配置点对点方式建立IPSec-隧道.doc

《配置点对点方式建立IPSec-隧道.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、配置点对点方式建立IPSec隧道对于小、中、大型的动态网络环境中，都推荐使用IKE协商建立IPSec隧道。采用IKE方式建立IPSec隧道与手工方式相比比较简单，只需要配置好IKE协商安全策略的信息，由IKE自动协商来创建和维护安全联盟。本例将使用路由接口实现IKEv2方式协商的IPSec隧道的配置。组网需求如图9-15所示，某公司组网如下：网络A和网络B通过USG_A和USG_B连接到Internet。USG_A和USG_B均为固定公网地址。USG_A和USG_B路由可达。该网络需实现以下需求：网络A和网络B之间要相互传输数

2、据，且传输的数据需要进行加密。图9-15配置点对点方式建立IPSec隧道组网图网络规划根据组网需求，网络规划如下：由于两个网络之间要传输内网数据，而路由不可达，所以需要建立一条VPN隧道，实现两个网络之间的互访。由于传输数据需要加密，采用IPSecVPN方式建立隧道。两个网络的公网IP地址固定不变，且两个网络之间要互相访问，需要建立点到点方式的IPSec隧道，使两个网络中的设备都可以主动发起连接。操作步骤步骤1配置相关接口加入安全区域。#配置USG_A接口加入安全区域。[USG_A]firewallzonetrust[USG_

3、A-zone-trust]addinterfaceGigabitEthernet0/0/0[USG_A]firewallzoneuntrust[USG_A-zone-untrust]addinterfaceGigabitEthernet0/0/1SecospaceUSG2100/2200/5100#配置USG_B接口加入安全区域。[USG_B]firewallzonetrust[USG_B-zone-trust]addinterfaceGigabitEthernet0/0/0[USG_B]firewallzoneuntrust

4、[USG_B-zone-untrust]addinterfaceGigabitEthernet0/0/1步骤2开启域间包过滤规则，确保各种业务顺利进行。说明当对网络安全性要求较高时，建议通过policy命令对域间数据流进行访问控制。#配置USG_A域间包过滤规则。[USG_A]firewallpacket-filterdefaultpermitall#配置USG_B域间包过滤规则。[USG_B]firewallpacket-filterdefaultpermitall步骤3如图9-15所示配置USG_A和USG_B的各接口IP

5、地址，具体配置过程略。步骤4配置USG_A和USG_B的ACL，定义各自要保护的数据流。#配置USG_A的ACL，配置源IP地址为10.1.1.0/24、目的IP地址为10.1.2.0/24的规则。[USG_A]acl3000[USG_A-acl-adv-3000]rulepermitipsource10.1.1.00.0.0.255destination10.1.2.00.0.0.255[USG_A-acl-adv-3000]quit#配置USG_B的访问控制列表，配置源IP地址为10.1.2.0/24、目的IP地址为10.

6、1.1.0/24的规则。[USG_B]acl3000[USG_B-acl-adv-3000]rulepermitipsource10.1.2.00.0.0.255destination10.1.1.00.0.0.255[USG_B-acl-adv-3000]quit步骤5分别配置USG_A和USG_B到对端的静态路由。#配置USG_A到网络B的静态路由，此处假设到达网络B的下一跳地址为202.38.163.2。[USG_A]iproute-static10.1.2.0255.255.255.0202.38.163.2#配置US

7、G_B到网络A的静态路由，此处假设到达网络A的下一跳地址为202.38.169.2。[USG_B]iproute-static10.1.1.0255.255.255.0202.38.169.2步骤6分别在USG_A和USG_B上创建IPSec安全提议。#在USG_A上配置IPSec安全提议。[USG_A]ipsecproposaltran1[USG_A-ipsec-proposal-tran1]encapsulation-modetunnel#缺省情况下，IPSec协议的封装模式为隧道模式，可以不配置。[USG_A-ipsec

8、-proposal-tran1]transformesp#缺省情况下，IPSec的安全协议为ESP，可以不配置。[USG_A-ipsec-proposal-tran1]espauthentication-algorithmsha1[USG_A-ipsec-proposal-t