为预共享密钥认证。

3.       B所在的子网（10.37.0.0/24）与Host A所在的子网（10.16.1.0/24）之间的数据流进行安全保护。

4.       MSR810版本为H3C Comware Software, Version 7.1.064, Release 0821P18

二、实验步骤：

接口IP，底层路由信息等不在此做描述，只显示IPsec VPN协商参数部分配置。

1.       由于B侧设备为友商设备，需要确定第一阶段与第二阶段协商协商参数。

Meraki配置截图为：

其中custom的参数配置为：

2.       MSR810上的配置如下：

（1）       完成接口IP/路由配置；

（2）       定义需要保护的数据流

acl advanced 3001

 rule 0 permit ip source 10.16.1.0 0.0.0.255 destination 10.37.0.0 0.0.0.255

（3）      配置IPsec安全提议，协商封装报文使用的各种安全协议

ipsec transform-set tran1

 esp encryption-algorithm aes-cbc-128

 esp authentication-algorithm sha1

 pfs dh-group2

封装模式默认为ESP。

（4）      配置IKE keychain，约定通信双方使用的密钥信息

ike keychain keychain1

 pre-shared-key address x.x.x.x 255.255.255.0 key simple test

（5）      配置IKE profile，约定建立IKE SA所需的安全参数：

ike profile profile1

 keychain keychain1

 local-identity user-fqdn ***.***

 match remote identity address x.x.x.x 255.255.255.0   //对端公网IP

 proposal 1

（6）      配置IPsec安全策略，建立IPsec隧道，保护需要防护的数据流：

ipsec policy map1 10 isakmp

 transform-set tran1

 security acl 3001

 remote-address x.x.x.x

 ike-profile profile1

 sa duration time-based 28800

（7）      在接口上应用IPsec安全策略，对接口上的流量进行保护：

interface GigabitEthernet0/0

 ipsec apply policy map1

三、验证：

通过A侧主机ping B侧主机，结果如下：

Ping通后，查看IKE协商

通过display ipsec sa可以查看IPsec VPN建立情况：

四、故障排查：

https://www.h3c.com/cn/d_202302/1784745_30005_0.htm#_Toc128078004